Kecepatan AI dalam menulis kode kini lebih cepat daripada kecepatan tim keamanan dalam melakukan tinjauan. Sebuah penelitian baru dari Linux Foundation yang didanai dan dilibatkan oleh ActiveState menunjukkan bahwa 58% tim telah merilis kode lebih cepat daripada yang dapat diikuti oleh tinjauan keamanan; sementara itu, 60% responden menyatakan bahwa asisten pemrograman AI meningkatkan jumlah paket eksternal di repositori kode mereka. Namun, untuk ketergantungan tidak langsung yang diperkenalkan oleh paket-paket ini, yaitu "ketergantungan transitif", tim hanya melakukan tinjauan sekitar setengah waktu.
ActiveState merupakan sponsor dan kontributor dalam penelitian baru ini. Penelitian ini didukung oleh Open Source Security Foundation (OpenSSF) dan LF AI & Data Foundation. ActiveState mengumumkan hasil penelitian berjudul "State of AI Impact on Software Security and Cybersecurity 2026" pada hari Senin. Penelitian tersebut menyatakan bahwa terdapat kesenjangan yang terus melebar antara kecepatan pengembangan perangkat lunak yang didorong oleh AI dan kemampuan organisasi dalam melindungi keamanan kode yang dihasilkan.
Penelitian menunjukkan bahwa tantangan ini menjadi semakin mendesak seiring AI yang secara bersamaan mempercepat generasi kode dan penemuan kerentanan, sehingga organisasi memiliki waktu yang semakin singkat untuk mengidentifikasi dan memperbaiki masalah sebelum penyerang memanfaatkan kelemahan keamanan. Kerentanan PHP2Shell pada Oktober 2026 menonjolkan urgensi ini: patch darurat dirilis dalam hitungan jam setelah pengungkapan kerentanan, dan upaya eksploitasi telah dilaporkan. Penelitian menyatakan bahwa seiring kecepatan identifikasi dan eksploitasi kerentanan yang terus meningkat, organisasi menghadapi tekanan yang semakin besar untuk memastikan tinjauan keamanan, audit dependensi, dan upaya perbaikan dapat mengejar ritme tersebut.
Survei ini mencakup 172 profesional keamanan dari perusahaan dan proyek open source. Survei juga menemukan bahwa AI juga merupakan bagian dari solusi, tetapi dengan beberapa kompromi. Responden menyatakan bahwa 30% dari kerentanan yang ditemukan dalam setahun terakhir terdeteksi dengan bantuan alat bantu AI; 69% responden mengatakan alat-alat ini secara signifikan meningkatkan postur keamanan mereka. Secara rata-rata, alat AI mempercepat pekerjaan keamanan sebesar 17%, tetapi laporan palsu kerentanan meningkatkan beban kerja profesional sebesar 30%, yang menonjolkan perlunya keseimbangan antara peningkatan efisiensi yang dibawa oleh AI dan pengawasan keamanan yang efektif.
Abby Kearns, CEO ActiveState, mengatakan: "Asisten pemrograman AI tidak hanya menulis kode, tetapi juga memilih dependensi Anda, dan penelitian ini menunjukkan bahwa tim hanya memeriksa sekitar setengah dari konten yang mengikuti. Ini sejalan dengan apa yang kami dengar setiap minggu dari klien kami. Memperlambat kecepatan pengembang tidak menyelesaikan masalah. Jawabannya adalah menentukan mana konten yang dapat dipercaya sebelum kode masuk ke repositori, sehingga pengembang dan alat AI mereka dapat mulai dari komponen yang telah disetujui oleh tim keamanan."
Temuan utama lainnya meliputi:
- Keterampilan berisiko. 82% responden setuju bahwa ketergantungan berlebihan pada alat AI akan melemahkan keterampilan keamanan pengembang.
- Kekhawatiran melebihi tingkat kesiapan. Untuk setiap ancaman terkait AI yang diukur, lebih banyak profesional yang menyatakan kekhawatiran dibandingkan yang merasa sudah siap. Perbedaan terbesar terjadi pada otomatisasi AI untuk generasi eksploitasi dan pengujian fuzz, dengan selisih sebesar 41 poin persentase.
