Harness Luncurkan Agen AI untuk Memindai, Menyortir, dan Memperbaiki Kerentanan dengan Kecepatan Mesin

Harness, perusahaan platform pengiriman perangkat lunak berbasis San Francisco, meluncurkan rangkaian agen keamanan AI pada 19 Agustus 2026 — AI SAST, triase dan remediasi berbasis agen, Agen Zero-Day khusus, serta patch virtual — yang dirancang untuk mempersempit kesenjangan antara menemukan kerentanan dan mengirimkan perbaikan dari minggu menjadi jam.

Penawaran ini berlandaskan pada asimetri yang terus kalah bagi para pembela. Dalam posting rekayasa Harness yang merinci peluncuran tersebut, perusahaan mengutip Laporan Statistik Kerentanan Edgescan 2026 yang mencatat rata‑rata 55 hari untuk memperbaiki sebuah kerentanan, berbanding dengan waktu penyerang (dipantau oleh Zero Day Clock) yang dapat melakukan eksploitasi pertama dalam waktu hanya enam jam setelah pengungkapan. Bahkan setelah perbaikan ditulis, Laporan DORA 2025 menyatakan bahwa proses commit‑to‑production memakan lebih dari seminggu. Para pembela menutup jendela yang diukur dalam jam dengan proses yang memakan minggu.

Model frontier kini menekan kedua sisi kesenjangan tersebut. Pemindaian berbasis LLM menghasilkan jauh lebih banyak temuan dibandingkan analisis statis tradisional — mitra dalam Project Glasswing milik Anthropic, yang memberi akses kepada mitra keamanan ke model Claude Mythos Preview untuk mencari kerentanan dalam perangkat lunak kritis, menemukan kira‑kira 10 kali lebih banyak kerentanan selama pengujian. Namun visibilitas tanpa pemrosesan hanya menambah tumpukan backlog: Comcast, peserta Glasswing, menemukan bahwa 44% temuan LLM dengan tingkat keparahan kritis dan tinggi merupakan false positive, dan hanya 36% temuan kritis serta 33% temuan ber‑severitas tinggi yang terkonfirmasi dapat dieksploitasi.

“Kami berada pada titik di mana model AI yang membantu pelanggan kami mengirimkan perangkat lunak lebih cepat juga digunakan oleh penyerang untuk menemukan dan mengeksploitasi kerentanan lebih cepat,” kata Rahul Sood, General Manager Keamanan Aplikasi di Harness, dalam pengumuman perusahaan. “Satu‑satunya cara menutup kesenjangan itu adalah menjadikan keamanan sebagai bagian utama dari pipeline pengiriman itu sendiri.”

Apa yang Dilakukan Agen Secara Nyata

Lapisan pemindaian secara sengaja menjembatani perbedaan antara analisis deterministik dan probabilistik, sebuah pilihan desain yang menonjol mengingat antusiasme industri saat ini untuk mengarahkan LLM ke basis kode. AI SAST milik Harness menggabungkan mesin aliran data deterministik dengan lapisan kepercayaan AI yang mengklasifikasikan setiap temuan sebagai risiko terkonfirmasi, risiko potensial, atau aman secara kontekstual. Benchmark internal perusahaan terhadap korpus OWASP Java mengklaim lapisan tersebut mengurangi false positive sebesar 79% (dari 454 menjadi 95) dan meningkatkan presisi dari 74% menjadi 93% sambil mempertahankan recall sebesar 91%. Pada insecure direct object reference (kelas kontrol akses yang rusak yang tidak dapat dilihat oleh analisis aliran data karena tidak ada input yang salah format untuk dipola), Harness mengklaim recall 71% dengan presisi 99% pada korpus 390 kasus dalam bahasa Go, Java, dan Python. Itu adalah benchmark vendor yang dilaporkan sendiri, namun argumen dasarnya kuat: pemindai probabilistik yang menghasilkan temuan berbeda pada kode yang sama dua kali, dengan biaya token per pemindaian, tidak cocok untuk gating CI/CD yang berkelanjutan. Sebagai gantinya, Harness menempatkan pemindaian LLM untuk pencarian satu kali dan menawarkan LLM Scan Orchestration bagi tim yang ingin menjalankan pemindai LLM mereka sendiri secara native di dalam pipeline.

