Riset Keamanan Microsoft Ungkap Tantangan Baru dalam Pendeteksian Celah Menggunakan AI

Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.

Mengenal Penelitian FORGE Lab tentang Pendeteksian Celah Perangkat Lunak

Riset yang dilakukan Microsoft Security mengungkapkan bahwa perkembangan teknologi kecerdasan buatan mendorong perubahan pada proses penelitian celah keamanan. Melalui FORGE Lab, Microsoft mengembangkan pendekatan penelitian keamanan berbasis agen yang mampu memeriksa kode sumber dalam jumlah besar. Berbeda dari pendekatan pencarian kesalahan konvensional, sistem berbasis AI mampu menganalisis kondisi yang menyebabkan kerentanan. Kemampuan tersebut memberikan kesempatan untuk memperluas cakupan pengujian sebelum menjadi ancaman yang lebih besar. Namun demikian, temuan otomatis tetap memerlukan pembuktian sebelum dianggap sebagai kerentanan nyata.

Berdasarkan pemaparan FORGE Lab, Microsoft menjelaskan tiga perubahan penting dalam pengembangan teknologi keamanan siber. Tantangan pertama adalah upaya mengubah kemampuan eksperimen menjadi proses yang konsisten. Tantangan berikutnya berkaitan dengan perhitungan biaya penggunaan model. Sementara itu, perubahan ketiga adalah pembentukan alur pemeriksaan berkelanjutan. Perubahan yang dijelaskan Microsoft menegaskan bahwa keberhasilan keamanan siber tidak cukup dinilai melalui jumlah temuan. Dengan kata lain, organisasi perlu memastikan apakah pembaruan berhasil diterapkan secara konsisten.

Microsoft FORGE Lab dan MDASH Mempercepat Pendeteksian Celah Keamanan

Komponen penting dalam penelitian Microsoft adalah MDASH, yaitu sistem analisis kerentanan dengan banyak agen. Pendekatan MDASH dirancang untuk menggabungkan beberapa model kecerdasan buatan dalam rangkaian pengujian keamanan. Melalui pendekatan tersebut, bagian sistem dapat menganalisis kode yang berpotensi bermasalah. Pada tahapan berbeda, komponen tambahan bisa menyiapkan bukti pengujian. Arsitektur tersebut bertujuan meningkatkan kemampuan menemukan kerentanan kompleks. Namun demikian, pengawasan profesional masih penting untuk memastikan ketepatan laporan.

Dalam evaluasi keamanan yang diumumkan, penggunaan sistem tersebut berkontribusi pada penemuan kerentanan Windows yang berjumlah 140 CVE dalam periode Mei hingga September 2026. Dari jumlah tersebut, sebanyak 52 CVE masuk dalam rilis perbaikan September 2026. Di luar pemeriksaan sistem operasi Microsoft, anggota FORGE juga mengirimkan 155 laporan yang telah divalidasi secara internal pada 23 proyek perangkat lunak sumber terbuka. Lingkup penelitian tersebut melibatkan proyek dengan penggunaan luas. Hasil tersebut memberikan bukti aktivitas penelitian keamanan berbasis AI, tetapi tidak berarti seluruh laporan sudah menjadi CVE publik. Setiap laporan tetap memerlukan proses penanganan sesuai tingkat risiko.

Tantangan Validasi Temuan AI dalam Penelitian Keamanan Microsoft

Hambatan utama dalam penggunaan teknologi pemindaian cerdas adalah memastikan setiap temuan benar-benar valid. Model kecerdasan buatan berpotensi menyusun laporan yang terlihat meyakinkan meskipun masalah sebenarnya belum terbukti. Situasi semacam ini berpotensi menimbulkan laporan positif palsu sehingga proses pemeriksaan menjadi lebih panjang. Tidak hanya terkait akurasi, hasil pemeriksaan yang sama mungkin memperlambat penanganan masalah penting. Oleh karena itu, tim keamanan harus memprioritaskan temuan yang telah melalui validasi daripada sekadar meningkatkan jumlah laporan.

Tim FORGE menggarisbawahi bahwa volume pemeriksaan menggunakan AI membutuhkan dukungan proses validasi yang memadai. Pada kegiatan penelitian profesional, laporan yang berpotensi berdampak biasanya sebaiknya dikonfirmasi melalui lingkungan pengujian terkontrol. Sebagai contoh, dugaan penggunaan memori yang tidak aman perlu menunjukkan bukti perilaku program. Ketika pengujian belum mendukung laporan, tim keamanan mungkin perlu melakukan investigasi tambahan. Langkah validasi semacam ini membantu menghindari perbaikan yang tidak diperlukan. Berkat validasi yang konsisten, kualitas temuan dapat meningkat.

