Telset.id – Perkembangan artificial intelligence (AI) yang pesat justru membuat perusahaan kesulitan mengelola risiko keamanan siber. Alih-alih mengurangi beban kerja, AI disebut-sebut menciptakan lebih banyak celah keamanan yang sulit ditangani oleh tim keamanan yang ada.
Menurut laporan terbaru, AI telah mempercepat pengembangan aplikasi dan perangkat lunak di tengah kekurangan tenaga kerja ahli. Namun, kecepatan ini membuat tim keamanan tidak mampu mengimbangi. Alat seperti Claude Code dari Anthropic memang sukses dalam menghasilkan, meninjau, dan mengedit kode dalam hitungan detik, namun hal ini justru memperkenalkan tantangan baru.
Anthropic bahkan mengakui bahwa model keamanan mereka, Claude Mythos, sangat kuat sehingga potensi penyalahgunaannya oleh penjahat dunia maya sangat nyata. Saat ini, model Preview Mythos hanya tersedia untuk sejumlah mitra yang telah disetujui sebelumnya.
Dengan kemampuan AI untuk memeriksa kode, menemukan kerentanan, dan menyarankan perbaikan, muncul pertanyaan besar: apakah perusahaan masih membutuhkan banyak pekerja manusia, atau mereka bisa bertahan dengan lebih sedikit manusia yang berperan sebagai pengulas AI? PHK besar-besaran di beberapa perusahaan belakangan ini mengindikasikan kemungkinan tersebut.
Namun, para ahli memperingatkan bahwa dengan seluruh siklus pengembangan yang kini diperkuat AI, perusahaan justru bisa menciptakan lebih banyak pekerjaan untuk diri mereka sendiri. Beban kerja yang membeludak ini membuat perusahaan menghadapi tekanan dari berbagai sisi yang sebelumnya tidak pernah mereka alami.
Sebagai contoh, kurang dari satu dari 10 perusahaan kini mampu memperbaiki 90% kerentanan yang teridentifikasi dalam waktu 90 hari. Hal ini mengindikasikan bahwa volume kerentanan memang meningkat, bukan karena efisiensi perbaikan yang menurun. Anthropic mengungkapkan bahwa sekitar 50 mitra awal Mythos Preview telah menemukan lebih dari 10.000 kerentanan dengan tingkat keparahan tinggi atau kritis, serta ribuan kerentanan lainnya yang lebih rendah.
CEO Checkmarx, Sandeep Johri, memprediksi bahwa kita mungkin akan segera menemukan keseimbangan, di mana volume kerentanan menjadi kurang penting dan fokus kembali pada risiko yang dapat dieksploitasi. Johri membahas evolusi AppSec, di mana AI berguna dan tidak, serta bagaimana organisasi dapat menyeimbangkan kecepatan dan kontrol.
Baca Juga:
**Apakah AppSec Menjadi Usang?**
Menanggapi pertanyaan apakah Application Security (AppSec) tradisional menjadi usang, Johri menegaskan bahwa hal itu tidak benar. AppSec justru berevolusi untuk memenuhi realitas bagaimana perangkat lunak dibuat saat ini.
“Dulu, prosesnya cukup linier: pengembang menulis kode, tim keamanan memindainya, dan kerentanan ditangani kemudian. Pendekatan itu menjadi jauh lebih sulit ketika perangkat lunak diciptakan dengan kecepatan yang jauh lebih tinggi dengan bantuan AI,” jelas Johri.
Penelitian Checkmarx menunjukkan bahwa 70% pengembang mengatakan kode yang dihasilkan AI menciptakan lebih banyak kerentanan pada tahun 2025. Seiring volume dan kompleksitas kode yang terus bertambah, keamanan perlu bergerak lebih awal ke dalam proses pengembangan, memberikan alat dan panduan kepada pengembang saat mereka membangun.
Tim keamanan akan terus memainkan peran penting untuk membantu organisasi mengembangkan perangkat lunak dan menjaga kepercayaan pada aplikasi perusahaan mereka. Namun, fokus mereka perlu bergeser dari menemukan kerentanan menjadi memperbaikinya secara massal.
**Tantangan Keamanan dari AI Coding Tools**
AI coding tools membantu pengembang membuat perangkat lunak lebih cepat dari sebelumnya. Namun, tantangan keamanan terbesar adalah kecepatan pengembangan yang meningkat lebih cepat daripada proses keamanan yang ada.
Perusahaan yang mengirimkan 81-100% kode mereka dengan AI hampir tiga kali lebih mungkin mengirimkan kode rentan dibandingkan mereka yang menggunakan AI hanya 1-20% dari waktu. Volume ini dapat membanjiri tim keamanan dengan ribuan temuan, yang banyak di antaranya tidak mewakili risiko yang berarti.
Prioritasnya adalah mengidentifikasi kerentanan yang benar-benar menciptakan eksposur dan membantu tim memperbaiki masalah tersebut lebih cepat.
**Mengapa Tidak Bisa Sepenuhnya Bergantung pada AI?**
Banyak organisasi yang beralih ke AI untuk mengidentifikasi dan memperbaiki kerentanan keamanan. Namun, Johri memperingatkan agar tidak hanya mengandalkan model AI.
“AI adalah alat yang berharga bagi tim keamanan, tetapi organisasi masih membutuhkan akurasi, konteks, dan pengawasan manusia,” katanya.
