Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.
Mengenal Penelitian FORGE Lab tentang Pendeteksian Celah Perangkat Lunak
Riset yang dilakukan Microsoft Security memperlihatkan bahwa peningkatan kemampuan model AI mulai mengubah cara kerentanan perangkat lunak ditemukan. Melalui FORGE Lab, Microsoft mengembangkan pendekatan penelitian keamanan berbasis agen yang dirancang menganalisis berbagai komponen perangkat lunak. Tidak seperti pemeriksaan yang hanya mengandalkan aturan tetap, sistem berbasis AI dapat membantu menalar kondisi yang menyebabkan kerentanan. Inovasi tersebut menawarkan manfaat untuk memperluas cakupan pengujian sebelum dimanfaatkan penyerang. Namun demikian, temuan otomatis tetap memerlukan pembuktian sebelum ditetapkan sebagai masalah keamanan.
Dalam laporan yang diterbitkan pada 7 Oktober 2026, Microsoft mengidentifikasi tiga perubahan penting dalam penelitian keamanan berbasis AI. Aspek awal adalah upaya mengubah kemampuan eksperimen menjadi proses yang konsisten. Tantangan berikutnya berkaitan dengan perhitungan biaya penggunaan model. Adapun, perubahan ketiga adalah penggabungan validasi dan perbaikan. Rangkaian tantangan ini menunjukkan bahwa efektivitas perlindungan perangkat lunak tidak cukup dinilai melalui jumlah temuan. Sebaliknya, tim keamanan harus memperhatikan apakah pembaruan berhasil diterapkan secara bertanggung jawab.
Microsoft FORGE Lab dan MDASH Mempercepat Pendeteksian Celah Keamanan
Komponen penting dalam penelitian Microsoft adalah MDASH, yaitu sistem analisis kerentanan dengan banyak agen. Pendekatan MDASH dirancang untuk menggabungkan sejumlah agen dengan tugas berbeda dalam rangkaian pengujian keamanan. Melalui pendekatan tersebut, bagian sistem dapat menganalisis bagian perangkat lunak yang membutuhkan perhatian. Sementara itu, sistem berikutnya dapat memeriksa kelayakan temuan. Strategi penggunaan beberapa agen bertujuan meningkatkan kemampuan menemukan kerentanan kompleks. Namun demikian, pengawasan profesional masih penting untuk memastikan ketepatan laporan.
Berdasarkan penelitian FORGE Lab, penggunaan sistem tersebut mendukung pengungkapan kerentanan Windows yang berjumlah 140 CVE dalam periode Mei hingga September 2026. Dari jumlah tersebut, sebanyak 52 CVE masuk dalam rilis perbaikan September 2026. Di luar pemeriksaan sistem operasi Microsoft, anggota FORGE juga mengirimkan 155 laporan yang melalui pemeriksaan internal pada 23 proyek perangkat lunak sumber terbuka. Target pemeriksaan ini menyertakan sejumlah komponen open source penting. Pencapaian penelitian ini memberikan bukti aktivitas penelitian keamanan berbasis AI, tetapi tidak berarti seluruh laporan sudah menjadi CVE publik. Temuan yang diterima tetap harus mengikuti koordinasi pengembang sesuai prosedur pengungkapan keamanan.
Mengapa Laporan Kerentanan AI Tidak Selalu Langsung Dapat Diperbaiki
Hambatan utama dalam penelitian kerentanan otomatis adalah membuktikan bahwa laporan menunjukkan masalah keamanan sebenarnya. Sistem AI dapat menghasilkan laporan yang terlihat meyakinkan meskipun perilaku program tidak menunjukkan kerentanan. Situasi semacam ini dapat menghasilkan false positive sehingga proses pemeriksaan menjadi lebih panjang. Tidak hanya terkait akurasi, hasil pemeriksaan yang sama mungkin memperlambat penanganan masalah penting. Dengan mempertimbangkan risiko tersebut, tim keamanan harus memprioritaskan temuan yang telah melalui validasi daripada hanya mengejar volume pemindaian.
Microsoft menekankan bahwa kecepatan menemukan kerentanan perlu disertai proses validasi yang memadai. Ketika melakukan evaluasi perangkat lunak, indikasi kelemahan yang serius biasanya perlu diperiksa melalui prosedur pembuktian teknis. Dalam situasi sederhana, laporan kesalahan pengelolaan memori sebaiknya menyertakan kondisi yang dapat memicu masalah. Jika masalah tidak dapat direproduksi, pengembang perlu memeriksa bagian kode terkait. Pemeriksaan berlapis tersebut membantu menghindari kesalahan prioritas. Berkat validasi yang konsisten, hasil penelitian menjadi lebih dapat dipercaya.