Di hilir, Agen Triase memprioritaskan temuan dengan menggabungkan CVSS, EPSS, dan analisis keterjangkauan: Harness kini melacak jalur panggilan ke fungsi rentan tertentu, sehingga sebuah dependensi ditandai hanya jika fungsi tersebut dapat dijangkau. Agen Remediasi kemudian menulis perbaikan, memvalidasinya dalam pipeline untuk menghindari kerusakan build, dan membuka pull request yang ditinjau manusia. Pengembang tetap mempertahankan wewenang merge.

Agen Zero-Day adalah komponen yang secara langsung menargetkan masalah enam jam. Ia memantau zero‑day yang baru diungkapkan, mengidentifikasi setiap artefak dan pipeline yang terpengaruh di seluruh lingkungan pelanggan (pemetaan radius ledakan yang menurut perusahaan menurun dari hari menjadi detik) dan menghasilkan perbaikan yang tervalidasi siap ditinjau, melewati antrean triase sepenuhnya. Patch virtual menutupi jendela residual: ketika pengujian API menemukan kerentanan, Harness menerapkan aturan perlindungan pada lapisan aplikasi web dan perlindungan API tanpa mengubah kode, melindungi produksi dalam hitungan menit sementara perbaikan permanen ditulis, kemudian menghapus patch setelah perbaikan dikirim.

Semua enam kemampuan kini tersedia dalam platform Harness, dengan agen remediasi dan zero‑day beroperasi di atas tata kelola pipeline yang sudah ada: gerbang kebijakan, persetujuan, dan rantai kepemilikan pada setiap artefak.

Pembangunan Harness Menuju AppSec Berbasis Agen

Peluncuran ini memperluas kurva keamanan yang dimulai ketika Harness bergabung dengan perusahaan keamanan API Traceable pada Februari 2025, sebuah kesepakatan yang menempatkan co‑founder Traceable, Sanjay Nagaraj, memimpin bisnis keamanan aplikasi perusahaan gabungan. Pada Juli 2026 perusahaan meluncurkan Agent DLC, lapisan tata kelola untuk siklus hidup pengembangan agen AI: pemindaian primitif, AI bill of materials, penemuan agen, dan firewall AI yang menegakkan kebijakan terhadap injeksi prompt dan penyalahgunaan alat pada runtime. Beberapa hari kemudian mereka memperluas kemitraan dengan Kong untuk mendorong penemuan dan perlindungan AI ke dalam AI Gateway Kong, menginventarisasi setiap model, server MCP, dan alat yang dialirkan melaluinya.

Unite.AI telah melacak percepatan yang sama di sisi ofensif, mulai dari Claude yang mengubah benchmark siber menjadi tiga intrusi nyata hingga temuan IBM bahwa AI berperan dalam satu dari empat pelanggaran berbahaya, dan di sisi defensif, model pertahanan siber Daybreak milik OpenAI yang diluncurkan di Amazon Bedrock. Taruhan Harness adalah bahwa pipeline perbaikan, bukan sekadar deteksi, adalah tempat kecepatan mesin harus tiba selanjutnya.

Apakah agen yang menulis perbaikan sendiri akan memperoleh kepercayaan perusahaan akan bergantung pada harness validasi di sekitarnya, sebuah pelajaran yang dikuatkan ketika Copilot Autofix membuka injeksi shell dalam pipeline CI/CD Snowflake. Jawaban Harness bersifat arsitektural: agen mengusulkan, pipeline memvalidasi, dan manusia melakukan merge.