Ketika Kecerdasan Buatan Membongkar Celah Keamanan di Jantung Internet

Dunia digital baru saja mendapat peringatan keras. Awal bulan ini, otoritas di berbagai negara mendesak pengelola situs web untuk segera melakukan pembaruan darurat setelah sebuah yayasan nirlaba mengungkap celah keamanan kritis yang memungkinkan peretas membobol sistem. Celah yang dijuluki PHP2Shell itu ditemukan oleh pakar keamanan siber independen dengan bantuan kecerdasan buatan (AI).

Celah tersebut bersembunyi di dalam kode PHP, bahasa pemrograman web sumber terbuka yang dipakai sekitar 70 persen situs web di dunia, selama lebih dari satu dekade. Selama ini celah itu tak terdeteksi, karena terlalu rumit untuk dieksploitasi manusia tanpa bantuan AI canggih. Kini, para ahli memperingatkan, PHP2Shell bisa menjadi awal dari banjir kerentanan keamanan yang diungkap teknologi AI.

PHP lahir pada 1995, ketika programmer Rasmus Lerdorf membuat perangkat untuk menghitung pengunjung resume daringnya. Seiring waktu, programmer dari seluruh dunia ikut mengembangkannya hingga menjadi bahasa yang dipakai situs besar seperti Facebook dan Wikipedia. Seperti proyek sumber terbuka lainnya, siapa pun bisa mengunduh, mengubah, dan membagikan perbaikannya.

Sejak 2021, pengembangan PHP dikoordinasikan PHP Foundation, yayasan nirlaba yang beroperasi dengan anggaran terbatas. Pola yang sama berlaku untuk sebagian besar infrastruktur digital yang dipakai konsumen: peramban Firefox, bahasa Perl, Python, dan JavaScript, hingga perangkat lunak server Apache, semuanya bersumber terbuka dan banyak dirawat sukarelawan.

“Dunia saat ini, termasuk vendor perangkat lunak berpemilik, bergantung pada perangkat lunak sumber terbuka untuk infrastruktur digitalnya,” kata Amanda Brock, CEO OpenUK, organisasi nirlaba pendukung perangkat lunak sumber terbuka. Ironisnya, perusahaan raksasa seperti Meta, Google, OpenAI, dan Anthropic ikut bergantung pada infrastruktur yang dibangun sukarelawan itu, sementara alat AI mereka sendiri kini menemukan kerentanan dengan kecepatan yang jauh melampaui kemampuan para yayasan untuk menanganinya.

Google menyebut menemukan lebih dari 1.000 bug keamanan pada pembaruan terakhir peramban Chrome, lebih banyak daripada gabungan dua lusin pembaruan sebelumnya. Mozilla, yayasan di balik Firefox, menemukan lebih dari 400 kerentanan pada April, melonjak tajam dari rekor sebelumnya yang hanya 76 bug sebulan sebelumnya.

“Kami mungkin memiliki 10 kali lebih banyak masalah daripada biasanya karena kami menggunakan AI untuk menemukannya,” ujar Jarek Potiuk, anggota tim keamanan sukarela Apache Software Foundation. Menurutnya, kini ada gerakan di seluruh industri untuk memindai kerentanan memakai model AI, tetapi pemindaian itu sendiri memakan biaya, dan setelahnya manusia tetap harus memilah hasil pindaian untuk menyingkirkan temuan palsu.

“AI membantu menemukannya, tetapi Anda harus memverifikasi, Anda harus meninjaunya,” kata Potiuk. Awal tahun ini, Anthropic meluncurkan Project Glasswing dengan kredit senilai 100 juta dolar AS untuk memakai model AI canggih mencari kerentanan di perangkat lunak kritis dunia. Dalam satu bulan, ditemukan lebih dari 23.000 kerentanan di lebih dari 1.000 proyek sumber terbuka.

Apache Software Foundation sendiri memanfaatkan proyek Alpha-Omega, yang didukung Anthropic, Amazon, Google, Microsoft, dan OpenAI, untuk memindai 290 paket perangkat lunak yang dirawatnya, dengan dana sekitar 7 juta dolar AS per tahun. Namun, menurut Potiuk, dunia korporat bisa berbuat jauh lebih banyak, mengingat valuasi perusahaan-perusahaan bernilai triliunan dolar itu tidak akan berjalan tanpa perangkat lunak gratis tersebut.

Pengalaman kerentanan Log4Shell pada 2021 menjadi pelajaran pahit. Celah pada pustaka yang dirawat Apache itu memungkinkan peretas menjalankan kode dari jarak jauh pada jutaan perangkat, dari mobil hingga perangkat elektronik yang terhubung internet. Celah itu ditemukan tanpa AI, dan menjadi momen ketika seluruh ekosistem menyadari betapa pentingnya merawat perangkat lunak sumber terbuka.

“Itu adalah momen ketika seluruh ekosistem menyadari betapa pentingnya merawat perangkat lunak sumber terbuka,” kata Potiuk. Kini, dengan AI yang mempercepat penemuan celah, para peneliti memperingatkan hanya soal waktu sebelum sebagian celah itu dieksploitasi di dunia nyata sebelum sempat ditambal.

“Kami mulai melihat semakin banyak kerentanan yang terdeteksi dan ditangani tepat waktu, tetapi juga serangan terhadap berbagai sistem,” ujar Peter Slattery, ilmuwan peneliti di MIT FutureTech. Menurutnya, menjaga infrastruktur internet tetap terdesentralisasi dan sumber terbuka menjadi krusial, misalnya dengan perusahaan besar membayar staf untuk meluangkan jam kerja merawat proyek sumber terbuka yang mereka pakai.