Riset Keamanan Microsoft Ungkap Tantangan Baru dalam Pendeteksian Celah Menggunakan AI

Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.

Riset Microsoft Mengungkap Perubahan Penting dalam Teknologi Keamanan AI

Kajian terkini dari tim keamanan Microsoft menunjukkan bahwa kemajuan sistem AI generatif mulai mengubah proses penelitian celah keamanan. Melalui FORGE Lab, Microsoft menerapkan pendekatan penelitian keamanan berbasis agen yang dapat menelusuri berbagai komponen perangkat lunak. Berbeda dari pemindaian berbasis pola sederhana, sistem berbasis AI berpotensi memahami hubungan antarbagian kode. Inovasi tersebut memberikan kesempatan untuk memperluas cakupan pengujian sebelum dimanfaatkan penyerang. Walaupun menawarkan kemajuan, temuan otomatis tetap membutuhkan pemeriksaan sebelum ditetapkan sebagai masalah keamanan.

Melalui publikasi penelitian Oktober 2026, Microsoft mengidentifikasi tiga perubahan penting dalam pengembangan teknologi keamanan siber. Aspek awal adalah kebutuhan memperluas pemindaian tanpa mengurangi kualitas. Perubahan kedua berkaitan dengan efisiensi biaya penalaran AI. Sementara itu, perubahan ketiga adalah pembentukan alur pemeriksaan berkelanjutan. Ketiga aspek tersebut menggambarkan bahwa efektivitas perlindungan perangkat lunak tidak cukup dinilai melalui jumlah temuan. Sebaliknya, organisasi perlu memastikan apakah laporan dapat dibuktikan secara bertanggung jawab.

Cara Kerja Teknologi AI Microsoft dalam Menganalisis Kerentanan

Komponen penting dalam penelitian Microsoft adalah MDASH, yaitu kerangka pemindaian berbasis beberapa model AI. Teknologi tersebut dirancang untuk menggabungkan berbagai komponen analisis otomatis dalam satu alur pemeriksaan. Melalui pendekatan tersebut, agen tertentu bisa memeriksa lokasi program yang mencurigakan. Di sisi lain, agen lainnya dapat membantu melakukan validasi. Arsitektur tersebut bertujuan meningkatkan kemampuan menemukan kerentanan kompleks. Namun demikian, peneliti manusia tetap diperlukan untuk memastikan ketepatan laporan.

Berdasarkan penelitian FORGE Lab, penggunaan sistem tersebut berkontribusi pada penemuan kerentanan Windows yang tercatat sebanyak 140 CVE dalam masa penelitian dari Mei sampai September 2026. Pada periode pengujian itu, sebanyak 52 CVE masuk dalam rilis perbaikan September 2026. Tidak hanya mempelajari komponen Windows, anggota FORGE turut menghasilkan 155 laporan yang telah divalidasi secara internal pada 23 proyek perangkat lunak sumber terbuka. Lingkup penelitian tersebut melibatkan proyek dengan penggunaan luas. Pencapaian penelitian ini menggambarkan kemampuan penerapan keamanan berbasis AI, tetapi tidak berarti seluruh laporan sudah menjadi CVE publik. Temuan yang diterima tetap memerlukan proses penanganan sesuai prosedur pengungkapan keamanan.

Tantangan Validasi Temuan AI dalam Penelitian Keamanan Microsoft

Masalah penting dalam penerapan AI untuk keamanan adalah membedakan kerentanan nyata dari dugaan keliru. Model kecerdasan buatan dapat menghasilkan analisis yang tampak masuk akal meskipun masalah sebenarnya belum terbukti. Kondisi tersebut dapat menghasilkan false positive sehingga proses pemeriksaan menjadi lebih panjang. Di samping laporan yang keliru, temuan yang berulang mungkin memperlambat penanganan masalah penting. Dengan mempertimbangkan risiko tersebut, tim keamanan harus memprioritaskan laporan dengan bukti kuat daripada sekadar meningkatkan jumlah laporan.

Dalam penelitiannya Microsoft menjelaskan bahwa kecepatan menemukan kerentanan membutuhkan dukungan pengujian bukti teknis. Dalam praktik keamanan, laporan yang berpotensi berdampak biasanya harus diuji melalui prosedur pembuktian teknis. Dalam situasi sederhana, dugaan penggunaan memori yang tidak aman membutuhkan bukti perilaku program. Ketika pengujian belum mendukung laporan, pengembang perlu memeriksa bagian kode terkait. Pemeriksaan berlapis tersebut dapat membatasi perbaikan yang tidak diperlukan. Dengan demikian, kualitas temuan dapat meningkat.

