Analisis Penemuan Kerentanan AI: Pemeriksaan Kecepatan VulnCheck

Pemburu bug robot itu belum tentu sedang mendobrak pintu. Bisa jadi ia hanya terus membunyikan bel manajemen kerentanan sampai baterainya habis. Patrick Garrity dari VulnCheck melaporkan kenaikan tajam dalam volume pengungkapan CVE di berbagai pemasok perangkat lunak besar, persis jenis grafik yang membuat tim keamanan diam-diam membuka kopi kedua. Bagian yang menarik adalah apa yang belum dibuktikan oleh data: bahwa celah yang ditemukan AI dieksploitasi lebih cepat daripada celah tradisional. Perbedaan itu penting karena diskusi keamanan AI sering punya kehalusan seperti peniup daun di perpustakaan. Volume penemuan dan kecepatan eksploitasi saling terkait, tetapi keduanya bukan mesin yang sama. Yang satu memenuhi antrean. Yang lain menentukan apakah antrean itu terbakar.

VulnCheck: selang deras

CVE tampak mencurigakan makin deras VulnCheck melaporkan bahwa volume pengungkapan CVE naik tajam sejak awal tahun di beberapa pemasok, termasuk Chrome sebesar +563,2%, VMware sebesar +180,9%, Apache sebesar +170,3%, Mozilla sebesar +156,9%, HPE sebesar +132,3%, dan F5 sebesar +113,8%. VulnCheck juga mengatakan penerbitan CVE GitHub naik +476,07% sejak awal tahun, dengan GitHub menunjukkan bahwa peningkatan ini tersebar di banyak pelapor dan proyek, bukan terkonsentrasi pada satu sumber. Itu petunjuk penting, karena polanya lebih terlihat seperti efek perkakas yang luas daripada satu goblin bug heroik.

VulnCheck berhati-hati soal kausalitas, sesuatu yang menyegarkan di industri tempat pemanggang roti bisa diberi label agentik jika punya file YAML. Perusahaan itu mengatakan peningkatan tersebut konsisten dengan penggunaan yang lebih luas atas penemuan kerentanan berbantuan AI, tetapi sinyalnya masih muncul dan tidak semua peningkatan dapat langsung dikaitkan dengan AI. VulnCheck juga menunjuk contoh publik dari Mozilla, Microsoft, Apache, Curl, dan Palo Alto, tempat model AI digunakan untuk menemukan, memvalidasi, atau melakukan triase kerentanan, dengan hasil yang beragam tergantung proyeknya.

Kesimpulan praktisnya bukan bahwa mesin telah menjadi auditor yang sempurna. Kesimpulannya adalah biaya marjinal untuk menyodok-nyodok kode sedang turun, dan jumlah sodokan tampaknya meningkat. Anggap saja seperti fuzzing dengan analis junior yang tidak pernah tidur, sesekali berhalusinasi, dan tetap membutuhkan seseorang yang lebih senior untuk bertanya, dengan sopan, apakah temuan itu bisa direproduksi.

Cloud Security Alliance: otomatisasi eksploit itu nyata, tetapi jangan mencampur

Cloud Security Alliance berargumen dalam makalah AI Safety Initiative-nya bahwa jendela eksploit yang lebih luas sedang menyempit. Menurut CSA, waktu rata-rata menuju eksploit untuk kerentanan yang diungkap turun dari sekitar 32 hari pada 2022 menjadi sekitar 5 hari untuk aktivitas eksploitasi 2023, dan data 2025 menunjukkan 32,1% eksploit yang baru dilacak muncul pada atau sebelum tanggal pengungkapan publik CVE. CSA juga mengatakan sistem AI dapat menghasilkan kode proof of concept eksploit yang berfungsi untuk CVE yang telah dipublikasikan hanya dalam 10 sampai 15 menit dengan biaya sekitar satu dolar per percobaan.

