CEO Cloudflare Peringatkan Gelombang Celah Temuan AI Selama Dua Tahun
CEO Cloudflare Matthew Prince memperingatkan bahwa banjir celah keamanan yang ditemukan kecerdasan buatan akan membuat internet terasa genting setiap pekan selama beberapa tahun ke depan. Peringatan itu ia sampaikan kepada Reuters dalam laporan yang terbit pada 23 Oktober 2026, sehari setelah celah PHP memaksa sejumlah situs pemerintah di Eropa offline. Tujuh profesional keamanan siber yang diwawancarai sepakat waktu tanggap pembela kini makin sempit.
Apa Kata CEO Cloudflare soal Celah Temuan AI?
Matthew Prince, CEO Cloudflare, menilai penemuan celah oleh AI akan memicu gangguan beruntun selama kira-kira dua tahun. Dalam wawancara dengan Reuters pada Kamis, 22 Oktober 2026, ia mengaku mengetahui sejumlah celah berat lain di perangkat lunak kritis yang belum diumumkan ke publik.
"I think we're going to have a couple years where every single week it's going to feel like the sky is falling," kata Prince. Ia juga menyebut ada "a bunch of additional severe vulnerabilities that are present in other pieces of critical software". Prince tidak merinci perangkat lunak mana yang ia maksud, dan Reuters tidak menyebutkan kapan celah tersebut akan diungkap.
Meski terdengar suram, Prince memandang gelombang ini sebagai hal positif dalam jangka panjang. Ia membandingkannya dengan membersihkan monster dari rumah hantu, lebih baik dihadapi daripada dibiarkan bersembunyi di balik pintu tertutup. "The reality is, we're going to get a lot of this stuff cleaned up," ujarnya kepada Reuters.
Prince juga mengaku melihat bukti anekdotal adanya pembobolan yang terkait dengan celah PHP. Namun ia tidak memberikan angka atau nama korban, sehingga klaim itu belum bisa diverifikasi secara independen oleh pihak lain.
Pekan yang Sibuk, dari PHP sampai LiteLLM
Peringatan Prince muncul setelah pekan yang padat insiden. Sejak Rabu, 21 Oktober 2026, gangguan menyebar di situs pemerintah Eropa dan wilayah lain setelah kelemahan di bahasa pemrograman PHP ditemukan. Sebagian operator memilih mematikan situs sampai tambalan terpasang daripada menanggung risiko dieksploitasi.
Menurut Reuters, pekan yang sama juga diwarnai pengungkapan celah di Node.js dan aplikasi streaming Plex, pembobolan yang terkait gateway AI LiteLLM dan platform pengembangan Railway, serta temuan bahwa otoritas sertifikat India eMudhra memakai kunci kriptografi yang sangat lemah. Rangkaian ini menunjukkan masalah tidak terpusat di satu vendor.
Reuters juga mengutip riset VulnCheck, firma intelijen ancaman asal Massachusetts, yang menyebut AI membantu melipatgandakan jumlah celah yang ditemukan dibanding tahun lalu. Penyebabnya adalah kecepatan. Dulu membangun eksploit butuh berminggu-minggu sampai berbulan-bulan, kini AI bisa memindai kode tanpa henti dan menghasilkan eksploit dalam hitungan jam.
"If we just saw four or five things like this, this week, I would expect we're going to see a lot more," kata Patrick Garrity, peneliti VulnCheck. Ia memperkirakan akan ada lebih banyak latihan darurat untuk semua sistem yang terhubung ke internet. Shane Fry, CTO RunSafe Security, menambahkan bahwa yang berubah secara mendasar adalah skala waktu penemuan celah.
Banyak Celah Ditemukan, Berapa yang Benar-Benar Dieksploitasi?
Data VulnCheck menunjukkan lonjakan temuan belum diikuti lonjakan serangan. Laporan State of Exploitation 1H-2026 yang terbit pada 28 Juli 2026 mencatat 1.061 celah hasil penemuan berbantuan AI, dan hanya 14 di antaranya, atau 1,3 persen, terbukti dieksploitasi di dunia nyata.
Laporan yang ditulis Patrick Garrity itu juga mencatat volume CVE naik 45 persen dibanding enam bulan sebelumnya, sementara jumlah celah yang diketahui dieksploitasi (KEV) hanya naik 10 persen. Pada semester pertama 2026 tercatat 495 KEV. Median jarak dari publikasi CVE sampai masuk daftar KEV turun menjadi 80 hari, dari 120 hari pada 2025.
Gambaran besarnya datang dari FIRST, organisasi tim tanggap insiden global, yang memperkirakan jumlah CVE sepanjang 2026 mendekati 66.000, menurut Help Net Security pada 15 Juni 2026. Sebagian kenaikan juga berasal dari pencatatan ulang data lama, bukan hanya temuan AI baru.
Ramy Rahman, senior principal solutions engineer di ArmorCode, mengingatkan bahwa "more disclosed vulnerabilities do not automatically mean more successful attacks." Hunt.io mencatat upaya agresif mengeksploitasi celah PHP, tetapi hingga Kamis sore waktu AS, kepala risetnya Esteban Borges menyebut penyerang tampaknya belum berhasil membuat alat yang berfungsi.
Dampaknya bagi Tim Keamanan dan Perusahaan di Indonesia
Bagi tim keamanan, pesan utamanya adalah jendela waktu untuk menambal makin pendek. Ketika celah bisa ditemukan dan dibuatkan eksploit dalam hitungan jam, perusahaan perlu inventaris aset yang rapi, jalur tambalan cepat, dan pemantauan untuk semua layanan yang terbuka ke internet.
Daniel Stenberg, pengembang utama curl, berpendapat celah temuan AI cenderung eksotis dan sulit dimanfaatkan penjahat. Pandangan ini sejalan dengan data VulnCheck. Namun lonjakan jumlah pengumuman tetap menambah beban kerja, karena tim harus menilai satu per satu mana yang relevan dengan sistem mereka sebelum penyerang bergerak.
Bagi perusahaan dan instansi di Indonesia, banyak situs dan aplikasi internal masih berjalan di atas PHP dan Node.js, dua teknologi yang terseret pekan ini. Acuan nasionalnya adalah Peraturan Presiden Nomor 47 Tahun 2023 tentang Strategi Keamanan Siber Nasional dan Manajemen Krisis Siber, yang berlaku sejak 20 Juli 2023 bagi instansi penyelenggara negara dan pemangku kepentingan. Prosedur krisis siber sebaiknya sudah siap sebelum celah berikutnya diumumkan.
(Burung Hantu Infratek / Reuters / VulnCheck)
Foto sampul: Noam Galai for TechCrunch, CC BY 2.0, via Wikimedia Commons
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Keamanan Siber AI
🛡️ Celah PHP2Shell Temuan AI Ancam 70 Persen Situs Web; PHP Rilis Tambalan
🔥 Codex Security OpenAI Temukan Celah RCE Brotli di Node.js; Patch Dirilis
⚔️ Claude Mythos 5 Serang Developer Asli di 9 dari 43 Uji Siber AISI
🤖 Cloudflare Blokir 416 Miliar Request Bot AI dalam 5 Bulan
Sumber dan Referensi
[1] AI-discovered bugs may soon trigger fresh disruptions, cyber experts say - Reuters via Investing.com
[2] Cloudflare CEO warns AI is unleashing a flood of security flaws - The Daily Star
[3] VulnCheck State of Exploitation 1H-2026 - VulnCheck
[4] AI vulnerability discovery is pushing 2026 CVEs toward 66,000 - Help Net Security