Sebuah analisis mendalam yang dipublikasikan oleh Danelle Au di SecurityWeek menggarisbawahi bahwa model patching manual yang telah menjadi standar industri selama dua dekade tidak lagi mampu mengimbangi kecepatan ancaman modern. Dengan hadirnya Gold Eagle, clearinghouse federal Amerika Serikat yang menggunakan AI frontier untuk menemukan dan menutup kerentanan, serta model AI seperti Mythos dan Fable yang mampu menemukan ribuan bug kritis dalam waktu singkat, paradigma keamanan siber sedang mengalami pergeseran fundamental dari patching menuju risk-based exposure management.
APA YANG TERJADI?
Pada Juli 2026, Gedung Putih meluncurkan Gold Eagle, sebuah clearinghouse federal yang memanfaatkan AI frontier untuk mengidentifikasi, memberi peringkat, dan mengoordinasikan remediasi kerentanan perangkat lunak di seluruh pemerintah dan infrastruktur kritis. Inisiatif ini melibatkan Treasury, DHS, DoD, mitra open-source, serta operator infrastruktur kritis. Mesin Gold Eagle mengandalkan AI kelas Mythos, sistem yang sebelumnya berhasil menemukan flaw kritis di dalam perangkat lunak klasifikasi pemerintah Amerika Serikat. Kemampuan Mythos dan Fable untuk menemukan kerentanan yang tidak pernah terdeteksi oleh tool sebelumnya mengubah lanskap vulnerability management secara drastis. Dalam waktu singkat, para partner Project Glasswing telah menemukan lebih dari 10.000 kerentanan dengan tingkat severity tinggi atau kritis pada perangkat lunak esensial.
DETAIL TEKNIS
Data operasional menunjukkan bahwa kecepatan penyerang kini jauh melampaui kecepatan defender. Pada Maret 2026, peneliti Sysdig mengamati aktor ancaman mengeksploitasi CVE dalam waktu 20 jam setelah rilis tanpa adanya PoC publik, mengubah deskripsi kerentanan menjadi exploit yang bekerja secara mandiri. Laporan M-Trends 2026 dari Mandiant memperkirakan Mean Time to Exploit (MTTE) mencapai negatif tujuh hari, artinya exploit kini secara rutin muncul sebelum pengungkapan publik. Di sisi lain, laporan Verizon 2026 Data Breach Investigations Report menyebutkan median waktu untuk memperbaiki flaw yang sedang aktif dieksploitasi mencapai 43 hari, meningkat dari 32 hari pada tahun sebelumnya, dengan hanya 26 persen kerentanan yang pernah di-patch sepenuhnya. FIRST memproyeksikan sekitar 59.000 CVE baru pada tahun 2026, lebih dari 160 per hari, dengan flaw RCE meningkat 130 persen dibanding tahun lalu.
DAMPAK TERHADAP INDONESIA
Indonesia menghadapi tantangan yang lebih kompleks karena banyak organisasi masih menggunakan model patching manual dengan tim IT yang terbatas. CISA telah mencabut BOD 22-01 dan menggantinya dengan BOD 26-04 yang mengubah pendekatan dari patch-everything-on-a-deadline menjadi prioritize-by-realized-risk. Model triage baru membagi kerentanan ke dalam tiga bucket: Bucket 1 untuk flaw yang sedang aktif dieksploitasi pada sistem internet-facing, Bucket 2 untuk temuan kritis tanpa bukti eksploitasi aktif, dan Bucket 3 untuk flaw lainnya yang diproses melalui siklus patch standar. Bagi Indonesia, di mana banyak instansi pemerintah dan BUMN masih berjuang dengan inventory aset dan exposure management, transisi ke model berbasis risiko memerlukan investasi besar pada platform visibility dan otomatisasi. Tanpa infrastruktur tersebut, organisasi Indonesia akan tetap tertinggal dalam perlombaan patching yang kini tidak lagi bisa dimenangkan dengan kecepatan manual.
REKOMENDASI MITIGASI
Organisasi harus segera beralih dari mindset patch-everything ke risk-based exposure management. Langkah pertama adalah mengaudit real patch times selama 90 hari terakhir untuk memahami delta antara target kebijakan dan realitas lapangan. Kedua, adopsi model triage BOD 26-04 dengan menetapkan SLA yang jelas untuk masing-masing bucket. Ketiga, uji otoritas pengambilan keputusan melalui tabletop exercise untuk memastikan tim bisa melakukan emergency patch tanpa melalui eskalasi berlapis. Keempat, investasi pada adversarial exposure validation melalui platform seperti SafeBreach, Picus, atau Cymulate untuk membuktikan apakah kontrol defense benar-benar bertahan terhadap serangan nyata. Kelima, audit AppSec terhadap kode yang dihasilkan AI karena peningkatan 130 persen flaw RCE sebagian besar berasal dari code generation otomatis yang belum diperiksa dengan cermat.
Analisa Retasan
Proposisi bahwa patching sudah tidak relevan bukanlah fear-mongering, melainkan konklusi logis dari data empiris yang menunjukkan MTTE negatif tujuh hari dan median patch time 43 hari. Ketika exploit dibuat sebelum pengungkapan publik, maka seluruh rantai responsible disclosure yang menjadi fondasi industri keamanan siber modern menjadi tidak berdaya. Fenomena ini mirip dengan arms race pada era nuklir, di mana teknologi offensive selalu selangkah lebih maju daripada teknologi defensive. AI frontier seperti Mythos yang dirilis secara publik sebagai Fable dan kemudian dikendalikan melalui export controls menunjukkan bahwa kemampuan vulnerability discovery kini diakui sebagai controlled technology, setara dengan munisi, bukan sekadar software as a service.
Perubahan dari BOD 22-01 ke BOD 26-04 adalah pengakuan formal dari pemerintah Amerika Serikat bahwa patch-everything-on-a-deadline tidak lagi feasible. BOD 26-04 menggabungkan KEV status dengan empat variabel tambahan: public asset exposure, automated exploitability, dan technical impact. Pendekatan ini sejalan dengan konsep exposure management yang telah dipromosikan oleh vendor seperti Palo Alto Networks dan Tenable, di mana pertanyaan kunci bukanlah apakah kerentanan ada, melainkan apakah kerentanan tersebut bisa dieksploitasi dalam arsitektur spesifik organisasi. Hal ini menciptakan pergeseran fundamental dari vulnerability management yang bersifat inventory-driven menuju attack path-driven.
Bagi Indonesia, meskipun model triage baru terdengar ideal, implementasinya menghadapi hambatan struktural yang signifikan. Banyak organisasi, terutama di sektor publik, belum memiliki asset inventory yang lengkap, apalagi exposure management platform yang bisa memetakan exploit paths secara otomatis. SKKNI Siber yang mengatur kompetensi tenaga keamanan informasi perlu segera diperbarui untuk mencakup adversarial exposure validation, AI-generated code auditing, dan risk-based vulnerability triage. Tanpa modernisasi kurikulum dan investasi pada tooling, Indonesia akan terus berada pada posisi defensif yang reactive, bukan proactive. Paradigma baru ini menuntut security program redesign, bukan sekadar proses optimization, dan perubahan tersebut harus dimulai dari level kebijakan nasional hingga level operasional pada setiap organisasi.
Sumber: Danelle Au, SecurityWeek
