Riset Keamanan Microsoft Ungkap Tantangan Baru dalam Pendeteksian Celah Menggunakan AI

Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.

Perkembangan Teknologi Kecerdasan Buatan untuk Penelitian Kerentanan Siber

Riset yang dilakukan Microsoft Security mengungkapkan bahwa peningkatan kemampuan model AI mulai mengubah cara kerentanan perangkat lunak ditemukan. Berdasarkan penelitian tim FORGE, Microsoft menguji sistem agen keamanan otomatis yang dirancang menganalisis berbagai komponen perangkat lunak. Tidak seperti pemeriksaan yang hanya mengandalkan aturan tetap, sistem berbasis AI dapat membantu menalar hubungan antarbagian kode. Inovasi tersebut menawarkan manfaat untuk memperluas cakupan pengujian sebelum dimanfaatkan penyerang. Meskipun potensinya besar, temuan otomatis tetap memerlukan pembuktian sebelum diproses untuk perbaikan.

Berdasarkan pemaparan FORGE Lab, Microsoft mengidentifikasi tiga tantangan utama dalam pendeteksian kerentanan otomatis. Perubahan pertama adalah upaya mengubah kemampuan eksperimen menjadi proses yang konsisten. Tantangan berikutnya berkaitan dengan efisiensi biaya penalaran AI. Adapun, perubahan ketiga adalah penggabungan validasi dan perbaikan. Rangkaian tantangan ini menunjukkan bahwa efektivitas perlindungan perangkat lunak tidak hanya bergantung pada kecepatan pemindaian. Sebaliknya, tim keamanan harus memperhatikan apakah laporan dapat dibuktikan secara aman.

Microsoft FORGE Lab dan MDASH Mempercepat Pendeteksian Celah Keamanan

Sistem yang digunakan dalam penelitian Microsoft adalah MDASH, yaitu kerangka pemindaian berbasis beberapa model AI. Sistem penelitian ini dikembangkan guna mengoordinasikan beberapa model kecerdasan buatan dalam satu alur pemeriksaan. Dengan sistem tersebut, sebagian komponen dapat menelusuri kode yang berpotensi bermasalah. Sementara itu, sistem berikutnya dapat memeriksa kelayakan temuan. Strategi penggunaan beberapa agen berpotensi memperluas kemampuan menemukan kerentanan kompleks. Namun demikian, peneliti manusia tetap diperlukan untuk menafsirkan hasil.

Berdasarkan penelitian FORGE Lab, penggunaan sistem tersebut membantu identifikasi kerentanan Windows yang berjumlah 140 CVE dalam masa penelitian dari Mei sampai September 2026. Dalam rangkaian pembaruan tersebut, sebanyak 52 CVE ditangani dalam pembaruan keamanan September. Selain penelitian Windows, anggota FORGE menyampaikan 155 laporan yang mendapatkan validasi awal pada 23 proyek perangkat lunak sumber terbuka. Proyek yang diteliti mencakup proyek dengan penggunaan luas. Data yang dipublikasikan menggambarkan kemampuan penerapan keamanan berbasis AI, tetapi bukan bukti bahwa semua temuan telah diumumkan. Temuan yang diterima tetap harus mengikuti koordinasi pengembang sesuai prosedur pengungkapan keamanan.

Tantangan Validasi Temuan AI dalam Penelitian Keamanan Microsoft

Salah satu tantangan terbesar dalam penelitian kerentanan otomatis adalah memastikan setiap temuan benar-benar valid. Agen penelitian otomatis dapat menghasilkan laporan yang terlihat meyakinkan meskipun bukti teknisnya belum cukup. Kondisi tersebut berpotensi menimbulkan laporan positif palsu sehingga proses pemeriksaan menjadi lebih panjang. Di samping laporan yang keliru, temuan yang berulang mungkin memperlambat penanganan masalah penting. Oleh karena itu, pengembang sebaiknya berfokus pada temuan yang telah melalui validasi daripada hanya mengejar volume pemindaian.

Tim FORGE menggarisbawahi bahwa kemampuan menghasilkan laporan otomatis membutuhkan dukungan kemampuan reproduksi masalah. Ketika melakukan evaluasi perangkat lunak, laporan yang berpotensi berdampak biasanya perlu diperiksa melalui prosedur pembuktian teknis. Sebagai contoh, indikasi kerusakan memori membutuhkan bukti perilaku program. Jika masalah tidak dapat direproduksi, peneliti harus meninjau ulang asumsi AI. Pendekatan tersebut dapat membatasi penggunaan sumber daya secara berlebihan. Berkat validasi yang konsisten, kualitas temuan dapat meningkat.

