Penjelasan teknis
Di Black Hat Asia di Singapura pada 27 April 2026, CEO RunSybil Ari Herbert-Voss mempresentasikan keynote yang mengkaji dampak dunia nyata dari frontier LLMs seperti Mythos Anthropic dan GPT-5.5 OpenAI terhadap keamanan ofensif. Sambil mengakui bahwa ceiling kemampuan untuk eksploitasi otonomi meningkat dengan cepat, Herbert-Voss berargumen bahwa capability floor—kemampuan untuk memvalidasi dan operasionalisasi temuan—tidak sejalan. Evaluasi Mythos oleh UK AI Security Institute menunjukkan model dapat menyelesaikan sebagian besar dari rantai serangan dalam lingkungan terkontrol, tetapi konsistensi pada target dunia nyata tetap terbatas. Herbert-Voss menarik paralel dengan fuzzing pada tahun 2000-an: alat otomatis menghasilkan dataset besar dan kemungkinan bug, tetapi keahlian manusia masih diperlukan untuk memfilter, memvalidasi exploitability, dan memahami root cause.
Vektor serangan
LLMs menunjukkan 'peningkatan besar' dalam menemukan dan mengeksploitasi 'shallow bugs' berseveritas rendah, peningkatan sedang untuk kerentanan tingkat menengah, dan peningkatan sedikit untuk cacat paling parah. Vektor serangan bukan exploit spesifik tetapi penggunaan sistematis AI untuk mempercepat penemuan bug dan eksekusi serangan multi-langkah. Organisasi harus mempersiapkan diri untuk percepatan time-to-exploitation: antara 2023 dan 2026, waktu rata-rata dari penemuan bug hingga eksploitasi turun dari lima bulan menjadi 10 jam di lingkungan CTF profesional. Namun, penyebaran dunia nyata masih memerlukan orkestrasi manusia, khususnya untuk kerentanan kompleks dan berdampak tinggi.
Sistem yang terdampak
Semua sistem perangkat lunak secara teoretis terpapar pada penemuan bug yang dipercepat melalui fuzzing berbantuan LLM dan pembuatan exploit. Organisasi yang mengirimkan perangkat lunak paling berisiko, karena jendela untuk patch kerentanan sebelum eksploitasi menyusut dengan cepat. Infrastruktur AI itu sendiri (model inference server, platform orkestrasi agent, MCP server) juga merupakan kelas target.
Mitigasi
Herbert-Voss menekankan bahwa 'shifting left' lebih penting dari sebelumnya—organisasi harus mengintegrasikan pengujian keamanan lebih awal dalam siklus pengembangan, karena jendela antara pengenalan bug dan eksploitasi sedang runtuh. Investasikan dalam automated validation pipeline yang dapat melakukan triage laporan bug yang dihasilkan AI dan memprioritaskan temuan yang dapat dieksploitasi. Tim keamanan harus mengadopsi tooling berbantuan AI sendiri untuk mempertahankan paritas dengan penyerang. Untuk sistem berisiko tinggi, pertimbangkan untuk menerapkan red team AI secara internal untuk stress-test pertahanan sebelum lawan eksternal melakukannya. Terakhir, sadari bahwa keamanan ofensif agentic adalah momen yang dapat diajarkan: celah antara kemampuan dan operasionalisasi adalah tempat keahlian manusia tetap tak tergantikan—merekrut dan mempertahankan engineer keamanan terampil yang dapat memvalidasi dan kontekstualisasi temuan otomatis.