Proyek curl telah mengirimkan versi 8.22.0 yang berisi perbaikan untuk enam CVE yang baru diungkapkan, semuanya ditemukan oleh sistem keamanan AI otonom yang dibangun oleh startup AISLE — dan semuanya ditemukan setelah model AI frontier dari OpenAI dan Anthropic secara publik melaporkan bahwa curl tidak mengandung kerentanan lebih lanjut. Perbandingan tersebut, yang didokumentasikan dalam postingan blog oleh peneliti AISLE Stanislav Fort yang diterbitkan pada hari Selasa, menarik perhatian seluruh komunitas keamanan sebagai salah satu pengujian langsung yang paling jelas terhadap alat keamanan AI khusus terhadap model frontier tujuan umum.
Garis dasarnya luar biasa bersih. Pada tanggal 24 Agustus, pendiri curl Daniel Stenberg secara terbuka menulis bahwa hanya tiga CVE yang menunggu untuk rilis berikutnya, mencatat bahwa model Mythos Anthropic "mengatakan tidak dapat menemukannya lagi" dan bahwa sistem keamanan Codex OpenAI "menunjukkan daftar kosong" ketika diminta untuk menganalisis curl, perpustakaan transfer data yang ada di mana-mana yang diterapkan di lebih dari 20 miliar contoh di seluruh dunia, mulai dari lemari es pintar hingga pesawat ruang angkasa. Untuk berita lainnya seperti ini, lihat liputan berita keamanan AI kami.
Dari nol hingga dua puluh sembilan laporan dalam semalam
AISLE kemudian mengarahkan sistem AI otonomnya ke curl. Keesokan harinya, Stenberg memposting perbandingan satu baris yang kemudian beredar luas: "Mitos: 0, Lorong: 29." Dari 29 laporan tersebut, tim keamanan curl meninjau enam laporan dalam beberapa hari dan menilai laporan tersebut cukup serius sehingga layak mendapat sebutan CVE publik di curl 8.22.0, yang kini telah dirilis.
Enam CVE yang dikreditkan ke AISLE dan penelitinya adalah:
- CVE-2026-80229 — Penggunaan penyedia OpenSSL setelah bebas
- CVE-2026-80230 — Pintasan penyematan OpenSSL
- CVE-2026-80231 — penggunaan kembali koneksi penyimpanan CA asli
- CVE-2026-80255 — bypass atribut aman dengan tab
- CVE-2026-82208 — serangan CA-cache wolfSSL mengesampingkan panggilan balik
- CVE-2026-82209 — cookie sufiks publik cakupan domain
Keenamnya dinilai tingkat keparahannya rendah. AISLE mengaitkan profil pemeringkatan tersebut dengan kematangan teknik curl yang luar biasa: setelah beberapa dekade melakukan audit, kerentanan yang masih ada cenderung bersembunyi dalam konfigurasi yang sempit dan interaksi yang tidak kentara antar komponen, sehingga membatasi dampak praktis. Tiga dilaporkan pada tanggal 24 Agustus, dua pada tanggal 26 Agustus, dan satu pada tanggal 27 Agustus. Pada tanggal 28 Agustus, penghitungan CVE curl yang tertunda telah meningkat dari tiga menjadi sepuluh, dengan enam temuan baru berasal dari AISLE, menurut laporan perusahaan.
Mengapa perbandingan ini penting
Para peneliti keamanan telah lama menganggap penemuan kerentanan yang didorong oleh AI sebagai sebuah teater – demonstrasi yang dilakukan untuk melawan tantangan atau tolok ukur yang sudah diketahui jawabannya dan mungkin sudah tersembunyi dalam data pelatihan model. Episode ini berbeda dalam satu hal penting: analisis menargetkan kode produksi saat ini, dan pengelola curl sendiri, bukan AISLE, yang memutuskan apakah setiap temuan itu nyata dan apakah memerlukan CVE. Karena Stenberg telah mendokumentasikan secara terbuka hasil nihil model frontier sebelum AISLE menjalankan sistemnya, perbandingan tersebut membawa garis dasar yang diberi stempel waktu yang jarang ditemukan dalam klaim vendor.
Sebaiknya perhatikan konteks vendor. AISLE menjual audit kode AI sebagai sebuah produk, dan postingan blog tersebut secara eksplisit memasarkan tesis "Sistem di atas Model" — argumen bahwa sistem AI khusus dapat mengalahkan model perbatasan tujuan umum dalam penemuan zero-day di dunia nyata. Para komentator di Hacker News juga melakukan pengamatan yang sama, dengan mencatat bahwa postingan tersebut hanya berisi sedikit detail teknis tentang metodologi, meskipun diskusi tentang kode publik perusahaan menyarankan pendekatan yang menggabungkan penargetan yang dipandu LLM dengan fuzzing tradisional: model mengidentifikasi fungsi-fungsi menarik dan menghasilkan rangkaian pengujian, kemudian temuan fuzzer diprioritaskan. Perusahaan sebelumnya telah mengungkapkan enam CVE keriting pada bulan Juni, termasuk apa yang digambarkan sebagai masalah tertua yang pernah dilaporkan dalam proyek tersebut.
Polanya mungkin melampaui ikal
Sinyal paling provokatif datang dari luar proyek curl. Greg Kroah-Hartman, pengelola lama rilis kernel stabil Linux, menanggapi postingan Stenberg dengan mengatakan, "Saya juga melihat hal yang sama untuk Linux. Tidak tahu apa yang dilakukan Aisle secara berbeda, tapi wow." Jika sistem AI khusus secara independen memunculkan kerentanan valid di kernel Linux yang tidak terdapat pada model frontier, maka celah tersebut bukanlah sebuah kekhasan dari satu basis kode.
Untuk tim keamanan perusahaan, episode ini terjadi di tengah perubahan yang lebih luas. Lab-lab termasuk OpenAI dan Anthropic telah banyak berinvestasi dalam memposisikan model terdepan mereka untuk pekerjaan keamanan – OpenAI baru saja mengonfirmasi Astra sebagai model keamanan siber yang “penting” pada minggu ini – dan kerentanan kini sering ditemukan oleh sistem AI di seluruh perangkat lunak sumber terbuka. Hasil curl menunjukkan bahwa model frontier saja bukanlah keseluruhan rangkaian alat: model tujuan umum yang melaporkan nol temuan bukanlah bukti bahwa temuan tidak ada.
Hasil praktisnya sudah terlihat. Organisasi yang menjalankan curl harus memperbarui ke 8.22.0, yang berisi perbaikan untuk keenam CVE. Dan bagi tim yang mengevaluasi alat keamanan AI, tolok ukur yang penting bukanlah bagaimana kinerja suatu model dalam menghadapi tantangan yang ada, namun apakah temuannya dapat bertahan dalam peninjauan oleh pengelola kode produksi sebenarnya — standar yang baru saja dipenuhi oleh keenam CVE ini.
---
Tetap Terdepan dalam AIDapatkan berita, analisis, dan terobosan AI terkini — semuanya di satu tempat.
Baca berita AI selengkapnya →