AI dapat membantu mengidentifikasi pola, menganalisis kode, dan mempercepat perbaikan, tetapi keputusan keamanan membutuhkan keyakinan akan risiko apa yang benar-benar penting. Model AI mutakhir dapat mengungkap jalur eksploitasi tersembunyi, tetapi mereka juga dapat memberikan temuan yang tidak konsisten dan positif palsu.
Tantangan dengan hanya mengandalkan AI adalah organisasi dapat menciptakan rasa aman yang salah, atau “bias otomatisasi.” Model AI perlu dipasangkan dengan keahlian keamanan dan praktik keamanan yang terbukti.
**Risiko Shadow AI dan Perluasan Permukaan Serangan**
Selain kode yang dihasilkan AI, organisasi perlu memikirkan seluruh ekosistem AI yang diperkenalkan ke dalam pengembangan perangkat lunak. Banyak perusahaan mengadopsi alat AI, model, agen, pustaka, dan komponen lainnya lebih cepat daripada mereka dapat menetapkan tata kelola di sekitarnya.
Ini menciptakan tantangan visibilitas karena tim keamanan mungkin tidak tahu teknologi AI apa yang digunakan, di mana mereka berada dalam aplikasi, atau apakah mereka memenuhi persyaratan keamanan. Kekhawatiran lainnya adalah “shadow AI,” di mana karyawan menggunakan alat AI tanpa persetujuan atau pengawasan formal.
Organisasi membutuhkan visibilitas, kebijakan yang jelas, dan cara untuk mengelola teknologi ini sebagai bagian dari rantai pasokan perangkat lunak mereka secara keseluruhan.
Masalah yang paling mendesak adalah perluasan permukaan serangan itu sendiri. Dengan LLM, belum pernah lebih cepat, lebih murah, atau lebih mudah bagi aktor jahat untuk mengeksploitasi perangkat lunak. Masalah yang tidak terdeteksi selama bertahun-tahun kini muncul dan dipersenjatai dengan kecepatan mesin. Dari kerentanan yang ditemukan Mythos sejauh ini, 99% belum diperbaiki.
**Perubahan Peran Tim Keamanan**
Mengidentifikasi kerentanan saja tidak lagi cukup ketika organisasi sudah memiliki lebih banyak temuan daripada yang dapat mereka tangani secara realistis. Keamanan harus menjadi berkelanjutan, tertanam dalam alur kerja pengembangan, bekerja sama dengan pengembang, untuk membangun dengan aman sejak awal sambil menjaga visibilitas dan kontrol.
Fokusnya bergeser untuk memahami masalah mana yang menciptakan risiko terbesar untuk memberikan konteks kepada pengembang agar dapat mengatasinya dengan cepat, di mana kode ditulis di IDE. Fidelity sekarang lebih penting daripada volume. Satu true positive yang diverifikasi lebih berharga daripada seratus temuan dengan keyakinan rendah.
**Masa Depan Keamanan Aplikasi**
Masa depan keamanan aplikasi akan membutuhkan pendekatan yang lebih terintegrasi. Organisasi akan terus mengadopsi AI karena manfaat produktivitasnya signifikan, tetapi keamanan perlu berkembang seiring dengan inovasi tersebut.
Keamanan akan menjadi lebih agentic, lebih cerdas, dan lebih terhubung dengan proses pengembangan. Bagian dari evolusi itu adalah menggabungkan pemindaian berbasis aturan deterministik dengan penalaran AI-driven dalam satu proses, daripada menjalankannya sebagai alat yang terpisah dan tidak terhubung.
Metode deterministik menangkap apa yang sudah terbukti; penalaran AI menangkap apa yang baru. Bersama-sama mereka lebih lengkap daripada salah satu saja. Selain itu, model deterministik memiliki keunggulan biaya yang nyata.
Biaya perbaikan kerentanan semakin membesar seiring waktu: murah untuk diperbaiki di IDE, lebih mahal di CI/CD, paling mahal setelah live di runtime. Setiap kali pengembang harus berhenti dan menarik kerentanan dari kode yang sudah dikirim, itu adalah kecepatan yang hilang karena pengerjaan ulang, bukan inovasi.
**Langkah yang Harus Diambil Organisasi**
Langkah pertama adalah visibilitas. Organisasi perlu memahami di mana AI digunakan, alat apa yang diperkenalkan, dan apa dampak alat tersebut pada aplikasi mereka.
Perbaikan jauh lebih murah semakin awal dilakukan. Namun, ada kesenjangan lain yang meresahkan dalam penelitian: hampir semua pengembang memiliki akses ke alat keamanan di IDE, tetapi kurang dari satu dari lima yang benar-benar mengamankan kode saat mereka menulisnya.
Selain itu, organisasi membutuhkan tata kelola yang jelas seputar adopsi AI, karena hanya 22% yang saat ini memiliki kebijakan tata kelola AI formal. Ini berarti mendefinisikan kebijakan, memantau penggunaan, dan memastikan tim memiliki kontrol keamanan yang tepat saat mereka terus berinovasi.
Perusahaan yang paling diuntungkan adalah mereka yang merangkul teknologi sambil membangun keamanan ke dalam proses sejak awal.
Sumber: TechRadar
Komentar
Belum ada komentar.