AI Mengubah Keamanan Sumber Terbuka. Akuntabilitas Siklus Hidup Perangkat Lunak Harus Berubah Bersamanya.

Ketika Drupal mengungkapkan CVE-2026-9082 pada Mei, upaya eksploitasi dilaporkan dalam waktu 48 jam. Jendela waktu yang menyusut antara pengungkapan dan eksploitasi menggambarkan kenyataan baru yang dihadapi organisasi yang mengandalkan perangkat lunak sumber terbuka. Mereka memiliki waktu yang lebih sedikit dari sebelumnya untuk menilai risiko dan merespons sebelum kerentanan diserang secara aktif.

AI mempercepat perubahan tersebut dengan secara dramatis meningkatkan kecepatan dan skala penemuan kerentanan. Ketika penemuan kerentanan dipercepat, tantangan bagi perusahaan tidak lagi hanya mengidentifikasi kerentanan; itu memastikan perangkat lunak yang mereka andalkan tetap aman, dapat diandalkan, dan tangguh sepanjang siklus hidupnya.

AI Mempercepat Ancaman Lebih Cepat Daripada Perusahaan Dapat Merespons

Alat-alat yang ditenagai AI mempercepat penemuan kerentanan dan menurunkan hambatan untuk pengembangan eksploit, mengurangi waktu yang dimiliki organisasi untuk menilai risiko dan merespons. Proyeksi industri yang diperbarui dari FIRST sekarang memperkirakan bahwa hampir 66.000 CVE akan diungkapkan pada 2026, revisi 11% ke atas dari perkiraan Februari, setelah pengungkapan melampaui proyeksi sebesar 46% pada April.

FIRST dengan tepat mencatat bahwa risiko yang dapat dieksploitasi belum tumbuh dengan kecepatan yang sama dengan volume mentah, dan bahwa triage KEV dan EPSS dapat menyerap lonjakan. Namun, triage-dan-patch menganggap patch ada. Untuk perangkat lunak yang dibangun pada kerangka kerja akhir, itu tidak ada, dan seluruh model prioritas runtuh pada titik di mana itu paling berarti.

Sementara itu, tim keamanan tidak beroperasi pada kecepatan mesin. Mereka masih perlu menentukan sistem mana yang terkena, menilai risiko bisnis, menguji perbaikan, dan mengirimkan pembaruan tanpa mengganggu operasi. Bagi organisasi yang mengandalkan perangkat lunak sumber terbuka, tantangan tersebut menjadi lebih besar ketika komponen bisnis-kritis telah mencapai akhir masa pakai dan tidak lagi menerima patch keamanan dari pemelihara aslinya.

Hasilnya adalah kesenjangan yang membesar antara mengidentifikasi kerentanan dan benar-benar memperbaikinya. Organisasi memerlukan lebih dari visibilitas ke dalam kerentanan. Mereka memerlukan kepercayaan bahwa perangkat lunak yang mereka andalkan akan tetap aman dan dapat diandalkan sepanjang siklus hidupnya.

Perangkat Lunak Tidak Didukung Menjadi Risiko yang Berkembang Bagi Perusahaan

Banyak organisasi terus menjalankan versi akhir dari kerangka kerja sumber terbuka seperti Drupal, Spring, dan AngularJS karena menggantikan aplikasi bisnis-kritis mahal, mengganggu, dan sering membutuhkan waktu bertahun-tahun untuk diselesaikan.

Kenyaatan tersebut semakin bertabrakan dengan harapan regulasi baru. Kerangka kerja seperti Undang-Undang Ketahanan Cyber Uni Eropa, DORA, NIS2, dan PCI DSS 4.0 menekankan pemeliharaan perangkat lunak, visibilitas rantai pasokan, dan dukungan perangkat lunak yang berkelanjutan, membuat perangkat lunak tidak didukung menjadi kekhawatiran kepatuhan dan operasional yang berkembang.

Karena modernisasi sering membutuhkan waktu bertahun-tahun, organisasi memerlukan strategi untuk memelihara perangkat lunak yang aman dan didukung sepanjang transisi.

Organisasi Memerlukan Visibilitas Siklus Hidup, Bukan Hanya Visibilitas Kerentanan

Sebagian besar organisasi telah berinvestasi besar dalam alat yang dirancang untuk mengidentifikasi kerentanan di seluruh lingkungan mereka. Alat-alat tersebut menjawab pertanyaan di mana kerentanan berada. Mereka tidak menangani pertanyaan lain yang menjadi sama pentingnya: Apakah perangkat lunak ini masih dapat diandalkan?

Menjawab pertanyaan tersebut memerlukan organisasi untuk melihat di luar pengelolaan kerentanan. Mereka memerlukan visibilitas ke dalam apakah komponen sumber terbuka bisnis-kritis masih dipelihara secara aktif, mendekati akhir masa pakai, atau tidak lagi menerima dukungan komunitas, dan strategi untuk menjaga sistem tersebut tetap aman hingga modernisasi selesai.

Pemimpin perusahaan harus fokus pada tiga prioritas:

• Kenali apa yang Anda miliki. Identifikasi perangkat lunak tidak didukung sebelum kerentanan, audit, atau insiden memaksa masalah, dan pahami aplikasi bisnis-kritis mana yang bergantung padanya.
• Rencanakan modernisasi yang aman. Bangun perencanaan siklus hidup ke dalam strategi pengadaan, pengembangan, dan modernisasi, dengan rencana yang jelas untuk memelihara perangkat lunak secara aman sepanjang transisi.
• Perlakukan dukungan perangkat lunak sebagai prioritas bisnis. Ketika ekosistem perangkat lunak menjadi lebih kompleks, dukungan perangkat lunak jangka panjang harus diperlakukan sebagai kemampuan bisnis strategis dan bukan hanya masalah teknik.

AI mengubah cara perangkat lunak dibangun, cara kerentanan ditemukan, dan seberapa cepat organisasi diharapkan merespons. Apa yang tidak berubah adalah tanggung jawab perusahaan untuk memelihara perangkat lunak yang sudah digunakan secara aman. Ketika AI mengubah keamanan sumber terbuka, kesuksesan akan bergantung pada memperlakukan akuntabilitas siklus hidup perangkat lunak sebagai kemampuan keamanan inti, bukan hanya pertimbangan teknis.

Organisasi yang berhasil tidak harus menjadi mereka yang memperbaiki patch tercepat. Mereka akan menjadi mereka yang dapat dengan percaya diri mengelola risiko perangkat lunak di seluruh siklus hidupnya, menjaga aplikasi bisnis-kritis tetap aman dan operasional sambil memodernisasi dengan cara mereka sendiri.