Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.
Mengenal Penelitian FORGE Lab tentang Pendeteksian Celah Perangkat Lunak
Penelitian keamanan terbaru Microsoft mengungkapkan bahwa peningkatan kemampuan model AI mendorong perubahan pada proses penelitian celah keamanan. Dalam kegiatan Frontier Offensive Research & Generative Exploitation Lab, Microsoft menguji teknologi AI untuk analisis kerentanan yang mampu memeriksa kode sumber dalam jumlah besar. Tidak seperti pendekatan pencarian kesalahan konvensional, sistem berbasis AI berpotensi memahami hubungan antarbagian kode. Kemampuan tersebut memberikan kesempatan untuk membantu peneliti mengidentifikasi masalah sebelum menyebabkan gangguan keamanan. Namun demikian, hasil analisis AI tetap harus melalui validasi sebelum dianggap sebagai kerentanan nyata.
Dalam laporan yang diterbitkan pada 7 Oktober 2026, Microsoft menjelaskan tiga perubahan penting dalam penelitian keamanan berbasis AI. Aspek awal adalah peralihan dari kemampuan menemukan celah menuju penerapan berskala besar. Tantangan berikutnya berkaitan dengan efisiensi biaya penalaran AI. Sementara itu, perubahan ketiga adalah pembentukan alur pemeriksaan berkelanjutan. Perubahan yang dijelaskan Microsoft menunjukkan bahwa kualitas penelitian kerentanan tidak hanya bergantung pada kecepatan pemindaian. Dalam praktiknya, organisasi perlu memastikan apakah laporan dapat dibuktikan secara bertanggung jawab.
Microsoft FORGE Lab dan MDASH Mempercepat Pendeteksian Celah Keamanan
Sistem yang digunakan dalam penelitian Microsoft adalah MDASH, yaitu kerangka pemindaian berbasis beberapa model AI. Sistem penelitian ini dikembangkan guna mengoordinasikan sejumlah agen dengan tugas berbeda dalam satu alur pemeriksaan. Dengan sistem tersebut, agen tertentu bisa memeriksa bagian perangkat lunak yang membutuhkan perhatian. Sementara itu, sistem berikutnya dapat memeriksa kelayakan temuan. Pembagian pekerjaan ini berpotensi memperluas cakupan penelitian keamanan. Namun demikian, validasi oleh tim keamanan tetap dibutuhkan untuk memastikan ketepatan laporan.
Dalam evaluasi keamanan yang diumumkan, penggunaan sistem tersebut membantu identifikasi kerentanan Windows yang berjumlah 140 CVE dalam masa penelitian dari Mei sampai September 2026. Dari jumlah tersebut, sebanyak 52 CVE tercakup pada pembaruan Windows bulan September. Di luar pemeriksaan sistem operasi Microsoft, anggota FORGE menyampaikan 155 laporan yang mendapatkan validasi awal pada 23 proyek perangkat lunak sumber terbuka. Target pemeriksaan ini mencakup sejumlah komponen open source penting. Pencapaian penelitian ini menggambarkan kemampuan penerapan keamanan berbasis AI, tetapi tidak menunjukkan seluruh masalah telah selesai diperbaiki. Setiap laporan tetap harus mengikuti koordinasi pengembang sesuai aturan proyek.
Tantangan Validasi Temuan AI dalam Penelitian Keamanan Microsoft
Masalah penting dalam penerapan AI untuk keamanan adalah memastikan setiap temuan benar-benar valid. Sistem AI mungkin memberikan laporan yang terlihat meyakinkan meskipun perilaku program tidak menunjukkan kerentanan. Masalah validasi tersebut dapat menghasilkan false positive sehingga waktu peneliti terbuang. Selain itu, laporan duplikat mungkin memperlambat penanganan masalah penting. Untuk meningkatkan kualitas, tim keamanan harus memprioritaskan temuan yang telah melalui validasi daripada mengandalkan banyaknya dugaan kelemahan.
Microsoft menekankan bahwa kemampuan menghasilkan laporan otomatis membutuhkan dukungan pengujian bukti teknis. Pada kegiatan penelitian profesional, indikasi kelemahan yang serius biasanya harus diuji melalui sistem reproduksi yang sesuai. Untuk memberikan gambaran, laporan kesalahan pengelolaan memori sebaiknya menyertakan bukti perilaku program. Ketika pengujian belum mendukung laporan, peneliti harus meninjau ulang asumsi AI. Langkah validasi semacam ini dapat membatasi kesalahan prioritas. Melalui proses ini, penanganan celah berlangsung lebih terarah.
