Penjelasan teknis
Pada Black Hat Asia di Singapura pada 27 April 2026, CEO RunSybil Ari Herbert-Voss mempresentasikan keynote yang mengkaji dampak dunia nyata dari frontier LLM seperti Mythos milik Anthropic dan GPT-5.5 milik OpenAI pada keamanan ofensif. Sambil mengakui bahwa plafon kemampuan untuk eksploitasi otonom meningkat dengan cepat, Herbert-Voss berpendapat bahwa lantai kemampuan—kemampuan untuk memvalidasi dan mengoperasionalisasi temuan—tidak seiring. Evaluasi Mythos oleh UK AI Security Institute menunjukkan model dapat menyelesaikan bagian substansial dari rantai serangan di lingkungan terkontrol, tetapi konsistensi pada target dunia nyata tetap terbatas. Herbert-Voss menarik keselarasan dengan fuzzing di tahun 2000-an: alat otomatis menghasilkan dataset masif dan kemungkinan bug, tetapi keahlian manusia masih diperlukan untuk menyaring, memvalidasi dapat dieksploitasi, dan memahami penyebab akar.
Vektor serangan
LLM menunjukkan 'keuntungan besar' dalam menemukan dan mengeksploitasi 'bug dangkal' dengan tingkat keparahan rendah, keuntungan sedang untuk kerentanan tingkat menengah, dan keuntungan jarang untuk cacat paling parah. Vektor serangan bukan eksplorasi spesifik tetapi penggunaan sistemik AI untuk mempercepat penemuan bug dan eksekusi serangan multi-langkah. Organisasi harus mempersiapkan diri untuk waktu-ke-eksploitasi yang dipercepat: antara 2023 dan 2026, waktu rata-rata dari penemuan bug hingga eksploitasi turun dari lima bulan menjadi 10 jam di lingkungan CTF profesional. Namun, penyebaran dunia nyata masih memerlukan orkestrasi manusia, terutama untuk kerentanan kompleks dengan dampak tinggi.
Sistem yang terdampak
Semua sistem perangkat lunak secara teoritis terbuka terhadap penemuan bug yang dipercepat melalui fuzzing berbantuan LLM dan generasi eksplorasi. Organisasi yang mengirimkan perangkat lunak paling berisiko, karena jendela untuk menambal kerentanan sebelum eksploitasi menyusut dengan cepat. Infrastruktur AI itu sendiri (server inferensi model, platform orkestrasi agen, server MCP) juga merupakan kelas target.
Mitigasi
Herbert-Voss menekankan bahwa 'shifting left' lebih penting dari sebelumnya—organisasi harus mengintegrasikan pengujian keamanan lebih awal dalam siklus pengembangan, karena jendela antara pengenalan bug dan eksploitasi sedang runtuh. Investasikan dalam pipeline validasi otomatis yang dapat menyeleksi laporan bug yang dihasilkan AI dan memprioritaskan temuan yang dapat dieksploitasi. Tim keamanan harus mengadopsi alat berbantuan AI sendiri untuk mempertahankan paritas dengan penyerang. Untuk sistem berisiko tinggi, pertimbangkan penyebaran tim merah AI internal untuk stress-test pertahanan sebelum musuh eksternal melakukannya. Terakhir, akui bahwa keamanan ofensif beragentik adalah momen yang dapat diajarkan: kesenjangan antara kemampuan dan operasionalisasi adalah tempat keahlian manusia tetap tak tergantikan—rekrut dan pertahankan insinyur keamanan terampil yang dapat memvalidasi dan mengontekstualisasikan temuan otomatis.