AI dapat mengungkap lebih banyak kerentanan daripada sebelumnya. Manusia tetap harus memutuskan langkah selanjutnya.

Selama bertahun-tahun, tim keamanan siber berpegang pada asumsi sederhana: jika kita dapat menemukan lebih banyak kerentanan dengan lebih cepat, perangkat lunak akan menjadi lebih aman.

Kecerdasan buatan tengah menguji asumsi tersebut. Seiring perbincangan yang lebih luas tentang AI bergeser dari adopsi cepat ke nilai yang terukur, keamanan siber menyingkap tantangan yang tidak akan hilang meski laju perkembangan AI melambat. Organisasi sudah menghadapi peningkatan jumlah temuan kerentanan yang dihasilkan AI dan masih memerlukan validasi, penentuan prioritas, serta penanganan oleh manusia.

Temuan terbaru dari Project Glasswing menjadi salah satu contoh paling jelas sejauh ini. Claude Mythos Preview dilaporkan telah mengidentifikasi lebih dari 26.000 temuan kerentanan di berbagai proyek perangkat lunak hanya dalam beberapa bulan. Namun, menurut analisis independen atas catatan pengungkapan publik Glasswing, hanya sekitar 10% dari temuan tersebut yang telah memasuki proses pengungkapan, dan pada akhirnya kurang dari 1% yang telah ditambal.

Angka-angka tersebut mencolok, tetapi seharusnya tidak mengejutkan. Selama puluhan tahun, industri ini berfokus mengoptimalkan penemuan kerentanan. Namun, industri belum membangun kapasitas untuk memproses temuan kerentanan dalam skala AI.

Hambatan dalam keamanan siber kini bukan lagi penemuan kerentanan. Hambatannya adalah apa yang terjadi setelahnya.

Menemukan Kerentanan Tak Pernah Menjadi Bagian Tersulit

Dalam pembaruan awal dari Project Glasswing, Anthropic menyatakan bahwa kemajuan semakin terhambat bukan karena sulitnya menemukan kerentanan, melainkan karena pekerjaan manusia yang diperlukan untuk memverifikasi laporan, mengoordinasikan pengungkapan, dan mendukung upaya penanganan. Perusahaan itu juga menyebutkan bahwa beberapa pengelola proyek meminta agar pengungkapan dilakukan lebih lambat karena mereka tidak memiliki kapasitas untuk memproses banyaknya temuan yang dihasilkan.

Perbedaan ini penting karena penemuan kerentanan dan penanganannya merupakan dua kegiatan yang pada dasarnya berbeda.

Penemuan kerentanan semakin menjadi persoalan pengenalan pola. Sistem AI modern unggul dalam menganalisis basis kode yang besar, mengidentifikasi perilaku yang tidak biasa, menelusuri jalur eksekusi, dan mengungkap potensi kelemahan.

Penanganannya berbeda. Memperbaiki kerentanan memerlukan pemahaman konteks. Seseorang harus menentukan apakah masalah tersebut benar-benar ada, memahami potensi dampaknya, mengevaluasi kemungkinan perbaikan, memastikan perubahan tidak menimbulkan regresi, mengoordinasikan jadwal pengungkapan, berkomunikasi dengan para pemangku kepentingan, dan pada akhirnya bertanggung jawab atas hasilnya.

Bagian terakhir itu sangat penting. AI dapat mengidentifikasi potensi kerentanan, tetapi tidak dapat dimintai pertanggungjawaban atas apa yang terjadi selanjutnya. Validasi, triase, perbaikan, dan pelaporan akan selalu membutuhkan manusia yang bertanggung jawab atas proyek yang mereka kelola. Semua itu menyita waktu orang-orang yang sering kali juga memiliki pekerjaan penuh waktu, keluarga, dan kewajiban lain yang bersaing untuk mendapatkan perhatian mereka. Di banyak proyek sumber terbuka, faktor pembatasnya bukan kurangnya visibilitas terhadap risiko, melainkan kapasitas para pengelola dan tim keamanan untuk mengevaluasi dan menanggapi secara bertanggung jawab temuan yang jumlahnya terus bertambah.

Inilah perbedaan mendasar antara penemuan dan penanganan kerentanan. AI semakin mampu membantu kita memperluas skala penemuan. Namun, penanganan tetap bergantung pada orang-orang yang memiliki konteks, wewenang, dan tanggung jawab untuk menindaklanjuti temuan AI.

Tantangan Perangkat Lunak Sumber Terbuka

Dinamika ini semakin terlihat di seluruh ekosistem sumber terbuka. Karena komponen sumber terbuka terdapat dalam 98% basis kode komersial, sebagian besar infrastruktur digital dunia bergantung pada proyek-proyek yang dikelola oleh kelompok kontributor yang relatif kecil.