Mengukur Kinerja AI melalui Biaya Pengujian Kerentanan

Di samping kualitas laporan, Microsoft turut membahas efisiensi komputasi model ketika penelitian mencakup banyak proyek. Konsep reasoning economics perlu dipertimbangkan karena pengujian otomatis mengonsumsi waktu dan kapasitas. Dalam evaluasi FORGE Lab, MDASH menandai ribuan lokasi mencurigakan pada kernel Linux dan menyiapkan hasil validasi untuk 627 temuan. Dari aktivitas tersebut, Microsoft mengukur biaya pembuatan bukti konsep. Penelitian performa tersebut membantu menentukan apakah otomatisasi benar-benar efisien. Dengan pendekatan ini, organisasi dapat mempertimbangkan kebutuhan pemeriksaan lanjutan secara lebih sistematis.

Dalam pengujian tertentu, Microsoft mengungkapkan bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi memiliki biaya komputasi model rata-rata 3,61 dolar AS dengan lama pengujian rata-rata 21,5 menit. Sementara itu, enam kasus terpilih yang diuji kemungkinan local privilege escalation membutuhkan rata-rata biaya 8,56 dolar AS dan durasi rata-rata 25,4 menit. Perlu dipahami, angka biaya tersebut tidak mewakili total biaya penelitian seperti pemeriksaan awal. Dengan pertimbangan tersebut, angka tersebut perlu ditafsirkan sebagai indikator efisiensi dalam kondisi penelitian, bukan patokan mutlak pengeluaran keamanan.

Masa Depan Teknologi Keamanan Microsoft melalui Validasi Berkelanjutan

Evaluasi kerentanan berbasis AI tersebut memberikan gambaran bahwa pendeteksian kerentanan merupakan bagian dari proses keamanan. Setelah masalah ditemukan, pengembang perlu memahami langkah perbaikan yang sesuai. Pada pengembangan perangkat lunak open source, komunikasi dengan maintainer perlu diperhatikan karena mekanisme pengungkapan dapat bervariasi. Beberapa masalah keamanan dapat memerlukan pengungkapan terkoordinasi. Tidak hanya mengenai komunikasi, perbaikan perangkat lunak harus diuji untuk menghindari regresi. Melalui pendekatan menyeluruh, hasil analisis otomatis dapat memberikan dampak positif bagi pengguna perangkat lunak.

Dalam upaya meningkatkan penanganan kerentanan, Microsoft berkontribusi terhadap Akrites, yaitu inisiatif Linux Foundation yang berfokus pada pengungkapan kerentanan secara terkoordinasi. Berkat mekanisme koordinasi ini, tim FORGE melaporkan sembilan temuan Linux yang mendapatkan skor kerentanan internal melampaui 7,0. Sebuah laporan dari rangkaian itu menjadi pengajuan Akrites pertama yang menghasilkan patch yang masuk ke proyek kernel Linux. Pencapaian ini memperlihatkan manfaat proses perbaikan setelah validasi. Seiring meningkatnya kemampuan AI, tim keamanan sebaiknya memperkuat mekanisme validasi yang konsisten agar temuan penting memperoleh prioritas.

Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern

Penelitian FORGE Lab memperlihatkan bahwa sistem penelitian berbasis agen semakin berperan penting dalam menemukan kelemahan kode. Berkat penerapan teknologi analisis otomatis, Microsoft berhasil meningkatkan skala penelitian pada beragam lingkungan pengembangan. Meskipun jumlah temuan meningkat, tantangan utamanya bukan hanya menemukan celah. Pemeriksaan bukti teknis, perhitungan pengeluaran penelitian, serta penerapan patch yang aman tetap harus diperhatikan. Melalui perpaduan teknologi pemeriksaan cerdas dan pengawasan profesional, tim keamanan dapat memperkuat efektivitas perlindungan sistem. Menurut Anda, apakah teknologi penelitian kerentanan berbasis AI akan berkembang pesat? Jangan ragu menyampaikan pandangan Anda mengenai masa depan keamanan digital.