Kode yang Dihasilkan AI di Sini untuk Bertahan. Apakah Kita Lebih Tidak Aman sebagai Akibatnya?

Mengkodekan pada tahun 2025 tidak lagi tentang mengerjakan fragmen atau menghabiskan waktu lama untuk debugging. Ini adalah getaran yang berbeda. Kode yang dihasilkan AI akan menjadi sebagian besar kode dalam produk masa depan dan telah menjadi alat esensial untuk pengembang modern. Dikenal sebagai “vibe coding”, penggunaan kode yang dihasilkan oleh alat seperti Github Copilot, Amazon CodeWhisperer, dan Chat GPT akan menjadi norma dan bukan pengecualian dalam mengurangi waktu pembuatan dan meningkatkan efisiensi. Tapi apakah kemudahan kode yang dihasilkan AI meningkatkan ancaman yang lebih gelap? Apakah AI generatif meningkatkan kerentanan dalam arsitektur keamanan atau apakah ada cara bagi pengembang untuk “vibe code” dengan aman?

“Insiden keamanan sebagai akibat dari kerentanan dalam kode yang dihasilkan AI adalah salah satu topik yang paling sedikit dibahas saat ini,” kata Sanket Saurav, pendiri DeepSource. “Masih banyak kode yang dihasilkan oleh platform seperti Copilot atau Chat GPT yang tidak mendapatkan tinjauan manusia, dan pelanggaran keamanan dapat menjadi bencana bagi perusahaan yang terkena.”

Pengembang platform open source yang menggunakan analisis statis untuk kualitas kode dan keamanan, Saurav mengutip serangan SolarWinds pada tahun 2020 sebagai contoh “peristiwa kepunahan” yang dapat dihadapi perusahaan jika mereka tidak menginstal pengaman keamanan yang tepat saat menggunakan kode yang dihasilkan AI. “Analisis statis memungkinkan identifikasi pola kode yang tidak aman dan praktik pengkodean yang buruk,” kata Saurav.

Diserang Melalui Perpustakaan

Ancaman keamanan terhadap kode yang dihasilkan AI dapat mengambil bentuk yang kreatif dan dapat diarahkan pada perpustakaan. Perpustakaan dalam pemrograman adalah kode yang dapat digunakan kembali yang berguna bagi pengembang untuk menghemat waktu saat menulis.

Mereka sering memecahkan tugas pemrograman reguler seperti mengelola interaksi database dan membantu programmer dari harus menulis kode dari awal.

Salah satu ancaman terhadap perpustakaan adalah yang dikenal sebagai “halusinasi”, di mana kode yang dihasilkan AI menampilkan kerentanan melalui penggunaan perpustakaan fiksi. Serangan lain yang lebih baru terhadap kode yang dihasilkan AI disebut “slopsquatting” di mana penyerang dapat langsung menargetkan perpustakaan untuk menginfiltrasi database.

Mengatasi ancaman ini secara langsung mungkin memerlukan lebih banyak kesadaran daripada yang disarankan oleh istilah “vibe coding”. Berbicara dari kantornya di Université du Québec en Outaouais, Profesor Rafael Khoury telah mengikuti perkembangan dalam keamanan kode yang dihasilkan AI dan yakin bahwa teknik baru akan meningkatkan keamanannya.

Dalam sebuah makalah pada tahun 2023, Profesor Khoury menyelidiki hasil dari meminta ChatGPT untuk menghasilkan kode tanpa konteks atau informasi lebih lanjut, sebuah praktik yang menghasilkan kode yang tidak aman. Itu adalah hari-hari awal Chat GPT dan Khoury sekarang optimis tentang masa depan. “Sejak saat itu, banyak penelitian yang sedang ditinjau saat ini dan masa depan terlihat pada strategi untuk menggunakan LLM yang dapat menghasilkan hasil yang lebih baik,” kata Khoury, menambahkan bahwa “keamanan menjadi lebih baik, tetapi kita belum berada di tempat di mana kita dapat memberikan prompt langsung dan mendapatkan kode yang aman.”

Khoury melanjutkan untuk menjelaskan sebuah studi yang menjanjikan di mana mereka menghasilkan kode dan kemudian mengirimkan kode tersebut ke alat yang menganalisisnya untuk kerentanan. Metode yang digunakan oleh alat ini disebut Finding Line Anomalies with Generative AI (atau FLAG untuk singkatnya).

“Alat ini mengirimkan FLAG yang mungkin mengidentifikasi kerentanan dalam baris 24, misalnya, yang dapat dikirim kembali oleh pengembang ke LLM dengan informasi dan meminta untuk memeriksa dan memperbaiki masalahnya,” katanya.

Khoury menyarankan bahwa proses bolak-balik ini mungkin sangat penting untuk memperbaiki kode yang rentan terhadap serangan. “Studi ini menunjukkan bahwa dengan lima iterasi, Anda dapat mengurangi kerentanan hingga nol.”

Namun, metode FLAG ini tidak tanpa masalah, terutama karena dapat menghasilkan positif palsu dan negatif palsu. Selain itu, ada juga keterbatasan dalam panjang kode yang dapat dibuat oleh LLM dan tindakan menggabungkan fragmen dapat menambahkan lapisan risiko lain.

Menjaga Manusia dalam Lingkaran

Beberapa pemain dalam “vibe coding” merekomendasikan untuk memecah kode dan memastikan bahwa manusia tetap berada di pusat perhatian dalam editan kode yang paling penting. “Ketika menulis kode, pikirkan dalam bentuk komit,” kata Kevin Hou, kepala teknik produk di Windsurf, mengutamakan kebijaksanaan potongan-potongan kecil.

“Pecah sebuah proyek besar menjadi potongan-potongan kecil yang biasanya merupakan komit atau permintaan tarik. Biarkan agen membangun skala kecil, satu fitur terisolasi pada satu waktu. Ini dapat memastikan bahwa output kode baik diuji dan dipahami,” tambahnya.

Saat penulisan, Windsurf telah mendekati lebih dari 5 miliar baris kode yang dihasilkan AI (melalui nama sebelumnya Codeium). Hou mengatakan bahwa pertanyaan paling mendesak yang mereka jawab adalah apakah pengembang menyadari prosesnya.

“AI dapat membuat banyak edit di seluruh file secara bersamaan, jadi bagaimana kita dapat memastikan bahwa pengembang benar-benar memahami dan meninjau apa yang terjadi daripada hanya menerima semuanya secara buta?” tanya Hou, menambahkan bahwa mereka telah berinvestasi besar dalam UX Windsurf “dengan banyak cara intuitif untuk tetap sepenuhnya sejalan dengan apa yang AI lakukan, dan untuk menjaga manusia tetap berada dalam lingkaran.”

Itulah mengapa ketika “vibe coding” menjadi lebih mainstream, manusia dalam lingkaran harus lebih berhati-hati terhadap kerentanannya. Dari “halusinasi” hingga ancaman “slopsquatting”, tantangan tersebut nyata, tetapi solusinya juga nyata.

Alat yang muncul seperti analisis statis, metode penyempurnaan iteratif seperti FLAG, dan desain UX yang bijaksana menunjukkan bahwa keamanan dan kecepatan tidak harus saling eksklusif.

Kunci terletak pada menjaga pengembang terlibat, terinformasi, dan mengendalikan. Dengan pengaman yang tepat dan mentalitas “percayalah tetapi verifikasi”, kode yang dibantu AI dapat menjadi revolusioner dan bertanggung jawab.