Dalam banyak kasus, orang-orang yang bertanggung jawab memelihara perangkat lunak penting ini adalah sukarelawan atau individu yang harus menyeimbangkan tanggung jawab proyek dengan pekerjaan penuh waktu dan kewajiban pribadi. Seiring AI meningkatkan jumlah perangkat lunak serta kerentanan yang ditemukan di dalamnya, kapasitas para pengelola tersebut untuk mengimbangi perkembangan ini menjadi bagian yang semakin penting dalam upaya menjaga keamanan.

Ketika sistem AI tiba-tiba menghasilkan ratusan atau ribuan potensi temuan terkait ekosistem proyek, para pengelola proyek itulah yang menjadi faktor pembatas.

Ini bukan kritik terhadap para pengelola proyek. Ini adalah cerminan kenyataan.

Bahkan sebelum penemuan kerentanan dengan bantuan AI muncul, banyak proyek sumber terbuka sudah kesulitan menghadapi keterbatasan sumber daya, ekspektasi keamanan yang terus meningkat, dan beban pemeliharaan yang kian berat. AI mempercepat tekanan terhadap sistem yang sejak awal sudah kewalahan.

Tantangannya bukan sekadar menentukan apakah suatu kerentanan memang ada. Tantangannya mencakup segala sesuatu yang terjadi setelahnya.

Seseorang harus meninjau laporan. Seseorang harus mereproduksi masalahnya. Seseorang harus memutuskan apakah masalah itu merupakan risiko keamanan. Seseorang harus mengembangkan dan menguji perbaikan. Seseorang harus mengoordinasikan pengungkapan dan merilis pembaruan. Tanggung jawab tersebut tidak bisa begitu saja diotomatisasi.

Seiring terus bertambahnya temuan yang dihasilkan AI, organisasi yang mengandalkan perangkat lunak sumber terbuka akan semakin bergantung pada kesehatan dan keberlanjutan orang-orang yang memeliharanya.

Bersiap Menghadapi Lonjakan Penemuan Kerentanan oleh AI

Jadi, apa yang harus dilakukan perusahaan? Pertama, organisasi perlu menyadari bahwa penemuan kerentanan yang didorong AI bukanlah masalah di masa depan. Hal itu sudah terjadi. Project Glasswing menunjukkan bahwa model AI terdepan dapat menemukan kerentanan dalam skala yang sulit dibayangkan beberapa tahun lalu.

Kedua, para pemimpin keamanan harus mengevaluasi apakah proses remediasi mereka mampu berkembang seiring dengan meningkatnya kemampuan untuk menemukan kerentanan. Banyak organisasi telah berinvestasi besar-besaran untuk menemukan kerentanan, tetapi kurang berinvestasi pada orang dan proses yang bertanggung jawab untuk menanganinya.

Ketiga, perusahaan harus lebih memperhatikan pemeliharaan perangkat lunak sebagai fungsi keamanan. Keamanan sering dibahas dari segi pencegahan dan deteksi, tetapi pemeliharaan jangka panjang tetap menjadi salah satu komponen manajemen risiko yang paling penting dan paling kurang mendapat perhatian. AI mungkin mempermudah penemuan kerentanan, tetapi hal itu tidak mengurangi tanggung jawab untuk menjaga keamanan perangkat lunak penting dari waktu ke waktu. Organisasi memerlukan strategi kepemilikan siklus hidup yang memungkinkan mereka melakukan modernisasi secara terencana, alih-alih terpaksa melakukan migrasi terburu-buru atau upaya remediasi reaktif saat risiko muncul.

Terakhir, organisasi harus mendukung ekosistem lebih luas yang menjadi tumpuan mereka. Seiring AI mempercepat penemuan kerentanan di seluruh perangkat lunak sumber terbuka, para pemelihara akan menghadapi tuntutan yang kian besar. Keamanan rantai pasok perangkat lunak pada akhirnya bergantung pada apakah para pemelihara tersebut memiliki sumber daya yang diperlukan untuk merespons.

AI dapat menemukan kerentanan dengan lebih cepat. Namun, menemukannya tidak serta-merta membuat perangkat lunak aman. Pekerjaan yang lebih sulit adalah memvalidasi risiko, menentukan prioritas, menyediakan perbaikan yang telah diuji, dan menjaga keamanan perangkat lunak dari waktu ke waktu. Seiring semakin cepatnya penemuan kerentanan, organisasi akan membutuhkan kemampuan remediasi berkelanjutan yang didukung keahlian, akuntabilitas, dan tingkat layanan yang jelas.

Sebab, masalah tersulit dalam keamanan siber bukanlah menemukan kerentanan, melainkan menentukan apa yang harus dilakukan selanjutnya.