Tim keamanan yang tidak pernah tidur: 0.security dan berakhirnya pentest tahunan

0.security, dalam batch Musim Gugur 2026 Y Combinator, menjual tim keamanan otonom: pengujian pull request, pentesting berkelanjutan, dan perbaikan yang dikirim dalam PR yang sama. Taruhannya adalah bahwa AI kini menulis kode lebih cepat daripada kemampuan audit tahunan memeriksanya — dan bahwa langkah verifikasi, bukan pemindaian, adalah bagian yang sulit.

Pengujian keamanan selalu berjalan mengikuti kalender. Setahun sekali, kadang dua kali, sebuah firma eksternal menghabiskan seminggu bersama aplikasi, menulis laporan, dan tim menghabiskan seperempat tahun untuk menindaklanjutinya. Saat temuan terakhir ditutup, basis kode sudah berubah di bawahnya.

Model itu mengasumsikan perangkat lunak berubah dengan lambat. Sekarang tidak lagi. Tim yang menggunakan agen pengodean merilis dalam seminggu apa yang dulu memakan waktu seperempat tahun, dan setiap perubahan itu merupakan permukaan serangan baru. Pengujian tahunan sekarang menggambarkan sistem yang sudah tidak ada lagi.

0.security adalah salah satu perusahaan dalam batch Fall 2026 (F26) Y Combinator yang dibangun di atas celah tersebut. Deskripsinya blak-blakan: tim keamanan siber otonom. Produk ini menjalankan tes keamanan pada pull request, menjalankan pentest berkelanjutan terhadap sistem yang aktif, memantau dependensi terhadap kerentanan yang baru diungkapkan, dan — bagian yang penting secara komersial — memberikan perbaikan dalam pull request yang sama, diterapkan dengan satu klik.

Mengapa langkah verifikasi adalah keseluruhan produk

Pemindaian itu murah dan sudah demikian selama satu dekade. Yang tidak pernah murah adalah mengetahui peringatan mana yang penting. Pemindai yang melaporkan dua ratus temuan dan salah pada setengahnya tidak mengurangi risiko; ia menghabiskan perhatian satu-satunya orang yang bisa memperbaiki temuan yang sebenarnya.

Jadi klaim menarik di sini bukanlah bahwa AI dapat menemukan bug. Melainkan bahwa AI dapat dibuat untuk membuktikannya. 0.security mengatakan agen mereproduksi temuan di lingkungan terisolasi dan memverifikasi perbaikan sebelum ditawarkan, dan dengan begitu cara mereka menyaring positif palsu. Jika itu terbukti benar, hal ini mengubah unit kerja dari "laporan untuk ditriase" menjadi "patch untuk ditinjau".

Riset publik perusahaan adalah bukti yang menjadi sandarannya. Situsnya mencantumkan kerentanan yang diungkap di seluruh kernel Linux dan sederet panjang tumpukan vendor — AMD, Qualcomm, Cisco, Arm, Google, Meta, IBM, NVIDIA, Intel, Red Hat — dengan jejak peninjauan seperti yang dikenali para insinyur keamanan. Perusahaan juga menerbitkan harness-nya sebagai sumber terbuka dan menyatakan bahwa lebih dari tiga miliar perangkat menjalankan perangkat lunak yang telah dibantunya amankan. Itu adalah klaim perusahaan, bukan angka yang diaudit secara independen, tetapi tautan pengungkapannya dapat diperiksa dengan cara yang biasanya tidak dimiliki materi pemasaran.

Perlombaan senjata yang tidak diminta siapa pun

Konteks yang tidak nyaman adalah bahwa kemampuan yang sama juga ada di pihak lain. Penyerang menggunakan model untuk membaca kode, menemukan kelemahan, dan menulis eksploit, dengan kecepatan yang sama seperti yang kini dapat digunakan pihak pembela untuk menutupnya. Perusahaan yang mengadopsi AI untuk rekayasa dan tetap menjalankan tinjauan keamanan tahunan telah mengotomatiskan separuh persamaan itu.

Itu adalah argumen untuk pengujian berkelanjutan dalam satu kalimat: jika kode berubah setiap hari, postur keamanan harus dievaluasi setiap hari, atau kesenjangan antara apa yang Anda rilis dan apa yang Anda periksa melebar setiap minggu.

Apa yang masih harus ditanyakan pembeli

Tiga pertanyaan, dan tidak satu pun tentang kualitas model.

Siapa yang memiliki hasilnya? Alat yang mengarsipkan temuan adalah pemindai. Alat yang menambal kode melakukan perubahan pada sistem produksi, dan seseorang di dalam perusahaan harus memiliki keputusan itu. Di perusahaan tanpa eksekutif keamanan, pemilik itu biasanya tidak ada — celah yang sama yang membuat CSO fraksional layak dipertahankan.

Berapa tingkat positif palsu pada kode kami? Mintalah uji coba terhadap repositori yang Anda sudah tahu memiliki celah. Klaim verifikasi mudah dibuat dan mahal dibuktikan.

Apa yang terjadi ketika model keliru ke arah sebaliknya? Kerentanan yang terlewat lebih buruk daripada temuan yang berisik, dan tidak ada vendor yang akan menjamin recall.

0.security masih dini: perusahaan peserta batch Musim Gugur 2026, tim kecil, dan klaim yang akan diuji oleh pelanggan alih-alih oleh siaran pers. Namun bentuk argumennya sudah tepat, dan itulah bentuk yang dituju seluruh batch — AI menciptakan masalah dengan kecepatan mesin, jadi responsnya juga harus berjalan dengan kecepatan mesin.

Pentest tahunan tidak mati karena buruk. Ia mati karena menggambarkan basis kode yang sudah tidak ada lagi sejak Februari.

Sumber: daftar perusahaan Y Combinator F26 dan situs publik serta pengungkapan riset 0.security, November 2026. Klaim perusahaan diatribusikan sebagaimana adanya.

Kontak: [email protected]

Harap dicatat bahwa versi bahasa Indonesia didukung oleh AI dan karena itu mungkin terjadi kesalahan kecil.

Penulis

Ai-Banking-NetworkSecurity (ABN), ABN ASIA didirikan oleh orang-orang dengan akar yang kuat di dunia akademis, dengan pengalaman kerja di Amerika Serikat, Belanda, Hungaria, Jepang, Korea Selatan, Singapura, dan Vietnam. ABN Asia adalah tempat di mana akademik dan teknologi bertemu dengan peluang. Dengan solusi terdepan kami dan layanan pengembangan perangkat lunak yang kompeten, kami membantu bisnis untuk meningkatkan level dan bersaing di panggung global. Komitmen kami: Lebih Cepat. Lebih Baik. Lebih handal. Dalam kebanyakan kasus: Lebih murah juga.

Jangan ragu untuk menghubungi kami jika Anda membutuhkan layanan IT, konsultasi digital, solusi perangkat lunak siap pakai, atau jika Anda ingin mengirimkan permintaan proposal (RFP). Anda dapat menghubungi kami di [email protected]. Kami siap membantu Anda dengan semua kebutuhan teknologi Anda.

© ABN ASIA