Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.
Mengenal Penelitian FORGE Lab tentang Pendeteksian Celah Perangkat Lunak
Riset yang dilakukan Microsoft Security mengungkapkan bahwa peningkatan kemampuan model AI mulai mengubah cara kerentanan perangkat lunak ditemukan. Dalam kegiatan Frontier Offensive Research & Generative Exploitation Lab, Microsoft menguji pendekatan penelitian keamanan berbasis agen yang dapat menelusuri kode sumber dalam jumlah besar. Tidak seperti pemindaian berbasis pola sederhana, sistem berbasis AI mampu menganalisis hubungan antarbagian kode. Pendekatan ini membuka peluang untuk menemukan kelemahan lebih awal sebelum menyebabkan gangguan keamanan. Meskipun potensinya besar, hasil analisis AI tetap harus melalui validasi sebelum ditetapkan sebagai masalah keamanan.
Dalam laporan yang diterbitkan pada 7 Oktober 2026, Microsoft mengidentifikasi tiga arah perkembangan dalam pengembangan teknologi keamanan siber. Aspek awal adalah kebutuhan memperluas pemindaian tanpa mengurangi kualitas. Aspek selanjutnya berkaitan dengan pengelolaan sumber daya komputasi. Adapun, perubahan ketiga adalah pembentukan alur pemeriksaan berkelanjutan. Rangkaian tantangan ini menegaskan bahwa efektivitas perlindungan perangkat lunak tidak hanya bergantung pada kecepatan pemindaian. Dalam praktiknya, organisasi perlu memastikan apakah laporan dapat dibuktikan secara konsisten.
Cara Kerja Teknologi AI Microsoft dalam Menganalisis Kerentanan
Sistem yang digunakan dalam penelitian Microsoft adalah MDASH, yaitu platform penelitian keamanan yang mengoordinasikan model AI. Sistem penelitian ini dirancang untuk menggabungkan beberapa model kecerdasan buatan dalam satu alur pemeriksaan. Melalui pendekatan tersebut, bagian sistem dapat menganalisis bagian perangkat lunak yang membutuhkan perhatian. Di sisi lain, sistem berikutnya dapat memeriksa kelayakan temuan. Arsitektur tersebut dirancang memperbaiki kemampuan menemukan kerentanan kompleks. Walaupun prosesnya semakin otomatis, peneliti manusia tetap diperlukan untuk memastikan ketepatan laporan.
Dalam evaluasi keamanan yang diumumkan, penggunaan sistem tersebut membantu identifikasi kerentanan Windows yang mencapai 140 CVE dalam periode Mei hingga September 2026. Pada periode pengujian itu, sebanyak 52 CVE masuk dalam rilis perbaikan September 2026. Selain penelitian Windows, anggota FORGE menyampaikan 155 laporan yang melalui pemeriksaan internal pada 23 proyek perangkat lunak sumber terbuka. Lingkup penelitian tersebut mencakup kernel Linux dan berbagai perangkat lunak populer. Pencapaian penelitian ini menunjukkan peningkatan skala keamanan berbasis AI, tetapi tidak berarti seluruh laporan sudah menjadi CVE publik. Temuan yang diterima tetap harus mengikuti koordinasi pengembang sesuai tingkat risiko.
Tantangan Validasi Temuan AI dalam Penelitian Keamanan Microsoft
Hambatan utama dalam penggunaan teknologi pemindaian cerdas adalah membuktikan bahwa laporan menunjukkan masalah keamanan sebenarnya. Sistem AI dapat menghasilkan analisis yang tampak masuk akal meskipun masalah sebenarnya belum terbukti. Kondisi tersebut dapat menghasilkan false positive sehingga beban kerja tim keamanan meningkat. Tidak hanya terkait akurasi, temuan yang berulang juga dapat memenuhi antrean. Dengan mempertimbangkan risiko tersebut, tim keamanan harus memprioritaskan temuan yang telah melalui validasi daripada hanya mengejar volume pemindaian.
Microsoft menekankan bahwa kecepatan menemukan kerentanan perlu disertai proses validasi yang memadai. Dalam praktik keamanan, indikasi kelemahan yang serius biasanya harus diuji melalui sistem reproduksi yang sesuai. Untuk memberikan gambaran, indikasi kerusakan memori perlu menunjukkan hasil pengujian yang dapat diulang. Apabila bukti tidak tersedia, peneliti harus meninjau ulang asumsi AI. Pemeriksaan berlapis tersebut membantu menghindari kesalahan prioritas. Melalui proses ini, hasil penelitian menjadi lebih dapat dipercaya.