Mengukur Kinerja AI melalui Biaya Pengujian Kerentanan
Tidak hanya berkaitan dengan validasi, Microsoft memberikan perhatian pada pengeluaran untuk penalaran otomatis ketika penelitian mencakup banyak proyek. Perhitungan efisiensi AI menjadi penting karena pengujian otomatis mengonsumsi waktu dan kapasitas. Melalui penelitian tersebut, MDASH menemukan ribuan lokasi mencurigakan pada kernel Linux dan menghasilkan bukti pendukung untuk 627 temuan. Pada kelompok evaluasi yang dipublikasikan, Microsoft mencatat biaya pembuatan bukti konsep. Penelitian performa tersebut bertujuan memahami apakah otomatisasi benar-benar efisien. Melalui analisis ekonomi tersebut, tim keamanan memiliki dasar menilai efektivitas penggunaan model secara lebih terukur.
Berdasarkan subset evaluasi yang dipublikasikan, Microsoft mengungkapkan bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi menghasilkan pengeluaran model sekitar 3,61 dolar AS per kasus dengan waktu rata-rata 21,5 menit. Untuk evaluasi tambahan, enam kasus terpilih yang dianalisis untuk menilai risiko eskalasi privilese memiliki pengeluaran model sekitar 8,56 dolar AS dan durasi rata-rata 25,4 menit. Perlu dipahami, hasil evaluasi tersebut tidak mewakili total biaya penelitian seperti investigasi manusia. Untuk membaca data secara tepat, angka tersebut perlu ditafsirkan sebagai hasil eksperimen dengan ruang lingkup khusus, bukan jaminan biaya untuk semua proyek.
Masa Depan Teknologi Keamanan Microsoft melalui Validasi Berkelanjutan
Penelitian FORGE Lab turut memperlihatkan bahwa pendeteksian kerentanan merupakan bagian dari proses keamanan. Ketika kerentanan berhasil diidentifikasi, tim keamanan harus mengevaluasi langkah perbaikan yang sesuai. Ketika menangani komponen publik, komunikasi dengan maintainer perlu diperhatikan karena setiap proyek memiliki aturan pelaporan berbeda. Temuan tertentu mungkin membutuhkan laporan privat. Selain itu, pembaruan kode sumber harus melalui pemeriksaan kompatibilitas. Berkat koordinasi yang tepat, penelitian keamanan dapat menghasilkan perlindungan nyata bagi organisasi yang menggunakan sistem tersebut.
Untuk memperluas kerja sama penelitian, Microsoft berkontribusi terhadap Akrites, yaitu program koordinasi keamanan dari Linux Foundation yang berfokus pada penanganan celah pada proyek penting. Melalui inisiatif tersebut, tim FORGE melaporkan sembilan temuan Linux yang memiliki penilaian internal CVSS di atas 7,0. Satu dari temuan yang disampaikan tercatat sebagai laporan pertama melalui Akrites dengan perbaikan diterima yang masuk ke proyek kernel Linux. Perkembangan tersebut menjadi contoh nyata proses perbaikan setelah validasi. Dalam pengembangan berikutnya, organisasi perlu membangun sistem penanganan kerentanan terpadu agar perbaikan dapat diterapkan tepat waktu.
Rangkuman Tantangan Keamanan Siber Berbasis Kecerdasan Buatan
Penelitian FORGE Lab memperlihatkan bahwa teknologi kecerdasan buatan membuka peluang besar dalam menemukan kelemahan kode. Berkat penerapan teknologi analisis otomatis, Microsoft berhasil meningkatkan skala penelitian pada Windows dan berbagai proyek open source. Namun demikian, tantangan utamanya bukan hanya menemukan celah. Validasi temuan, perhitungan pengeluaran penelitian, serta pengawasan proses remediasi tetap memiliki peran penting. Dengan menggabungkan kemampuan analisis AI dan keahlian manusia, organisasi berpotensi meningkatkan ketahanan perangkat lunak. Bagaimana pendapat Anda, apakah otomatisasi pendeteksian celah akan menjadi kebutuhan utama? Mari berbagi pemikiran Anda mengenai pentingnya validasi dalam riset keamanan.
