AI Bikin 44% Kode Rentan, Veracode Ungkap Krisis Keamanan Software

Telset.id – Kehadiran AI coding assistant di lingkungan pengembangan software kini menimbulkan persoalan serius bagi keamanan. Veracode mengungkap bahwa AI sangat mahir menghasilkan kode yang benar secara sintaks, dengan tingkat kelulusan 99,9%. Namun di sisi keamanan, rata-rata security pass rate hanya mencapai 56%, yang berarti sekitar 44% tugas pembuatan kode yang diuji justru memunculkan kerentanan yang sudah diketahui.

Angka tersebut menjadi penting karena AI kini bertanggung jawab atas sekitar separuh kode yang di-commit di organisasi yang telah mengadopsinya. Pertanyaannya bukan lagi apakah developer akan memakai AI, melainkan apakah program keamanan mampu mengendalikan apa yang dihasilkan sistem tersebut. Seiring volume kode buatan AI meningkat sementara performa keamanannya relatif tidak berubah, organisasi berisiko memasukkan lebih banyak kode rentan ke lingkungan pengembangan mereka. Akibatnya, kerentanan software kini menjadi titik masuk utama pelanggaran keamanan dengan porsi 31%, melampaui kredensial yang dicuri.

Temuan ini disampaikan Chris Wysopal, Chief Security Evangelist di Veracode. Menurutnya, menutup celah tersebut menuntut perubahan cara memandang keamanan dalam pengembangan berbantuan AI. Organisasi perlu menjadikan keamanan sebagai bagian dari proses pengembangan sejak awal, memilih model dengan mempertimbangkan risiko, dan memverifikasi kode dalam konteks sebelum mencapai produksi. Tujuannya bukan memperlambat developer, melainkan memastikan keamanan dapat beroperasi pada kecepatan dan skala yang sama dengan software yang dibuat.

Pilihan Model adalah Keputusan Keamanan

Model AI belajar dari volume besar kode historis dan tersedia publik, termasuk contoh dari proyek open-source dan komunitas developer. Data pelatihan itu memuat implementasi yang aman, tetapi juga library usang, validasi lemah, dan pola pengkodean yang tidak aman. Meski model dirancang menghasilkan kode yang fungsional, tanpa kontrol yang tepat mereka dapat mereproduksi pola tidak aman tersebut dalam skala besar. Organisasi tidak bisa mengendalikan setiap sumber yang dipakai untuk melatih model, tetapi mereka bisa mengendalikan model mana yang masuk ke pengembangan.

Model terkuat yang diuji mencapai security pass rate 68%, sementara enam dari 11 model berkumpul di kisaran 50% hingga 53%. Karena itu, pemilihan model bukan sekadar keputusan produktivitas, melainkan pertimbangan risiko. Memilih model yang lebih kuat dapat mengurangi paparan, tetapi tidak membuat outputnya otomatis tepercaya. Kode buatan AI tetap harus diuji sepanjang siklus hidup pengembangan software menggunakan kemampuan seperti static analysis dan kebijakan keamanan yang dapat ditegakkan. Keamanan harus menjadi bagian dari proses pengiriman itu sendiri.

Keamanan Butuh Konteks Aplikasi

Kode buatan AI bisa tampak bekerja sesuai harapan, berhasil dikompilasi, dan lolos uji fungsional, namun tetap mengandung kerentanan keamanan. Di bawah tekanan tenggat waktu, kondisi ini dapat menciptakan keyakinan yang salah, terutama ketika developer menerima output tanpa sepenuhnya memahami perilakunya di dalam aplikasi yang lebih luas. Perbedaan performa keamanan antar jenis kerentanan menunjukkan mengapa konteks begitu penting.

Model mencapai pass rate 83% untuk SQL injection dan 87% untuk algoritma kriptografi yang tidak aman. Namun performanya turun menjadi 15% untuk cross-site scripting dan 12% untuk log injection. Sebagian kelemahan dapat dikenali melalui pola pengkodean, tetapi sebagian lain bergantung pada aliran data, otorisasi, batas kepercayaan, dan interaksi antar bagian aplikasi. Karena itu verifikasi perlu dilakukan di dalam alur kerja dan dalam konteks aplikasi. Analisis AI-native dapat menambahkan deteksi risiko kontekstual di samping static analysis yang sudah mapan, memunculkan isu seperti cacat logika dan autentikasi yang rusak langsung di pull request. Kuncinya adalah menggabungkan analisis kontekstual dengan pengujian independen sebelum kode digabungkan dan risiko berpotensi menyebar.

Seiring AI meningkatkan volume dan kecepatan pengembangan software, jumlah risiko yang harus dinilai, diprioritaskan, dan diperbaiki tim keamanan juga bertambah. Hal ini menambah tekanan pada organisasi yang sudah membawa backlog signifikan berisi kerentanan yang belum terselesaikan. Backlog tersebut memungkinkan security debt menumpuk karena cacat teridentifikasi tetapi tidak diperbaiki, sehingga risiko yang diketahui tetap berada di aplikasi lebih lama. Semakin menumpuk, semakin sulit dan mahal untuk menguranginya. Saat ini security debt memengaruhi 82% organisasi, sementara critical security debt memengaruhi 60%.

Angka tersebut menunjukkan masalah kapasitas yang membesar. Organisasi menghasilkan dan menemukan risiko lebih cepat daripada kemampuan mereka menguranginya. Memperlakukan setiap temuan sebagai sama mendesak hanya akan memperburuk masalah. Tim perlu berfokus pada exploitability, kekritisan aplikasi, dan dampak bisnis agar kapasitas remediasi yang terbatas diarahkan ke kerentanan yang paling mungkin menimbulkan kerugian nyata. AI-powered remediation dapat membantu menutup jarak antara penemuan dan tindakan dengan mengusulkan perbaikan di dalam alur kerja developer dan mengurangi pekerjaan manual berulang. Namun remediasi tetap harus diatur. Perbaikan yang dihasilkan harus diuji, divalidasi, dan diperiksa terhadap regresi. Tujuannya adalah mengurangi paparan yang bermakna, bukan sekadar menambah jumlah temuan atau perbaikan yang bergerak di sistem.

Karena kode berbantuan AI telah tertanam dalam pengembangan software, para pemimpin perlu memperlakukan implikasi keamanannya sebagai perubahan pada model operasi software. Itu berarti mengetahui di mana kode buatan AI masuk ke organisasi, mengevaluasi model terhadap kebutuhan keamanan yang relevan, membangun verifikasi ke dalam alur kerja developer, dan memfokuskan remediasi pada risiko bisnis yang dapat dieksploitasi. Hal ini juga berarti menyimpan bukti tentang apa yang diuji, apa yang diperbaiki, dan risiko apa yang secara sadar diterima. Organisasi yang berhasil bukanlah mereka yang memperlambat adopsi AI, melainkan mereka yang mengembangkan praktik pengembangan agar keamanan dapat mengikuti kecepatan pembuatan software. AI memudahkan menghasilkan kode yang berfungsi, tetapi ujian sebenarnya adalah apakah bisnis dapat membuktikan kode itu aman sebelum mencapai produksi.

[ META_DESCRIPTION ]
Veracode ungkap 44% kode buatan AI berisiko memunculkan kerentanan meski lolos sintaks, dengan security pass rate hanya 56%.