Itu klaim yang serius, dan para pembela tidak sebaiknya memasukkannya ke kategori bacaan sebelum tidur kecuali mereka suka tidur seperti klaster Kubernetes saat gangguan satu region. Namun klaim itu menjawab pertanyaan yang berbeda dari analisis volume pengungkapan VulnCheck. CSA menggambarkan tekanan weaponization yang luas di sekitar CVE yang telah dipublikasikan, sementara VulnCheck menandai kenaikan volume pengungkapan yang konsisten dengan penemuan berbantuan AI. Membuktikan bahwa celah yang ditemukan AI itu sendiri bergerak menuju eksploitasi lebih cepat membutuhkan telemetri yang sadar asal-usul, yang memisahkan dengan rapi bagaimana suatu bug ditemukan dari bagaimana penyerang kemudian bertindak.

Contoh CVE-Genie dari CSA membuat poinnya lebih tajam. Makalah tersebut mengatakan kerangka kerja multi-agen itu mereproduksi 51% dari semua CVE yang diterbitkan pada 2024 dan 2025 dengan eksploit yang dapat diverifikasi, dengan biaya rata-rata $2,77 per CVE. Itu menunjukkan validasi eksploit bisa menjadi lebih murah, tetapi tetap tidak otomatis berarti setiap bug yang ditemukan AI berubah menjadi intrusi dunia nyata yang lebih cepat. Otomatisasi dapat mempercepat lab tanpa menggambar ulang peta jalanan.

VulnCheck dan CSA bersama-sama menunjukkan masalah triase

Baca VulnCheck dan CSA berdampingan, dan pelajaran bagi pembela terasa nyaris menjengkelkan karena sangat praktis: dampak pertama AI mungkin berupa inflasi backlog, sementara cerita soal kecepatan tetap tidak merata dan bergantung pada konteks. VulnCheck secara eksplisit mengatakan masih kurang jelas apakah peningkatan volume pengungkapan akan berlanjut atau apakah ini lonjakan sementara ketika model AI terdepan diterapkan ke berbagai kode. Ketidakpastian itu bukan angkat bahu. Itu masukan perencanaan.

Tim keamanan harus memperlakukan temuan berbantuan AI seperti sumber sinyal bervolume tinggi lainnya: tuntut reproduksibilitas, petakan temuan ke aset yang terekspos, verifikasi eksploitabilitas, dan prioritaskan berdasarkan radius dampak operasional. Jika sebuah laporan tidak memiliki repro yang berfungsi, kejelasan versi terdampak, atau jalur yang kredibel menuju dampak, laporan itu tidak boleh mengalahkan isu lama yang membosankan tetapi diketahui sudah dieksploitasi hanya karena AI memakai jas lab saat menemukannya. Model adalah detektor logam, bukan hakim.

Data penyempitan dari CSA tetap mendukung loop keputusan patch yang lebih cepat, terutama setelah sebuah CVE menjadi publik dan kode eksploit menjadi murah untuk diuji. Namun data VulnCheck menentang penyortiran panik yang menempatkan setiap CVE yang tersentuh AI ke puncak tumpukan. Sikap yang waras adalah triase sadar asal-usul: catat apakah AI membantu menemukan, memvalidasi, atau melakukan triase bug, tetapi ambil keputusan patch berdasarkan eksposur, bukti eksploit, aset terdampak, dan tingkat keyakinan.

Apa yang perlu diperhatikan berikutnya

Sinyal berguna berikutnya bukanlah siaran pers lain yang mengklaim robot menemukan bug. Sinyal itu adalah kumpulan data yang menghubungkan asal-usul penemuan, kualitas pengungkapan, ketersediaan eksploit, dan waktu eksploitasi nyata. Jika penemuan berbantuan AI terus menaikkan volume CVE tanpa peningkatan yang cocok dan terukur dalam kecepatan eksploitasi untuk celah yang sama, para pembela akan membutuhkan otomatisasi intake yang lebih baik, bukan sirene yang lebih keras.

Bagi pembangun, ini adalah undangan untuk membuat manajemen kerentanan lebih tidak teatrikal dan lebih terukur. Tambahkan bidang untuk metode penemuan. Lacak false positive. Pisahkan validasi dari eksploitabilitas. Tumpukan bug makin tinggi, tetapi jawabannya bukan menyembah tumpukan itu. Jawabannya adalah membangun sekop yang lebih baik, sebaiknya yang tidak berhalusinasi memberi peringkat tingkat keparahan kritis hanya karena nama fungsi terdengar pedas.