Apa Itu Agentic Pentesting? Cara AI Menguji Keamanan Siber

Perkembangan teknologi Artificial Intelligence (AI) membawa perubahan besar dalam dunia keamanan siber. Salah satu inovasi yang mulai mendapat perhatian adalah agentic pentesting, yaitu pengujian penetrasi yang memanfaatkan agen AI untuk menjalankan berbagai tahapan pengujian keamanan secara mandiri. Teknologi ini dirancang untuk menemukan kerentanan, menguji kemungkinan eksploitasi, serta mengidentifikasi jalur serangan yang dapat dimanfaatkan penyerang untuk mengakses sistem penting.

Berbeda dengan pengujian keamanan konvensional yang banyak mengandalkan tenaga ahli untuk menjalankan setiap tahapan, agentic pentesting dapat mengotomatiskan proses penemuan dan pengujian kerentanan. Sistem tidak hanya mencari kelemahan, tetapi juga berupaya membuktikan apakah kelemahan tersebut benar-benar dapat dimanfaatkan untuk melakukan serangan.

Meski menawarkan kemampuan yang menjanjikan, agentic pentesting bukan solusi yang dapat menjawab seluruh persoalan keamanan siber. Teknologi ini memiliki keterbatasan, terutama dalam hal kecepatan pengujian terhadap lingkungan berskala besar dan cakupan aset yang dapat diuji secara langsung. Karena itu, memahami cara kerja, manfaat, dan batasannya menjadi langkah penting bagi organisasi yang ingin menerapkannya.

Apa Itu Agentic Pentesting?

Agentic pentesting adalah pendekatan pengujian penetrasi yang menggunakan agen berbasis AI untuk menjalankan serangkaian aktivitas pengujian keamanan secara otomatis. Tujuannya adalah mengetahui apakah sistem, jaringan, atau aplikasi memiliki kelemahan yang dapat dieksploitasi oleh penyerang.

Dalam pengujian penetrasi atau penetration testing, tim keamanan biasanya mencoba menyerang sistem secara terkendali untuk menemukan celah sebelum dimanfaatkan oleh pihak yang tidak bertanggung jawab. Agentic pentesting mengadopsi prinsip serupa, tetapi menggunakan agen AI untuk membantu menjalankan proses tersebut.

Secara umum, prosesnya dapat mencakup identifikasi sistem dan layanan, pencarian kerentanan, pengujian eksploitasi, serta penelusuran jalur serangan. Jika menemukan kelemahan yang dapat dimanfaatkan, sistem berupaya menghubungkannya dengan kelemahan lain untuk mengetahui apakah penyerang berpotensi mencapai aset yang lebih penting.

Sebagai contoh, sebuah server mungkin memiliki kerentanan yang memungkinkan akses awal ke jaringan perusahaan. Setelah memperoleh akses tersebut, penyerang bisa mencoba meningkatkan hak akses dan berpindah ke sistem lain. Agentic pentesting berupaya menguji rangkaian kemungkinan tersebut dalam lingkungan yang telah mendapatkan izin pengujian.

Dengan demikian, teknologi ini tidak hanya membantu menjawab pertanyaan apakah sebuah kerentanan ditemukan, tetapi juga apakah kerentanan tersebut benar-benar menimbulkan risiko bagi organisasi.

Mengapa Agentic Pentesting Semakin Dibutuhkan?

Salah satu tantangan terbesar dalam keamanan siber adalah meningkatnya jumlah kerentanan yang harus ditangani. Tim keamanan perlu menentukan kelemahan mana yang paling mendesak untuk diperbaiki, sementara sumber daya dan waktu yang tersedia sering kali terbatas.

Melansir dari situs JerryGamblin mencatat bahwa sebanyak 35.364 CVE ditemukan pada paruh pertama 2026, meningkat 49,5 persen dibandingkan periode yang sama tahun sebelumnya. CVE atau Common Vulnerabilities and Exposures merupakan sistem identifikasi publik untuk kerentanan keamanan yang diketahui.

Namun, banyaknya kerentanan tidak berarti semuanya memiliki tingkat risiko yang sama. Tingkat keparahan teknis saja belum cukup untuk menentukan prioritas penanganan. Organisasi juga perlu mengetahui apakah kerentanan tersebut benar-benar dapat dieksploitasi, apakah aset terdampak penting bagi bisnis, dan apakah sistem pertahanan mampu menghentikan serangan.

