Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.
Mengenal Penelitian FORGE Lab tentang Pendeteksian Celah Perangkat Lunak
Penelitian keamanan terbaru Microsoft mengungkapkan bahwa perkembangan teknologi kecerdasan buatan mendorong perubahan pada metode pemeriksaan kelemahan sistem. Melalui FORGE Lab, Microsoft menguji pendekatan penelitian keamanan berbasis agen yang dirancang menganalisis bagian sistem yang berpotensi memiliki kelemahan. Berbeda dari pemeriksaan yang hanya mengandalkan aturan tetap, sistem berbasis AI berpotensi memahami alur eksekusi program. Pendekatan ini menawarkan manfaat untuk menemukan kelemahan lebih awal sebelum dimanfaatkan penyerang. Walaupun menawarkan kemajuan, hasil analisis AI tetap membutuhkan pemeriksaan sebelum ditetapkan sebagai masalah keamanan.
Berdasarkan pemaparan FORGE Lab, Microsoft merangkum tiga perubahan penting dalam pendeteksian kerentanan otomatis. Tantangan pertama adalah peralihan dari kemampuan menemukan celah menuju penerapan berskala besar. Aspek selanjutnya berkaitan dengan perhitungan biaya penggunaan model. Pada bagian terakhir, tantangan berikutnya adalah penggabungan validasi dan perbaikan. Ketiga aspek tersebut menegaskan bahwa keberhasilan keamanan siber tidak hanya bergantung pada kecepatan pemindaian. Dalam praktiknya, tim keamanan harus memperhatikan apakah kerentanan bisa diperbaiki secara konsisten.
Microsoft FORGE Lab dan MDASH Mempercepat Pendeteksian Celah Keamanan
Salah satu teknologi utama dalam penelitian Microsoft adalah MDASH, yaitu sistem analisis kerentanan dengan banyak agen. Sistem penelitian ini dikembangkan guna mengoordinasikan sejumlah agen dengan tugas berbeda dalam proses penelitian terstruktur. Melalui pendekatan tersebut, agen tertentu bisa memeriksa kode yang berpotensi bermasalah. Di sisi lain, komponen tambahan bisa menyiapkan bukti pengujian. Pembagian pekerjaan ini dirancang memperbaiki cakupan penelitian keamanan. Walaupun prosesnya semakin otomatis, peneliti manusia tetap diperlukan untuk menafsirkan hasil.
Dalam evaluasi keamanan yang diumumkan, penggunaan sistem tersebut berkontribusi pada penemuan kerentanan Windows yang mencapai 140 CVE dalam rentang lima bulan sejak Mei 2026. Dalam rangkaian pembaruan tersebut, sebanyak 52 CVE ditangani dalam pembaruan keamanan September. Tidak hanya mempelajari komponen Windows, anggota FORGE menyampaikan 155 laporan yang melalui pemeriksaan internal pada 23 proyek perangkat lunak sumber terbuka. Lingkup penelitian tersebut mencakup proyek dengan penggunaan luas. Hasil tersebut menggambarkan kemampuan penerapan keamanan berbasis AI, tetapi tidak menunjukkan seluruh masalah telah selesai diperbaiki. Temuan yang diterima tetap membutuhkan verifikasi lanjutan sesuai tingkat risiko.
Tantangan Validasi Temuan AI dalam Penelitian Keamanan Microsoft
Hambatan utama dalam penerapan AI untuk keamanan adalah membuktikan bahwa laporan menunjukkan masalah keamanan sebenarnya. Sistem AI mungkin memberikan laporan yang terlihat meyakinkan meskipun masalah sebenarnya belum terbukti. Situasi semacam ini dapat menghasilkan false positive sehingga waktu peneliti terbuang. Tidak hanya terkait akurasi, laporan duplikat juga dapat memenuhi antrean. Oleh karena itu, organisasi perlu mengutamakan kerentanan yang dapat direproduksi daripada sekadar meningkatkan jumlah laporan.
Dalam penelitiannya Microsoft menjelaskan bahwa volume pemeriksaan menggunakan AI membutuhkan dukungan pengujian bukti teknis. Dalam praktik keamanan, laporan yang berpotensi berdampak biasanya sebaiknya dikonfirmasi melalui lingkungan pengujian terkontrol. Dalam situasi sederhana, indikasi kerusakan memori sebaiknya menyertakan kondisi yang dapat memicu masalah. Ketika pengujian belum mendukung laporan, pengembang perlu memeriksa bagian kode terkait. Langkah validasi semacam ini bertujuan mengurangi perbaikan yang tidak diperlukan. Dengan demikian, hasil penelitian menjadi lebih dapat dipercaya.
