Ledakan Celah Keamanan AI: 66.401 CVE Tercatat, Patch Tak Terkejar

Telset.id – Gelombang kerentanan perangkat lunak yang ditemukan menggunakan AI telah melampaui kapasitas tim keamanan dan pemelihara open source untuk menambalnya. Hingga Rabu pekan ini, sebanyak 66.401 CVE tercatat oleh proyek analisis cve.icu—angka yang hampir dua kali lipat total 33.512 CVE pada 16 September tahun lalu. Ini bukan lagi skenario masa depan, melainkan dampak nyata dari kemampuan AI yang sudah tersedia luas di produk mainstream, termasuk model open weight.

Perdebatan di kalangan peneliti keamanan dan AI pun bergeser. Isu yang dulu berkutat pada kemungkinan bencana kerentanan perangkat lunak atau skenario AI nakal yang menyebabkan kematian massal manusia dalam satu dekade ke depan, kini berbenturan dengan kenyataan harian. Sejumlah pakar AI tengah mempertimbangkan perlambatan kooperatif dalam pengembangan model frontier, namun satu aspek dari perubahan lanskap keamanan siber sudah tiba lebih dulu: banjir temuan celah keamanan yang dipercepat AI.

Data terbaru menunjukkan lonjakan yang tidak biasa. Microsoft menyatakan pekan lalu telah menerbitkan patch untuk 974 CVE bulan ini, memecahkan rekor baru. Pada Juli, Oracle mengirim 1.448 patch dibandingkan 309 patch pada Juli 2025. Dua rilis versi utama Google Chrome pada Juni mencakup 1.072 patch—lebih banyak dari seluruh perbaikan kerentanan yang dikirim dalam 23 rilis besar sebelumnya jika digabungkan. Mozilla pada April mengungkap menemukan 271 kerentanan di Firefox hanya dalam satu sprint pencarian bug menggunakan model Mythos dari Anthropic.

Bagi banyak peneliti, ledakan temuan ini bukan sekadar soal angka. Jerry Gamblin, head of research di Empirical Security sekaligus pendiri RogoLabs yang menjalankan proyek analisis CVE cve.icu, menilai situasi ini perlu dibaca dengan nuansa. “Saya tidak berpikir ini berlebihan,” ujarnya soal ledakan temuan kerentanan di industri. “Yang saya bantah adalah gagasan bahwa angka yang lebih besar sendirinya adalah kerugian. Lebih banyak CVE bukan berarti lebih banyak kerentanan. Itu lebih banyak kerentanan yang diketahui, yang sebagian besar justru menandakan sistem bekerja.”

Namun kekhawatiran tetap nyata. Penemuan kerentanan yang masif berpotensi membuat pengembang kewalahan dalam menambal, pengguna perangkat lunak tidak mampu menambal cukup cepat, dan muncul rangkaian serangan siber yang meningkat karena lebih banyak penyerang menemukan kerentanan baru sendiri menggunakan AI. National Cyber Security Center Inggris merumuskannya dengan tajam: “Hanya menemukan kerentanan tidak melakukan apa pun untuk meningkatkan keamanan Anda.”

Di sisi lain, sejumlah peneliti menilai masih ada keseimbangan rapuh antara AI yang mempercepat penemuan bug dan AI yang membantu para defender. Matthew Olney, director of threat intelligence di Cisco Systems, menggambarkan bahwa para pelaku ancaman sama seperti industri sedang mencari tahu di mana AI paling tepat digunakan. Artinya, adopsi AI tidak berjalan satu arah dan masih dalam tahap eksplorasi di kedua kubu.

Konteks historis memperjelas skala perubahan ini. Sepanjang 2022, tahun ketika OpenAI meluncurkan versi pertama ChatGPT, cve.icu mencatat 25.000 CVE. Kini, dalam hitungan bulan, angka itu terlampaui berkali-kali lipat. Bahkan peneliti telah menemukan dan mengungkap berbagai kerentanan jauh sebelum era AI-enhanced bug hunting, tetapi lonjakan belakangan ini sulit dibantah sebagai fenomena baru.

Sebagian pihak mengingatkan bahwa adopsi patch yang lambat dan investasi keamanan siber yang tertinggal sudah lama memberi keuntungan bagi penyerang—bahkan sebelum AI menjadi alat bantu umum. Hal ini pernah memicu berbagai bencana peretasan. Namun seiring angka penemuan kerentanan terus naik dan diskusi menjadi kurang teoretis, kedua kubu yang semula berseberangan tampak mulai mendekat.

Yang menjadi tekanan utama bukan hanya volume temuan, melainkan siapa yang harus menanganinya. Tim IT dan keamanan yang sumber dayanya terbatas, serta relawan yang memelihara perangkat lunak open source krusial, kini menghadapi beban yang bertambah. Proses remediasi tetap bergantung pada manusia, sementara penemuan kerentanan bisa dipercepat oleh komputasi.

Gamblin merangkum persoalan inti ini dengan gamblang: “Penemuan berskala dengan komputasi. Remediasi berskala dengan manusia—dan manusia adalah bagian yang tidak bisa Anda beli lebih banyak dalam satu kuartal.” Pernyataan ini menegaskan bahwa percepatan AI dalam menemukan celah tidak diimbangi oleh kapasitas manusia untuk memperbaikinya.

Dalam konteks yang lebih luas, perlambatan AI dalam bentuk apa pun—baik regulasi maupun kesepakatan industri—mungkin dapat mencegah AI melakukan peristiwa pemusnahan massal manusia. Namun menurut sumber yang sama, langkah tersebut tidak dapat menghentikan tsunami kerentanan yang sudah tiba sebagai akibat dari alat AI yang sudah ada. Dengan kata lain, dampak keamanan siber dari AI generasi saat ini sudah berlangsung, terlepas dari arah pengembangan model frontier ke depan.

Sejumlah pengamat industri mengaitkan dinamika ini dengan pola adopsi teknologi yang lebih luas, di mana setiap lompatan kemampuan alat juga membawa konsekuensi baru yang harus dikelola. Termasuk dalam hal ini bagaimana perangkat konsumen dan ekosistem pendukungnya—mulai dari perangkat wireless HDMI 4K hingga perangkat pendidikan seperti robot pendidikan terjangkau—semakin bergantung pada perangkat lunak yang perlu dipelihara keamanannya secara berkelanjutan.

Bagi pengguna sehari-hari, implikasi praktisnya cukup jelas: pembaruan perangkat lunak menjadi semakin penting, dan keterlambatan menambal bisa berisiko. Namun sumber yang sama juga menegaskan bahwa jumlah CVE yang tinggi tidak otomatis berarti lebih banyak kerentanan yang belum diketahui—sebagian besar justru mencerminkan sistem deteksi yang bekerja lebih baik. Perdebatan pun masih berlanjut soal apakah lonjakan ini akan bersifat katastrofik atau sekadar memperbesar dinamika dan tantangan yang sudah ada sebelumnya.

Yang pasti, menurut data dan pernyataan para peneliti, titik keseimbangan antara AI yang mempercepat penemuan bug dan AI yang membantu pertahanan masih rapuh. Situasi ini terus berkembang, dan selama penemuan kerentanan tumbuh lebih cepat daripada kapasitas manusia untuk memperbaikinya, tekanan terhadap tim keamanan, pengembang, dan relawan open source akan tetap menjadi isu sentral dalam lanskap keamanan siber yang dibentuk AI.