- Rantai pasokan berada di posisi teratas dalam daftar kekhawatiran. Serangan rantai pasokan merupakan masalah paling dikhawatirkan oleh para ahli keamanan, dengan persentase 93%; diikuti oleh prompt injection, sebesar 90%; serta beban pemeliharaan akibat pembaruan komponen frekuensi tinggi, sebesar 87%.
- Tanggung jawab tidak jelas. Hanya 30% tim yang memiliki posisi khusus yang bertanggung jawab atas ancaman keamanan terkait AI, dan hanya sekitar sepertiga tim yang memiliki kebijakan keamanan resmi yang mencakup AI.
- Pengakuan yang jelas akan membawa imbalan. Di tim yang memiliki posisi keamanan AI khusus, 75% menyatakan mereka telah siap sepenuhnya untuk menghadapi serangan adversarial terhadap sistem AI; sementara di seluruh responden, proporsi ini adalah 50%.
- Peninjauan manusia bukan persyaratan default. Di antara tim yang memiliki kebijakan keamanan AI, hanya 57% yang memerlukan peninjauan manusia terhadap kode yang dihasilkan oleh AI.
Penelitian menunjukkan bahwa temuan-temuan ini bersama-sama menunjukkan bahwa seiring meningkatnya adopsi AI, diperlukan penegasan yang lebih jelas mengenai tanggung jawab keamanan dan penguatan tata kelola. Penelitian ini juga menunjukkan bahwa pembentukan posisi khusus, penyusunan kebijakan yang jelas, serta penerapan alat yang tepat berkorelasi dengan tingkat kesiapan yang lebih tinggi; namun survei ini tidak membuktikan bahwa praktik-praktik tersebut menyebabkan perbedaan.
Laura Guazzelli, arsitek keamanan untuk OpenSSF yang fokus pada AI/ML/LLM/Agentic Systems, mengatakan: "Seiring AI mempercepat pengembangan perangkat lunak, organisasi juga perlu mengelola dan melindungi kode yang dihasilkan dengan hati-hati yang sama. Ini dimulai dengan memahami di mana AI memperkenalkan risiko dalam rantai pasokan perangkat lunak, menentukan siapa yang bertanggung jawab atas risiko tersebut, serta memastikan praktik keamanan dapat mengikuti perubahan cara pembangunan perangkat lunak."
Laporan merekomendasikan agar organisasi menunjuk penanggung jawab yang jelas untuk ancaman keamanan terkait AI, membuat kebijakan keamanan AI resmi, dan memasukkan tinjauan manual terhadap kode yang dihasilkan, sekaligus memperketat kendali terhadap ketergantungan langsung dan transitif. Berdasarkan temuan ini, ActiveState merekomendasikan penerapan tata kelola sejak tahap pengenalan komponen open source, sehingga tim keamanan dapat menentukan komponen mana yang diizinkan masuk ke dalam rantai pasokan perangkat lunak sebelum developer atau asisten AI mengambil komponen tersebut.
Laporan lengkap "Status Pengaruh AI terhadap Keamanan Perangkat Lunak dan Keamanan Siber 2026" dapat dilihat di situs Linux Foundation, mencakup temuan penelitian dan rekomendasi praktis: https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
Tentang ActiveState
ActiveState menyatakan bahwa perusahaan berkomitmen untuk menjamin keamanan rantai pasokan perangkat lunak sejak sumbernya di era pengkodean AI. Dengan ActiveState Curated Catalog—sebuah repositori komponen open source pribadi yang telah diaudit—tim keamanan dapat menentukan komponen mana yang diizinkan masuk ke perangkat lunak perusahaan sebelum komponen tersebut diperkenalkan oleh pengembang atau asisten pengkodean AI. Perusahaan menyatakan bahwa ini memberikan kendali kepada tim keamanan sekaligus mempertahankan kecepatan pengembangan tim teknik. Curated Catalog dapat digunakan bersama dengan repositori artefak, scanner, dan asisten pengkodean AI yang sudah digunakan tim. Informasi selengkapnya tersedia di activestate.com.
Sumber pesan: ActiveState