Kebanjiran Laporan Bug dari AI, Apple dan GitHub Kompak Perketat Program Bug Bounty

Program yang dulu dirancang untuk menghargai peneliti keamanan yang menemukan celah berbahaya, kini justru kewalahan menghadapi banjir laporan yang sebagian besar dihasilkan chatbot AI tanpa validasi memadai.

Apple dilaporkan membatasi jumlah laporan kerentanan yang bisa diajukan peneliti keamanan ke program Apple Security Bounty mereka, sebagai respons atas gelombang laporan yang dipicu oleh penggunaan AI. Langkah ini mencerminkan tantangan yang semakin meluas di industri keamanan siber, di mana kemudahan akses terhadap alat AI membuat siapa saja bisa mengirim laporan kerentanan, terlepas dari valid atau tidaknya temuan tersebut.

Kebijakan Resmi Apple: Bisa Kena Jeda 180 Hari

Berdasarkan panduan resmi Apple Security Bounty, perusahaan menegaskan bahwa peneliti yang berulang kali mengirim laporan tidak layak, termasuk laporan teoritis yang tidak dapat direalisasikan atau laporan hasil temuan AI tanpa validasi manusia yang tepat, berisiko mengalami penghentian sementara pemrosesan laporan mereka selama 180 hari.

Ketentuan resmi Apple lainnya turut menegaskan bahwa pola konsisten mengirim laporan berupa spam, klaim yang tidak layak, atau tuduhan kerentanan yang salah, termasuk laporan yang dihasilkan dengan bantuan AI tanpa divalidasi lewat tinjauan manusia, dapat berujung pada pembatasan serupa. Kebijakan ini menegaskan bahwa Apple tidak menolak kontribusi AI dalam riset keamanan, namun menuntut adanya proses validasi manusia sebelum laporan tersebut benar-benar diajukan.

GitHub Rombak Total Sistem Hadiah Jadi Dua Tingkat

Tantangan serupa juga dihadapi GitHub, yang mulai 27 Juli 2026 merombak total program bug bounty mereka dengan menerapkan sistem dua tingkat. Perusahaan yang dimiliki Microsoft ini menyebut perubahan tersebut sebagai respons langsung terhadap banjir laporan berkualitas rendah dan hasil AI yang membebani tim keamanan mereka.

Untuk program publik yang terbuka bagi siapa saja, GitHub memangkas drastis nilai hadiah. Temuan kerentanan tingkat rendah yang sebelumnya bernilai 500 hingga 1.000 dolar AS, kini hanya dihargai 250 dolar AS. Kerentanan tingkat menengah dipotong dari maksimal 5.000 dolar AS menjadi hanya 2.000 dolar AS. Kerentanan tingkat tinggi turun dari maksimal 20.000 dolar AS menjadi 5.000 dolar AS, sementara kerentanan kritis anjlok dari maksimal 30.000 dolar AS menjadi hanya 10.000 dolar AS.

Sebagai gantinya, GitHub memperkenalkan program VIP baru yang hanya bisa diakses lewat undangan khusus, ditujukan bagi peneliti dengan rekam jejak terbukti. Di program ini, nilai hadiah tetap tinggi, mendekati tarif lama sebelum perubahan: kerentanan rendah bernilai 1.000 dolar AS, tingkat menengah 7.500 dolar AS, tingkat tinggi 20.000 dolar AS, dan kerentanan kritis minimal 30.000 dolar AS. Untuk bisa masuk program VIP ini, peneliti harus memiliki setidaknya satu laporan kritis valid yang pernah diterima, atau tujuh laporan tingkat rendah valid yang sudah diakui sebelumnya. Peneliti baru yang pertama kali mengirim laporan juga akan dibatasi jumlah laporan yang bisa mereka ajukan hingga terbukti kredibel.

Ironi di Balik Krisis Ini: AI Sebenarnya Bisa Sangat Membantu

Meski memicu krisis triase laporan, AI sebenarnya juga terbukti mampu menghasilkan nilai keamanan yang nyata jika digunakan dengan tepat. Menurut laporan Hacker-Powered Security 2025 dari HackerOne, jumlah laporan kerentanan valid berbasis AI justru melonjak 210 persen sepanjang tahun tersebut, dengan sistem otomatis penuh yang disebut "hackbot" berhasil mengirim lebih dari 560 temuan valid yang terkonfirmasi.

Contoh menarik lain datang dari proyek open source populer, curl. Setelah proyek tersebut menghentikan pemberian hadiah uang tunai dan beralih ke pelaporan tanpa bayaran lewat HackerOne pada April 2026, jumlah laporan yang masuk justru meningkat sekitar dua kali lipat dibanding tahun sebelumnya. Namun yang menarik, tingkat laporan yang dikonfirmasi valid melonjak menjadi 15 hingga 16 persen, jauh lebih tinggi dibanding tingkat konfirmasi di bawah 5 persen selama periode ketika hadiah uang tunai masih diberikan.

Daniel Stenberg, pendiri curl, mencatat bahwa hampir seluruh laporan yang masuk tampak dibantu AI, namun kualitasnya justru jauh lebih baik dibanding sebelumnya. Fenomena ini mengindikasikan bahwa menghilangkan insentif finansial langsung tampaknya membantu menyaring "kebisingan" dari pelapor oportunis yang sekadar mengejar hadiah, sementara peneliti yang benar-benar terampil dalam memanfaatkan AI untuk riset keamanan tetap tidak terpengaruh oleh perubahan ini.

Bagian dari Krisis Keamanan Siber yang Lebih Luas

Persoalan ini menjadi bagian dari sorotan Financial Times dalam laporan khusus mereka bertajuk Risk Management: Cyber Security, yang turut membahas berbagai tantangan keamanan siber terkini, mulai dari munculnya ancaman siber dari peretas muda yang dianggap nekat, penguatan toolkit peretas berkat AI, hingga serangan siber yang mengekspos kerentanan pada rantai pasok teknologi global.

Dengan Apple dan GitHub sama-sama mengambil langkah untuk mengendalikan gelombang laporan berbasis AI, tampak jelas bahwa industri teknologi tengah mencari keseimbangan baru antara memanfaatkan potensi AI untuk mempercepat riset keamanan, dengan tetap menjaga kualitas dan efisiensi proses triase yang selama ini menjadi fondasi program bug bounty di seluruh industri.