Tantangan lainnya adalah kecepatan serangan. Rata-rata waktu antara pengungkapan kerentanan dan eksploitasi menyusut dari 21,5 hari pada 2025 menjadi delapan jam pada 2026.

Perubahan ini membuat pendekatan pengujian berkala semakin sulit diandalkan jika digunakan sebagai satu-satunya metode validasi keamanan. Pengujian penetrasi tahunan dapat meninggalkan jeda panjang sebelum perubahan sistem diuji kembali. Bahkan, pengujian otomatis mingguan masih dapat menyisakan celah waktu hingga tujuh hari.

Dalam situasi seperti ini, organisasi membutuhkan validasi yang lebih cepat dan berkelanjutan. Agentic pentesting dapat membantu memenuhi kebutuhan tersebut, terutama ketika organisasi ingin mengetahui apakah perubahan infrastruktur membuka jalur serangan baru.

Bagaimana Cara Kerja Agentic Pentesting?

Cara kerja agentic pentesting dapat dipahami melalui beberapa tahapan yang saling berkaitan.

1. Mengidentifikasi sistem dan layanan
   Tahap awal adalah mengenali aset yang menjadi sasaran pengujian, termasuk sistem, perangkat, layanan, dan titik akses yang tersedia. Proses ini membantu agen memahami lingkungan yang sedang diuji.

   Identifikasi tersebut menjadi dasar untuk menentukan area yang perlu diperiksa lebih lanjut. Dalam lingkungan perusahaan yang memiliki ribuan endpoint, pemetaan aset juga membantu menggambarkan luasnya permukaan serangan.

2. Menemukan dan memeriksa kerentanan
   Setelah mengenali lingkungan, agen mencari kelemahan yang berpotensi dimanfaatkan. Kerentanan dapat berkaitan dengan perangkat lunak yang belum diperbarui, konfigurasi yang tidak aman, atau kelemahan lain yang membuka peluang serangan.

   Namun, menemukan kerentanan tidak otomatis membuktikan bahwa sistem dapat diserang. Informasi mengenai versi perangkat lunak, misalnya, dapat menunjukkan kemungkinan adanya kelemahan, tetapi belum tentu membuktikan bahwa kelemahan tersebut bisa dieksploitasi dalam kondisi nyata. Karena itu, tahap berikutnya menjadi penting.

3. Memvalidasi kemampuan eksploitasi
   Pada tahap ini, sistem berupaya membuktikan apakah kerentanan benar-benar dapat dimanfaatkan. Pengujian dilakukan secara terkendali dan hanya pada lingkungan yang telah mendapatkan izin.Hasil validasi memberikan informasi yang lebih konkret daripada sekadar daftar kerentanan. Tim keamanan dapat mengetahui apakah suatu kelemahan benar-benar membuka peluang akses atau menimbulkan risiko yang perlu segera ditangani.

4. Menelusuri jalur serangan
   Serangan siber tidak selalu berhenti pada satu kerentanan. Penyerang dapat menggabungkan beberapa kelemahan untuk mencapai tujuan yang lebih besar. Agentic pentesting dapat menguji rangkaian serangan yang mencakup akses awal, peningkatan hak akses (privilege escalation), dan pergerakan lateral (lateral movement) ke sistem lain.

   Misalnya, kelemahan pada satu server dapat menjadi pintu masuk menuju jaringan internal. Dari sana, penyerang mungkin berusaha memperoleh hak akses yang lebih tinggi dan menjangkau server yang menyimpan data penting.Dengan menelusuri jalur tersebut, organisasi dapat memahami bagaimana kelemahan yang terlihat terpisah ternyata dapat membentuk risiko yang lebih besar.

5. Menguji ulang setelah perbaikan
   Setelah kerentanan diperbaiki, pengujian perlu dilakukan kembali untuk memastikan tindakan perbaikan benar-benar efektif.

   Validasi ulang membantu membedakan antara masalah yang sudah ditangani dan masalah yang masih berpotensi dieksploitasi. Dengan demikian, keputusan untuk menutup temuan keamanan dapat didasarkan pada bukti, bukan sekadar asumsi bahwa perbaikan telah berhasil.

Dua Manfaat Utama Agentic Pentesting

Agentic pentesting memberikan dua jenis bukti yang penting bagi tim keamanan.

