AI Temukan Kerentanan Siber Dua Kali Lipat Lebih Banyak di 2026, tapi Bukan Cuma Kabar Baik

Jumlah lubang keamanan yang ditemukan tahun ini sudah hampir menyamai seluruh temuan sepanjang tahun lalu, padahal tahun masih menyisakan lima bulan lagi, dan di balik lonjakan ini ada satu teknologi yang sama-sama dipakai baik oleh pembela maupun penyerang.

Jumlah kerentanan keamanan software yang ditemukan di produk-produk teknologi populer sepanjang 2026 diperkirakan akan hampir dua kali lipat dibanding total yang tercatat pada 2025, didorong sistem kecerdasan buatan yang kian mumpuni. US National Vulnerabilities Database, basis data resmi yang mencatat celah keamanan digital, mencatat 45.207 kerentanan antara Januari hingga Senin, 27 Juli 2026, angka yang sudah mendekati total keseluruhan sepanjang 2025. Tahun lalu sendiri sebenarnya sudah mencatatkan rekor sepanjang masa untuk jumlah kerentanan yang tercatat dalam database tersebut.

Oracle Catat Patch Terbesar dalam Sejarah Perusahaan

Salah satu contoh paling mencolok datang dari Oracle. Critical Patch Update Juli 2026 milik perusahaan ini tercatat sebagai yang terbesar sepanjang sejarah mereka, dengan 1.449 patch keamanan yang menambal 1.434 CVE unik di 334 produk berbeda. Yang menarik, hanya beberapa lusin kerentanan dalam rilis ini dikreditkan kepada peneliti keamanan eksternal, mengindikasikan bahwa mayoritas besar temuan tersebut berasal dari internal perusahaan, kemungkinan besar dengan bantuan analisis kerentanan berbasis AI.

Oracle sebelumnya mengungkapkan bahwa mereka memiliki akses ke sistem AI kelas terdepan, termasuk Claude Mythos milik Anthropic dan model-model paling mumpuni dari OpenAI, yang digunakan untuk mempercepat penemuan kerentanan sekaligus meningkatkan kecepatan dan akurasi pengembangan patch keamanan. Perusahaan menyebut pendekatan berbasis AI ini diterapkan di seluruh software dan layanan cloud mereka sendiri, produk Oracle Health, hingga komponen open source yang mereka kembangkan maupun gunakan. Melihat skala temuan ini, Oracle bahkan mendesak para penggunanya untuk segera beralih ke siklus patching bulanan.

Microsoft dan Google Juga Catat Lonjakan Serupa

Microsoft turut mencatatkan lonjakan signifikan, merilis 570 patch keamanan pada Patch Tuesday terbaru mereka, hampir tiga kali lipat dari jumlah kerentanan yang mereka tambal bulan sebelumnya, yang saat itu sendiri sudah memecahkan rekor. Sementara itu, Google tetap mempertahankan siklus update mingguan untuk browser Chrome, namun berhasil menyelesaikan jumlah CVE dalam skala rekor, mencapai 915 CVE yang diselesaikan hanya pada Juni 2026 lewat lima kali rilis. Google melaporkan bahwa mayoritas kerentanan yang diperbaiki dalam pembaruan Chrome terbaru mereka ditemukan lewat upaya keamanan berbantuan AI internal mereka sendiri.

Tren serupa juga terlihat di Adobe, yang kini beralih ke jadwal buletin keamanan dua kali sebulan, dari yang sebelumnya hanya sekali, dengan turut mengaitkan perubahan tersebut pada percepatan siklus patching berkat bantuan AI.

Bukan Sekadar Kabar Baik

Meski terdengar seperti kemenangan bagi sisi pertahanan, ada nuansa penting yang perlu dipahami dari lonjakan temuan ini. Kabar baiknya, meski jumlah kerentanan yang ditemukan melonjak drastis, tidak ada kenaikan yang sebanding pada jumlah kerentanan yang benar-benar dieksploitasi di dunia nyata. Banyak masalah keamanan berhasil ditemukan dan ditambal secara internal sebelum sempat dimanfaatkan penyerang.

Namun para pakar keamanan siber juga memperingatkan sisi yang lebih mengkhawatirkan dari tren ini: penyerang pun sama-sama diuntungkan oleh kemajuan AI. Rata-rata waktu yang dibutuhkan untuk mengembangkan sebuah exploit yang benar-benar berfungsi kini turun drastis, dari sebelumnya 72 jam menjadi hanya 24 jam saja.

Temuan internal dari tim red team Anthropic sendiri turut memperkuat kekhawatiran ini. Model Mythos Preview milik mereka terbukti mampu menghasilkan proof-of-concept exploit untuk 13 dari 14 kerentanan yang sebelumnya dinilai memiliki kemungkinan kecil atau bahkan tidak mungkin dieksploitasi. Menurut peneliti keamanan yang terlibat, temuan ini menunjukkan bahwa sistem penilaian tingkat risiko eksploitasi selama ini terlalu berpusat pada kemampuan manusia, bukan kemampuan alat AI, sehingga perlu ditinjau ulang seiring kemampuan AI terus berkembang.

Perusahaan Berlomba Menyesuaikan Strategi Patching

Mayuresh Dani, manajer riset keamanan di Qualys Threat Research Unit, menjelaskan bahwa fuzzing otomatis berbasis AI, perburuan varian berbantuan model bahasa besar, dan analisis statis dalam skala luas kini menemukan bug jauh lebih cepat dibanding kemampuan perusahaan memperbaikinya. Ia merekomendasikan organisasi memprioritaskan patch berdasarkan katalog Known Exploited Vulnerabilities milik CISA, bukan sekadar mengandalkan skor CVSS semata, sekaligus menerapkan target waktu penambalan bertingkat, misalnya kerentanan yang masuk daftar tersebut sebaiknya ditambal dalam waktu 24 hingga 36 jam.

Pengamat lain, Chris Goettl dari Ivanti, mencatat bahwa lonjakan jumlah patch dari Microsoft ini terjadi bersamaan dengan makin banyaknya vendor software besar lain yang turut mempercepat siklus rilis patch mereka, termasuk Cisco dan Mozilla.

Kolaborasi Lintas Industri untuk Mengamankan Software Open Source

Menyikapi gelombang temuan kerentanan berbasis AI ini, lebih dari dua lusin perusahaan, termasuk JPMorgan Chase, membentuk koalisi bernama Athena yang dipimpin startup keamanan siber Chainguard, bersama Cisco Systems dan Cloudflare. Koalisi ini secara khusus berfokus mengamankan software open source, fondasi teknologi yang dipakai luas di berbagai sektor, mulai dari browser web dan pusat data hingga smartphone dan mesin ATM.

Dengan AI kini menjadi pedang bermata dua dalam lanskap keamanan siber, baik mempercepat penemuan celah oleh tim pertahanan maupun mempercepat pembuatan senjata serangan oleh pihak yang tidak bertanggung jawab, tantangan terbesar bagi organisasi ke depan bukan lagi sekadar menemukan kerentanan, melainkan memastikan kecepatan penambalan bisa mengimbangi laju penemuan yang terus meningkat ini.