AI Menulis Kode Makin Cepat, tapi Bug-nya Makin Menyusup ke Arsitektur
Riset Apiiro yang mengaudit puluhan ribu repositori enterprise menemukan temuan keamanan kode bulanan naik sepuluh kali lipat setelah tim pakai AI coding assistant. Yang bikin was-was, jenis bug yang naik bukan typo, tapi celah privilege escalation dan cacat arsitektur yang jauh lebih sulit dideteksi.
Bayangkan tim pengembang yang tiba-tiba bisa mengirim kode tiga sampai empat kali lebih cepat dari biasanya. Kedengarannya seperti mimpi setiap perusahaan. Tapi menurut riset Apiiro yang memindai puluhan ribu repositori di perusahaan-perusahaan skala Fortune 50 antara akhir 2024 sampai pertengahan 2025, kecepatan itu datang dengan ongkos yang tidak kelihatan di permukaan: temuan masalah keamanan kode naik dari sekitar 1.000 menjadi lebih dari 10.000 per bulan, hanya dalam enam bulan.
Angka itu bukan cuma soal jumlah. Yang lebih penting adalah jenis masalah yang berubah drastis begitu tim mulai mengandalkan AI coding assistant untuk menulis kode produksi.
Typo Turun, tapi Bug yang Tersembunyi Justru Meledak
Menurut riset Apiiro, kesalahan sintaksis pada kode buatan AI turun 76 persen, dan bug logika sederhana turun 60 persen. Ini masuk akal, AI memang jago menghindari kesalahan ketik atau struktur kode yang jelas-jelas rusak. Wajar kalau developer jadi merasa lebih produktif dan lebih percaya diri.
Masalahnya ada di lapisan yang lebih dalam. Data yang sama menunjukkan jalur privilege escalation, celah yang memungkinkan seseorang menaikkan hak akses melampaui yang seharusnya, melonjak 322 persen. Cacat desain arsitektur naik 153 persen. Dua kategori ini butuh pemahaman konteks yang dalam untuk terdeteksi, jenis yang sering lolos dari static scanner otomatis maupun review manual yang terburu-buru.
Peneliti Apiiro menyimpulkannya dengan cukup tajam: AI memang jago membenarkan typo, tapi di saat yang sama juga menanam bom waktu. Alur otentikasi yang terlihat benar di permukaan, padahal sebenarnya bolong, adalah contoh persis dari apa yang mereka maksud.
Riset yang sama juga mencatat developer yang pakai AI assistant membocorkan kredensial cloud, seperti Azure Service Principal dan Storage Access Key, hampir dua kali lebih sering dibanding developer yang tidak pakai AI.
Bukan Cuma Satu Riset yang Bilang Begini
Kalau cuma satu laporan, mungkin masih bisa dianggap kebetulan. Tapi pola yang sama muncul dari sumber lain. Veracode mencatat bahwa meski model AI terus membaik dua tahun terakhir, tingkat kode yang benar-benar aman dari hasil generate AI tetap stagnan di kisaran 55 persen, hampir tidak bergerak dari titik yang sama sejak awal. Padahal akurasi sintaksisnya sudah di atas 95 persen. Kesenjangan antara "kelihatan benar" dan "benar-benar aman" ini yang jadi akar masalahnya.
Yang membuat situasi ini lebih rumit, studi dari Stanford menemukan developer yang pakai AI coding tools justru cenderung merasa kodenya lebih aman, padahal pada praktiknya kode yang mereka hasilkan lebih rentan dibanding yang ditulis tanpa bantuan AI. Rasa percaya diri naik, tapi kualitas keamanan aktualnya turun. Kombinasi kecepatan tinggi plus rasa aman yang keliru ini yang bikin banyak tim tidak sadar sedang menumpuk utang keamanan.
Kenapa Ini Penting Buat Kamu yang Bukan Developer
Kalau kamu pemilik bisnis yang pakai AI builder untuk bikin aplikasi atau website sendiri, situasi ini relevan meski kamu tidak pernah baca satu baris kode pun. Kecepatan AI membangun fitur memang nyata dan berguna, tapi kecepatan itu tidak otomatis berarti aman. Justru bagian yang paling berisiko, seperti pengaturan hak akses antar peran pengguna atau alur validasi data sensitif, adalah bagian yang paling butuh pemeriksaan tambahan, bukan yang paling boleh dilewatkan.
Ini juga alasan kenapa proses quality gate otomatis di balik AI builder tidak boleh berhenti di level "kode ini jalan tanpa error". Cek yang cuma memastikan aplikasi bisa dijalankan tidak akan menangkap celah privilege escalation yang menurut riset Apiiro justru paling melonjak. Kamu tetap perlu tahu dasar-dasar yang wajib diperhatikan sendiri, seperti disinggung di panduan keamanan dasar saat bikin web dengan AI, karena tanggung jawab akhir tetap ada di tangan pemilik project.
Riset Apiiro, Veracode, dan Stanford sepakat pada satu benang merah yang sama: kecepatan AI menulis kode sudah terbukti, tapi kedalaman pemahamannya soal arsitektur dan keamanan sistem masih jauh dari selesai. Selama gap itu belum tertutup, pemeriksaan lapisan dalam bukan langkah opsional, melainkan bagian wajib dari proses build itu sendiri.