• Pertama, bukti bahwa kerentanan dapat dieksploitasi. Sistem membantu memastikan apakah kelemahan tertentu benar-benar dapat dimanfaatkan, bukan hanya terindikasi berdasarkan informasi teknis.
• Kedua, bukti mengenai jalur serangan. Pengujian dapat menunjukkan bagaimana beberapa kelemahan saling berkaitan dan memungkinkan penyerang bergerak menuju aset kritis.

Kedua kemampuan tersebut membantu organisasi memahami risiko secara lebih nyata. Tim keamanan tidak hanya mengetahui bahwa sebuah kerentanan ada, tetapi juga dapat memahami potensi dampaknya terhadap sistem lain.

Meski demikian, manfaat tersebut bergantung pada aset yang berhasil dijangkau oleh pengujian. Di sinilah dua keterbatasan utama agentic pentesting perlu diperhatikan, yaitu waktu yang dibutuhkan untuk menyelesaikan pengujian dan luasnya cakupan lingkungan yang dapat diuji.

Apa Saja Keterbatasan Agentic Pentesting?

• Pengujian berskala besar membutuhkan waktu
  Agentic pentesting dapat mengotomatiskan banyak aktivitas, tetapi pengujian yang menyeluruh tetap membutuhkan waktu, khususnya pada lingkungan perusahaan berskala besar.

  Sebagai ilustrasi lingkungan dengan 250.000 endpoint. Pengujian terhadap seluruh lingkungan tersebut dapat berlangsung selama beberapa minggu. Selama proses berjalan, sistem dan konfigurasi perusahaan mungkin terus berubah.

  Akibatnya, sebagian hasil pengujian berisiko tidak lagi mencerminkan kondisi terbaru ketika laporan selesai dibuat. Hal ini menjadi persoalan ketika penyerang dapat mengeksploitasi kerentanan dalam waktu yang jauh lebih singkat. Otomatisasi memang mempercepat pengujian, tetapi tidak selalu membuat seluruh proses selesai dalam hitungan jam.

• Tidak semua aset aman untuk diuji melalui eksploitasi langsung
  Pengujian eksploitasi nyata memiliki risiko terhadap stabilitas sistem. Karena itu, sistem produksi yang sangat penting, jaringan berskala besar, dan lingkungan terisolasi atau air-gapped mungkin tidak dapat diuji dengan metode tersebut. Organisasi harus mempertimbangkan dampak pengujian terhadap operasional sebelum menjalankan eksploitasi langsung.

  Selain itu, tidak semua kerentanan memiliki eksploitasi yang dapat digunakan. Jika belum tersedia eksploitasi yang berfungsi, alat yang bergantung pada eksekusi langsung akan kesulitan membuktikan kemampuan eksploitasi dengan metode tersebut. Keterbatasan ini membuat agentic pentesting tidak dapat menjadi satu-satunya pendekatan validasi keamanan.

• Cakupan pengujian dapat menyisakan ketidakpastian
  Agentic pentesting saja mungkin hanya menjangkau sekitar 20–30 persen dari potensi eksploitasi nyata di lingkungan perusahaan pada umumnya. Angka tersebut merupakan estimasi, bukan ukuran universal untuk semua produk atau organisasi.

  Intinya, hasil pengujian yang berhasil membuktikan adanya serangan pada sebagian aset tidak otomatis menjamin bahwa seluruh lingkungan telah aman. Aset yang tidak diuji tetap dapat menyimpan risiko yang belum diketahui.

  Menambahkan beberapa alat dengan metode serupa juga belum tentu menghilangkan keterbatasan tersebut. Organisasi membutuhkan pendekatan yang saling melengkapi agar dapat menilai risiko secara lebih menyeluruh.

Tiga Metode Validasi Keamanan yang Saling Melengkapi

Untuk mengatasi keterbatasan tersebut, berikut adalah tiga metode yang memiliki fungsi berbeda.

1. Exploitability Validation
   Exploitability validation atau validasi kemampuan eksploitasi digunakan untuk mengetahui apakah kerentanan dapat dieksploitasi dalam lingkungan tertentu. Metode ini dapat menguji teknik serangan yang berkaitan dengan suatu kerentanan tanpa harus menunggu tersedianya eksploitasi yang berfungsi.