Mengukur Kinerja AI melalui Biaya Pengujian Kerentanan

Selain ketepatan hasil, Microsoft memberikan perhatian pada efisiensi komputasi model ketika pemindaian dilakukan terhadap kode berukuran besar. Konsep reasoning economics perlu dipertimbangkan karena setiap proses analisis membutuhkan sumber daya. Berdasarkan pengukuran tim keamanan, MDASH mengidentifikasi ribuan lokasi mencurigakan pada kernel Linux dan menyiapkan hasil validasi untuk 627 temuan. Dalam sebagian pengujian itu, Microsoft mengukur biaya pembuatan bukti konsep. Pengukuran tersebut bertujuan memahami apakah otomatisasi benar-benar efisien. Berkat evaluasi sumber daya, pengembang bisa mengevaluasi kebutuhan pemeriksaan lanjutan secara lebih terukur.

Berdasarkan subset evaluasi yang dipublikasikan, Microsoft mencatat bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi menghasilkan pengeluaran model sekitar 3,61 dolar AS per kasus dengan lama pengujian rata-rata 21,5 menit. Untuk evaluasi tambahan, enam kasus terpilih yang diuji kemungkinan local privilege escalation membutuhkan rata-rata biaya 8,56 dolar AS dan lama pemrosesan sekitar 25,4 menit. Perlu dipahami, hasil evaluasi tersebut tidak mencakup seluruh pengeluaran seperti pemeriksaan awal. Dengan pertimbangan tersebut, angka tersebut perlu ditafsirkan sebagai hasil eksperimen dengan ruang lingkup khusus, bukan jaminan biaya untuk semua proyek.

Pentingnya Koordinasi Pengembang dalam Menangani Celah Open Source

Evaluasi kerentanan berbasis AI tersebut juga menegaskan bahwa identifikasi masalah belum menyelesaikan seluruh pekerjaan. Ketika kerentanan berhasil diidentifikasi, pengembang perlu memahami dampak terhadap sistem. Dalam proyek sumber terbuka, kerja sama antartim memiliki peran utama karena mekanisme pengungkapan dapat bervariasi. Beberapa masalah keamanan mungkin membutuhkan laporan privat. Selain itu, penerapan patch harus melalui pemeriksaan kompatibilitas. Melalui pendekatan menyeluruh, temuan AI berpotensi berubah menjadi perbaikan bermanfaat bagi organisasi yang menggunakan sistem tersebut.

Dalam upaya meningkatkan penanganan kerentanan, Microsoft turut mendukung Akrites, yaitu inisiatif Linux Foundation yang bertujuan membantu proses perbaikan masalah keamanan sumber terbuka. Melalui inisiatif tersebut, tim FORGE melaporkan sembilan temuan Linux yang dinilai memiliki skor CVSS internal lebih tinggi dari 7,0. Satu dari temuan yang disampaikan berhasil menghasilkan pembaruan kode pertama melalui jalur Akrites yang diterima dalam kode kernel Linux. Hasil kolaborasi tersebut menunjukkan pentingnya koordinasi antara peneliti dan pengembang. Seiring meningkatnya kemampuan AI, tim keamanan sebaiknya memperkuat sistem penanganan kerentanan terpadu agar temuan penting memperoleh prioritas.

Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern

Riset keamanan Microsoft menunjukkan bahwa teknologi kecerdasan buatan semakin berperan penting dalam menemukan kelemahan kode. Berkat penerapan teknologi analisis otomatis, Microsoft menunjukkan kemampuan pemeriksaan yang lebih luas pada sejumlah sistem perangkat lunak penting. Namun demikian, volume laporan tidak otomatis menentukan keamanan. Validasi temuan, perhitungan pengeluaran penelitian, serta penerapan patch yang aman tetap memiliki peran penting. Berkat kerja sama antara teknologi pemeriksaan cerdas dan keahlian manusia, pengembang memiliki kesempatan memperbaiki efektivitas perlindungan sistem. Menurut Anda, apakah teknologi penelitian kerentanan berbasis AI akan berkembang pesat? Silakan bagikan pendapat Anda mengenai manfaat AI untuk perlindungan perangkat lunak.