Tantangan Penggunaan Sumber Daya dalam Teknologi Pendeteksi Celah
Selain ketepatan hasil, Microsoft juga menyoroti efisiensi komputasi model ketika penelitian mencakup banyak proyek. Perhitungan efisiensi AI perlu dipertimbangkan karena penggunaan model memiliki biaya komputasi. Berdasarkan pengukuran tim keamanan, MDASH menemukan ribuan lokasi mencurigakan pada kernel Linux dan menyiapkan hasil validasi untuk 627 temuan. Dalam sebagian pengujian itu, Microsoft mengukur pengeluaran komputasi untuk proof of concept. Penelitian performa tersebut membantu menentukan apakah hasil pengujian sebanding dengan biaya. Dengan pendekatan ini, organisasi dapat mempertimbangkan manfaat tambahan setiap proses secara lebih sistematis.
Dalam pengujian tertentu, Microsoft melaporkan bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi membutuhkan rata-rata biaya model sebesar 3,61 dolar AS dengan lama pengujian rata-rata 21,5 menit. Di sisi pengujian berbeda, enam kasus terpilih yang diuji kemungkinan local privilege escalation membutuhkan rata-rata biaya 8,56 dolar AS dan durasi rata-rata 25,4 menit. Perlu dipahami, pengukuran performa itu tidak mencakup seluruh pengeluaran seperti persiapan perbaikan. Dengan pertimbangan tersebut, hasil pengujian sebaiknya dipahami sebagai hasil eksperimen dengan ruang lingkup khusus, bukan standar tetap seluruh pengujian kerentanan.
Pentingnya Koordinasi Pengembang dalam Menangani Celah Open Source
Penelitian FORGE Lab juga menegaskan bahwa identifikasi masalah belum menyelesaikan seluruh pekerjaan. Setelah masalah ditemukan, peneliti bersama pemelihara proyek perlu menentukan penyebab masalah. Pada pengembangan perangkat lunak open source, kerja sama antartim memiliki peran utama karena mekanisme pengungkapan dapat bervariasi. Temuan tertentu dapat memerlukan pengungkapan terkoordinasi. Tidak hanya mengenai komunikasi, perbaikan perangkat lunak harus diuji untuk menghindari regresi. Melalui pendekatan menyeluruh, temuan AI berpotensi berubah menjadi perbaikan bermanfaat bagi komunitas pengembang.
Sebagai bagian dari pengembangan tersebut, Microsoft berkontribusi terhadap Akrites, yaitu program koordinasi keamanan dari Linux Foundation yang dikembangkan untuk mendukung proses perbaikan masalah keamanan sumber terbuka. Dalam kegiatan Akrites, tim FORGE mengirimkan sembilan temuan Linux yang mendapatkan skor kerentanan internal melampaui 7,0. Satu dari temuan yang disampaikan tercatat sebagai laporan pertama melalui Akrites dengan perbaikan diterima yang masuk ke proyek kernel Linux. Pencapaian ini menjadi contoh nyata proses perbaikan setelah validasi. Dalam pengembangan berikutnya, pengembang harus mempertimbangkan sistem penanganan kerentanan terpadu agar jumlah laporan tidak melampaui kapasitas penanganan.
Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern
Kajian Microsoft mengenai AI keamanan mengungkapkan bahwa teknologi kecerdasan buatan semakin berperan penting dalam menemukan kelemahan kode. Berkat penerapan teknologi analisis otomatis, Microsoft menunjukkan kemampuan pemeriksaan yang lebih luas pada Windows dan berbagai proyek open source. Meskipun jumlah temuan meningkat, tantangan utamanya bukan hanya menemukan celah. Pemeriksaan bukti teknis, efisiensi penggunaan sumber daya, serta pengawasan proses remediasi tetap menjadi prioritas. Dengan menggabungkan teknologi pemeriksaan cerdas dan keahlian manusia, organisasi berpotensi meningkatkan efektivitas perlindungan sistem. Dari sudut pandang Anda, apakah teknologi penelitian kerentanan berbasis AI akan berkembang pesat? Jangan ragu menyampaikan pandangan Anda mengenai pentingnya validasi dalam riset keamanan.