   Pendekatan tersebut membantu organisasi menilai aset terdampak secara lebih luas dan menentukan prioritas penanganan berdasarkan bukti yang relevan. Metode ini terutama berguna ketika kerentanan baru diumumkan dan tim keamanan perlu mengetahui apakah sistem mereka berisiko.

2. Security Control Validation
   Security control validation atau validasi kontrol keamanan bertujuan memastikan apakah mekanisme pertahanan mampu menghadapi teknik serangan yang relevan. Pengujian dapat dilakukan dengan menyimulasikan teknik yang digunakan dalam kampanye serangan dan mengamati respons sistem pertahanan. Hasilnya menunjukkan apakah serangan berhasil dicegah, terdeteksi, atau tidak teridentifikasi oleh kontrol yang tersedia.

   Pendekatan ini bermanfaat ketika muncul kampanye serangan baru atau ketika organisasi mengubah konfigurasi sistem keamanan.

3. Agentic Pentesting
   Agentic pentesting berfokus pada pembuktian melalui pengujian langsung dan penelusuran jalur serangan yang menghubungkan beberapa kelemahan. Metode ini sangat berguna ketika organisasi perlu mengetahui apakah perubahan infrastruktur membuka jalur baru menuju aset penting.

Ketiga metode tersebut memiliki tujuan berbeda. Validasi kemampuan eksploitasi membantu menilai kerentanan, validasi kontrol keamanan menguji efektivitas pertahanan, sedangkan agentic pentesting membuktikan jalur serangan yang dapat ditempuh dalam kondisi pengujian yang memungkinkan.

Menggabungkannya dapat memberikan gambaran keamanan yang lebih lengkap daripada hanya mengandalkan satu metode.

Pentingnya Mengintegrasikan Temuan Keamanan

Penggunaan beberapa metode validasi juga perlu disertai pengelolaan temuan yang terintegrasi. Tanpa integrasi, organisasi berisiko menerima laporan berulang, menggunakan prioritas penanganan yang berbeda, dan kesulitan mengetahui status penyelesaian setiap masalah.

Karena itu, temuan dari seluruh metode sebaiknya dikelola dalam satu model yang sama. Model tersebut perlu menggabungkan bukti yang dapat diverifikasi, menghubungkan temuan dengan aset terdampak, menghilangkan duplikasi, dan menyediakan status penanganan yang jelas.

Sebagai contoh, ketika sebuah kerentanan kritis diumumkan, organisasi dapat memulai dengan mengumpulkan threat intelligence. Selanjutnya, tim memetakan aset yang terdampak beserta tingkat kepentingannya, memvalidasi kemampuan eksploitasi, menguji kontrol pertahanan, dan mengonfirmasi jalur serangan jika pengujian langsung aman dilakukan.

Mitigasi kemudian diterapkan sesuai prioritas. Sebelum temuan ditutup, setiap perbaikan perlu divalidasi kembali. Alur ini menunjukkan bahwa validasi keamanan bukan hanya tentang menemukan kelemahan, tetapi juga memastikan bahwa risiko telah dipahami, ditangani, dan diuji kembali.

Kesimpulan

Agentic pentesting merupakan pendekatan pengujian penetrasi berbasis agen AI yang membantu organisasi menemukan kerentanan, membuktikan kemampuan eksploitasi, dan menelusuri jalur serangan menuju aset penting. Teknologi ini dapat mempercepat sejumlah tahapan pengujian dan memberikan bukti yang lebih konkret mengenai risiko keamanan.

Namun, agentic pentesting memiliki keterbatasan dalam hal waktu pengujian dan cakupan aset yang dapat diuji melalui eksploitasi langsung. Pada lingkungan perusahaan berskala besar, proses pengujian dapat berlangsung selama berminggu-minggu, sementara sebagian aset tidak aman atau tidak memungkinkan untuk diuji dengan metode tersebut.

Oleh karena itu, organisasi perlu mengombinasikan agentic pentesting dengan validasi kemampuan eksploitasi dan validasi kontrol keamanan. Ketiganya dapat saling melengkapi untuk membantu tim keamanan menilai kerentanan, menguji pertahanan, dan membuktikan jalur serangan.

Pada akhirnya, tujuan utama validasi keamanan modern bukan sekadar melakukan pengujian secara rutin, melainkan memastikan bahwa perubahan sistem dan paparan risiko baru dapat dinilai dengan cepat, berdasarkan bukti, dan dengan cakupan yang memadai.