Tantangan Penggunaan Sumber Daya dalam Teknologi Pendeteksi Celah

Tidak hanya berkaitan dengan validasi, Microsoft turut membahas biaya penggunaan AI ketika sistem diterapkan dalam skala besar. Konsep reasoning economics menjadi penting karena pengujian otomatis mengonsumsi waktu dan kapasitas. Melalui penelitian tersebut, MDASH menandai ribuan lokasi mencurigakan pada kernel Linux dan mengumpulkan informasi pengujian untuk 627 temuan. Dalam sebagian pengujian itu, Microsoft mencatat pengeluaran komputasi untuk proof of concept. Evaluasi biaya ini digunakan untuk menilai apakah hasil pengujian sebanding dengan biaya. Dengan pendekatan ini, organisasi dapat mempertimbangkan kebutuhan pemeriksaan lanjutan secara lebih terukur.

Dalam pengujian tertentu, Microsoft mengungkapkan bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi membutuhkan rata-rata biaya model sebesar 3,61 dolar AS dengan lama pengujian rata-rata 21,5 menit. Untuk evaluasi tambahan, enam kasus terpilih yang dianalisis untuk menilai risiko eskalasi privilese memiliki pengeluaran model sekitar 8,56 dolar AS dan durasi rata-rata 25,4 menit. Perlu dipahami, pengukuran performa itu tidak mewakili total biaya penelitian seperti pemeriksaan awal. Oleh sebab itu, hasil pengujian sebaiknya dipahami sebagai indikator efisiensi dalam kondisi penelitian, bukan standar tetap seluruh pengujian kerentanan.

Masa Depan Teknologi Keamanan Microsoft melalui Validasi Berkelanjutan

Evaluasi kerentanan berbasis AI tersebut juga menegaskan bahwa pendeteksian kerentanan merupakan bagian dari proses keamanan. Sesudah laporan dinyatakan valid, tim keamanan harus mengevaluasi dampak terhadap sistem. Dalam proyek sumber terbuka, kerja sama antartim memiliki peran utama karena prosedur penerimaan perbaikan tidak selalu sama. Beberapa masalah keamanan dapat memerlukan pengungkapan terkoordinasi. Tidak hanya mengenai komunikasi, pembaruan kode sumber harus diuji untuk menghindari regresi. Dengan demikian, temuan AI berpotensi berubah menjadi perbaikan bermanfaat bagi komunitas pengembang.

Untuk memperluas kerja sama penelitian, Microsoft juga berpartisipasi dalam Akrites, yaitu inisiatif Linux Foundation yang berfokus pada penanganan celah pada proyek penting. Berkat mekanisme koordinasi ini, tim FORGE melaporkan sembilan temuan Linux yang dinilai memiliki skor CVSS internal lebih tinggi dari 7,0. Salah satu laporan tersebut tercatat sebagai laporan pertama melalui Akrites dengan perbaikan diterima yang diterima dalam kode kernel Linux. Pencapaian ini memperlihatkan manfaat pengelolaan laporan yang bertanggung jawab. Dalam pengembangan berikutnya, pengembang harus mempertimbangkan sistem penanganan kerentanan terpadu agar jumlah laporan tidak melampaui kapasitas penanganan.

Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern

Penelitian FORGE Lab memperlihatkan bahwa sistem penelitian berbasis agen semakin berperan penting dalam menemukan kelemahan kode. Dengan bantuan kerangka pemindaian multiagen, Microsoft menunjukkan kemampuan pemeriksaan yang lebih luas pada beragam lingkungan pengembangan. Namun demikian, kecepatan pemindaian bukan satu-satunya ukuran keberhasilan. Konfirmasi kerentanan, perhitungan pengeluaran penelitian, serta pengawasan proses remediasi tetap memiliki peran penting. Dengan menggabungkan otomatisasi penelitian dan koordinasi pengembang, organisasi berpotensi meningkatkan kualitas pengelolaan kerentanan. Menurut Anda, apakah teknologi penelitian kerentanan berbasis AI akan berkembang pesat? Mari berbagi pemikiran Anda mengenai manfaat AI untuk perlindungan perangkat lunak.