Mengukur Kinerja AI melalui Biaya Pengujian Kerentanan
Selain ketepatan hasil, Microsoft turut membahas biaya penggunaan AI ketika sistem diterapkan dalam skala besar. Pendekatan ekonomi penalaran perlu dipertimbangkan karena penggunaan model memiliki biaya komputasi. Dalam evaluasi FORGE Lab, MDASH menandai ribuan lokasi mencurigakan pada kernel Linux dan menyiapkan hasil validasi untuk 627 temuan. Dari aktivitas tersebut, Microsoft mengukur biaya pembuatan bukti konsep. Evaluasi biaya ini membantu menentukan apakah hasil pengujian sebanding dengan biaya. Melalui analisis ekonomi tersebut, organisasi dapat mempertimbangkan kebutuhan pemeriksaan lanjutan secara lebih sistematis.
Berdasarkan subset evaluasi yang dipublikasikan, Microsoft melaporkan bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi memiliki biaya komputasi model rata-rata 3,61 dolar AS dengan waktu rata-rata 21,5 menit. Untuk evaluasi tambahan, enam kasus terpilih yang dianalisis untuk menilai risiko eskalasi privilese memiliki pengeluaran model sekitar 8,56 dolar AS dan waktu sekitar 25,4 menit. Perlu dipahami, hasil evaluasi tersebut tidak mencakup seluruh pengeluaran seperti investigasi manusia. Oleh sebab itu, angka tersebut perlu ditafsirkan sebagai pengukuran terbatas pada kasus tertentu, bukan patokan mutlak pengeluaran keamanan.
Masa Depan Teknologi Keamanan Microsoft melalui Validasi Berkelanjutan
Evaluasi kerentanan berbasis AI tersebut memberikan gambaran bahwa pendeteksian kerentanan merupakan bagian dari proses keamanan. Sesudah laporan dinyatakan valid, pengembang perlu memahami penyebab masalah. Dalam proyek sumber terbuka, komunikasi dengan maintainer perlu diperhatikan karena mekanisme pengungkapan dapat bervariasi. Sebagian kerentanan dapat memerlukan pengungkapan terkoordinasi. Di samping prosedur pelaporan, pembaruan kode sumber harus melalui pemeriksaan kompatibilitas. Melalui pendekatan menyeluruh, penelitian keamanan dapat menghasilkan perlindungan nyata bagi organisasi yang menggunakan sistem tersebut.
Sebagai bagian dari pengembangan tersebut, Microsoft berkontribusi terhadap Akrites, yaitu program koordinasi keamanan dari Linux Foundation yang dikembangkan untuk mendukung pengungkapan kerentanan secara terkoordinasi. Dalam kegiatan Akrites, tim FORGE melaporkan sembilan temuan Linux yang mendapatkan skor kerentanan internal melampaui 7,0. Salah satu laporan tersebut menjadi pengajuan Akrites pertama yang menghasilkan patch yang masuk ke proyek kernel Linux. Perkembangan tersebut memperlihatkan manfaat proses perbaikan setelah validasi. Dalam pengembangan berikutnya, pengembang harus mempertimbangkan sistem penanganan kerentanan terpadu agar perbaikan dapat diterapkan tepat waktu.
Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern
Riset keamanan Microsoft menunjukkan bahwa teknologi kecerdasan buatan semakin berperan penting dalam menemukan kelemahan kode. Melalui sistem MDASH, Microsoft menunjukkan kemampuan pemeriksaan yang lebih luas pada Windows dan berbagai proyek open source. Walaupun hasil penelitian menjanjikan, tantangan utamanya bukan hanya menemukan celah. Validasi temuan, pengelolaan biaya komputasi, serta pengawasan proses remediasi tetap memiliki peran penting. Melalui perpaduan teknologi pemeriksaan cerdas dan koordinasi pengembang, organisasi berpotensi meningkatkan efektivitas perlindungan sistem. Menurut Anda, apakah otomatisasi pendeteksian celah akan menjadi kebutuhan utama? Jangan ragu menyampaikan pandangan Anda mengenai pentingnya validasi dalam riset keamanan.