Mengukur Kinerja AI melalui Biaya Pengujian Kerentanan
Tidak hanya berkaitan dengan validasi, Microsoft turut membahas efisiensi komputasi model ketika penelitian mencakup banyak proyek. Pendekatan ekonomi penalaran perlu dipertimbangkan karena pengujian otomatis mengonsumsi waktu dan kapasitas. Dalam evaluasi FORGE Lab, MDASH mengidentifikasi ribuan lokasi mencurigakan pada kernel Linux dan menyiapkan hasil validasi untuk 627 temuan. Pada kelompok evaluasi yang dipublikasikan, Microsoft mengukur biaya pembuatan bukti konsep. Evaluasi biaya ini bertujuan memahami apakah hasil pengujian sebanding dengan biaya. Dengan pendekatan ini, tim keamanan memiliki dasar menilai efektivitas penggunaan model secara lebih terukur.
Berdasarkan subset evaluasi yang dipublikasikan, Microsoft mencatat bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi membutuhkan rata-rata biaya model sebesar 3,61 dolar AS dengan lama pengujian rata-rata 21,5 menit. Sementara itu, enam kasus terpilih yang diuji kemungkinan local privilege escalation tercatat menggunakan biaya model rata-rata 8,56 dolar AS dan waktu sekitar 25,4 menit. Perlu dipahami, hasil evaluasi tersebut tidak mewakili total biaya penelitian seperti investigasi manusia. Untuk membaca data secara tepat, informasi biaya harus dilihat sebagai indikator efisiensi dalam kondisi penelitian, bukan jaminan biaya untuk semua proyek.
Kolaborasi Manusia dan AI Menjadi Kunci Perbaikan Keamanan Siber
Penelitian FORGE Lab juga menegaskan bahwa pendeteksian kerentanan merupakan bagian dari proses keamanan. Sesudah laporan dinyatakan valid, tim keamanan harus mengevaluasi penyebab masalah. Ketika menangani komponen publik, komunikasi dengan maintainer perlu diperhatikan karena setiap proyek memiliki aturan pelaporan berbeda. Sebagian kerentanan mungkin membutuhkan laporan privat. Tidak hanya mengenai komunikasi, penerapan patch harus melalui pemeriksaan kompatibilitas. Dengan demikian, hasil analisis otomatis dapat memberikan dampak positif bagi pengguna perangkat lunak.
Untuk memperluas kerja sama penelitian, Microsoft berkontribusi terhadap Akrites, yaitu program koordinasi keamanan dari Linux Foundation yang bertujuan membantu proses perbaikan masalah keamanan sumber terbuka. Berkat mekanisme koordinasi ini, tim FORGE melaporkan sembilan temuan Linux yang dinilai memiliki skor CVSS internal lebih tinggi dari 7,0. Sebuah laporan dari rangkaian itu tercatat sebagai laporan pertama melalui Akrites dengan perbaikan diterima yang diterima dalam kode kernel Linux. Pencapaian ini menunjukkan pentingnya koordinasi antara peneliti dan pengembang. Dalam pengembangan berikutnya, pengembang harus mempertimbangkan alur penelitian berkelanjutan agar temuan penting memperoleh prioritas.
Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern
Penelitian FORGE Lab memperlihatkan bahwa teknologi kecerdasan buatan membuka peluang besar dalam menemukan kelemahan kode. Melalui sistem MDASH, Microsoft berhasil meningkatkan skala penelitian pada Windows dan berbagai proyek open source. Namun demikian, kecepatan pemindaian bukan satu-satunya ukuran keberhasilan. Validasi temuan, perhitungan pengeluaran penelitian, serta koordinasi perbaikan tetap memiliki peran penting. Melalui perpaduan otomatisasi penelitian dan pengawasan profesional, organisasi berpotensi meningkatkan efektivitas perlindungan sistem. Bagaimana pendapat Anda, apakah otomatisasi pendeteksian celah akan menjadi kebutuhan utama? Mari berbagi pemikiran Anda mengenai manfaat AI untuk perlindungan perangkat lunak.
