.webp)
Di era kecerdasan buatan (AI), para peretas (hacker) kini mampu mengeksploitasi kerentanan sistem dengan kecepatan mesin. Tim keamanan siber pun sering kali kewalahan jika hanya mengandalkan proses manual dan sistem lawas. Siklus tradisional cari dan tambal secara resmi tak lagi memadai.
Namun, mengandalkan AI mentah-mentah juga bukan solusi instan. Banyak tim TI yang mencoba menyodorkan ribuan baris kode ke Large Language Model (LLM) seperti ChatGPT atau Claude, lalu memintanya mencari bug. Hasilnya? Sering kali berakhir kacau. AI justru berhalusinasi, membanjiri layar dengan false positive, dan memberikan hasil yang sulit diverifikasi oleh auditor keamanan.
Menjawab kekacauan tersebut, raksasa jaringan dan keamanan Cisco resmi merilis Foundry Security Spec sebagai proyek open-source. Ini bukan sekadar perangkat lunak biasa, melainkan sebuah kerangka kerja (blueprint) yang teruji untuk membangun sistem evaluasi keamanan berbasis agentic AI tingkat perusahaan (enterprise-grade).
SCROLL TO CONTINUE WITH CONTENT
Cisco menyadari bahwa perbedaan antara demo AI yang keren dan sistem keamanan yang dapat dipertanggungjawabkan terletak pada orkestrasi dan pembatasan (guardrails).
Dengan Foundry Security Spec, Cisco membagikan 'buku resep' untuk membungkus model AI dengan pagar keamanan yang dirancang sejak awal. Sistem ini mengubah LLM dari sekadar mesin penjawab menjadi agen otonom yang mampu:
- Memberikan temuan bug yang terprioritas dan dapat diverifikasi.
- Menghasilkan rantai asal-usul data (provenance chain) yang transparan dan dapat diaudit oleh CISO (Chief Information Security Officer).
- Mengetahui secara pasti kapan sebuah proses evaluasi benar-benar 'selesai'.
Karena sifatnya yang model-agnostic dan stack-agnostic, kerangka ini bisa diterapkan menggunakan model AI apa pun dan di atas infrastruktur perangkat lunak mana pun sesuai kebutuhan unik tiap organisasi.
Cisco membagi spesifikasi ini ke dalam dua artefak utama:
1. "Spec" Artifact: Berisi cetak biru arsitektur yang mencakup 8 peran agen inti (seperti Orchestrator, Detector, Validator), lengkap dengan 130 persyaratan fungsional operasionalnya.
2. "Constitution" Artifact: Ini adalah bagian paling menarik. Berisi 11 prinsip mutlak yang pantang dilanggar oleh AI. Setiap aturan ini lahir dari pengalaman pahit Cisco dalam menghadapi kegagalan nyata di lingkungan produksi mereka sendiri.
Mencegah Bug Bahkan Sebelum Selesai Diketik
Kehebatan sesungguhnya dari inisiatif ini muncul ketika Foundry dikawinkan dengan Project CodeGuard, sebuah platform aturan deteksi keamanan open-source yang telah disumbangkan Cisco ke Coalition for Secure AI (CoSAI).
Keduanya menciptakan efek bola salju (flywheel) perlindungan yang sangat cerdas: Ketika agen AI Foundry bereksplorasi dan menemukan kerentanan baru yang belum dikenali oleh aturan CodeGuard mana pun, sistem akan mencatatnya sebagai "celah". Celah ini kemudian otomatis dirumuskan menjadi aturan CodeGuard yang baru.
Luar biasanya, aturan baru ini kemudian disuntikkan kembali ke dalam asisten coding (LLM) yang dipakai oleh para programmer di perusahaan tersebut. Hasilnya, saat programmer lain mencoba menulis kode dengan pola kerentanan yang sama, AI akan langsung memblokir dan mencegahnya bahkan sebelum kode tersebut selesai diketik.
Mengapa Hanya Spesifikasi, Bukan Source Code?
Banyak yang bertanya mengapa Cisco tidak langsung merilis aplikasi jadinya saja. Omar Santos, Distinguished Engineer AI Security Engineering Cisco, menjelaskan bahwa source code internal mereka sangat terikat dengan infrastruktur privat Cisco. Jika dilepas ke publik, kode itu tidak akan bisa berjalan di server perusahaan lain.
Oleh karena itu, yang dibuka adalah rancangan arsitekturnya. "Foundry Security Spec adalah spesifikasi open-source, bukan layanan terkelola. Kami menyediakan kerangka acuan untuk pagar keamanan, namun Anda lah yang harus memastikan bahwa konsep 'peran manusia' tetap menjadi pengambil keputusan akhir," jelas Omar, dalam keterangan yang diterima detikINET.
Dengan langkah ini, Cisco berharap komunitas keamanan siber dapat bergerak lebih cerdas dan fokus pada temuan keamanan yang berdampak nyata, tanpa perlu pusing memilah ribuan notifikasi palsu dari AI yang belum dijinakkan.
(asj/fay)
