Cukup rumor soal bug, AI sudah bisa merakit exploit-nya
Selama ini logika coordinated disclosure sederhana: menahan detail sebuah kerentanan sampai patch siap memberi defender waktu lebih dulu sebelum penyerang tahu. Anil Madhavapeddy, peneliti sistem di Cambridge, berargumen logika itu sudah runtuh. Sebuah AI agent kini cukup diberi petunjuk kasar soal letak sebuah bug untuk menemukan dan mempersenjatainya, sering kali lebih cepat dari kemampuan maintainer menambalnya. Ia mengujinya sendiri: dengan bug path traversal di cohttp, DeepSeek V4 Pro menghasilkan exploit yang berfungsi dalam waktu kurang dari satu menit. Sepuluh menit setelah ia membuka pull request publik berisi perbaikannya, log servernya sudah dipenuhi probe otomatis yang mencari celah yang persis sama.
Pola ini bukan cuma pengalamannya. Ia merujuk riset Fang dan rekan-rekan yang menunjukkan agent berhasil mengeksploitasi 87% kerentanan saat diberi deskripsi CVE, tapi hanya 7% tanpa deskripsi itu. Artinya, teks deskripsi sudah menjadi sebagian besar senjatanya. Ia mencatat kasus-kasus terbaru saat jarak dari pengungkapan ke eksploitasi menyusut jadi hitungan jam: sembilan jam untuk sebuah CVE di marimo, dua puluh jam untuk satu di Langflow, keduanya tanpa proof-of-concept publik yang bisa disalin. Menurut bacaannya, "mean time to exploit" berubah negatif, artinya serangan yang berfungsi cenderung muncul sebelum patch sampai ke sebagian besar pengguna.
Poinnya bukan menyerah pada disclosure, melainkan mengubah cara defender menyiapkan diri di sekitarnya. Ia mengusulkan infrastruktur diskusi yang lebih baik untuk proyek open source, kebiasaan merilis perbaikan secara terus-menerus alih-alih dalam batch lambat, package management lintas ekosistem yang lebih kuat agar patch cepat menyebar, serta pertahanan di lapisan protokol yang bisa dipasang lebih cepat daripada perbaikan upstream sampai ke pengguna.
Kenapa ini penting
Jika kamu memelihara software open source, anggap detik saat PR perbaikanmu jadi publik sebagai detik dimulainya eksploitasi, bukan jeda aman sebelumnya. Respons praktisnya adalah mempercepat penyebaran patch dan menyiapkan pertahanan yang kamu kendalikan sendiri, karena deskripsi sebuah bug kini sudah menjadi sebagian besar pekerjaan yang dibutuhkan penyerang.