JawabanDipublikasikan14 sumber
Saat eksploitasi bergerak cepat, patch saja tak cukup
Dalam data Verizon yang dikutip a16z, remediasi penuh membutuhkan median 43 hari dan hanya 26% kerentanan yang diketahui telah dieksploitasi berhasil diperbaiki sepenuhnya. Asaf Ezra dan Stephenie Zhang berpendapat bahwa organisasi perlu melindungi sistem sembari menyiapkan, menguji, dan menerapkan perbaikan permanen.
Diterbitkan olehDiedit dengan GPT-6 LunaGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- Dalam data Verizon yang dikutip a16z, remediasi penuh membutuhkan median 43 hari dan hanya 26% kerentanan yang diketahui telah dieksploitasi berhasil diperbaiki sepenuhnya.
- Asaf Ezra dan Stephenie Zhang berpendapat bahwa organisasi perlu melindungi sistem sembari menyiapkan, menguji, dan menerapkan perbaikan permanen.
- Tema yang disorot mencakup segmentasi, deteksi cepat, pemeriksaan identitas tiap permintaan, cadangan yang teruji, dan kontrol rantai pasok—tetapi sumber yang tersedia tidak merinci seluruh enam peluang produk.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What do a16z investing partner Asaf Ezra and growth partner Stephenie Zhang argue in their November 6, 2026 report “Defense in Depth, Rebuil. Article summary: Ezra and Zhang’s central argument is that cheap AI-generated exploits break the timing assumptions behind human-run patching: defenses must protect systems while permanent fixes are still being prepared, tested and deplo. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Kecerdasan buatan dapat menurunkan biaya dan waktu yang dibutuhkan untuk mengubah celah perangkat lunak menjadi eksploit yang berfungsi. Namun, proses memperbaiki perangkat lunak—mulai dari menyiapkan dan menguji patch hingga menerapkannya—belum ikut menjadi secepat itu. Dalam laporan 6 November 2026, Asaf Ezra dan Stephenie Zhang dari a16z berpendapat bahwa organisasi perlu melindungi sistem selama jeda tersebut, bukan hanya mengandalkan patch. 1
2
Jeda antara celah dan perbaikan
Laporan itu menyoroti ketimpangan antara kecepatan celah dimanfaatkan dan lamanya waktu yang dibutuhkan untuk menanganinya. Menurut temuan Verizon 2026 yang dikutip a16z, median waktu hingga remediasi penuh adalah 43 hari. Dalam kumpulan data yang sama, hanya 26% kerentanan yang diketahui telah dieksploitasi yang berhasil diperbaiki sepenuhnya. 1
Dalam tulisan mereka sebelumnya, Ezra dan Zhang menyebut bahwa pada 2025 dan 2026, pekerjaan terampil untuk mengubah bug menjadi eksploit yang berfungsi menjadi lebih murah, sementara proses patching tidak ikut melaju secepat itu. Menurut mereka, kesenjangan antara eksploit dan patch tidak akan tertutup hanya dengan berusaha menambal lebih keras. 2
Ini bukan berarti patch tidak penting. Intinya, organisasi membutuhkan cara untuk mengurangi risiko selama perbaikan permanen masih disiapkan, diuji, dan diterapkan.
Perlindungan sementara bisa mengurangi paparan
Contoh PHP dalam laporan menunjukkan tantangan yang dihadapi perangkat lunak yang sulit diperbarui dengan cepat—atau mungkin tidak akan mendapat perbaikan lagi. Dalam unggahannya, Ezra menyebut dua bug kritis PHP yang bocor sebelum perbaikannya tersedia. Ia mengatakan antara 2,6 juta dan 4,4 juta instalasi di luar layanan perlindungan masih terpapar; sebagian besar menggunakan versi yang tidak akan mendapat perbaikan. 37
Dalam situasi seperti ini, aturan pertahanan yang diterapkan di depan sistem rentan dapat memberi lapisan perlindungan sebelum setiap instalasi diperbarui. Laporan itu mengusulkan pemanfaatan kemampuan berkecepatan mesin untuk membantu membuat dan menyebarkan aturan pertahanan, termasuk ke sistem di luar platform cloud besar. 2
37
Namun, perlindungan sementara bukan pengganti perbaikan perangkat lunak. Jika tersedia, patch permanen tetap perlu diterapkan. Organisasi juga perlu mempertimbangkan risiko jika perlindungan sementara gagal atau tidak lagi tersedia.
Arah pertahanan siber yang disorot
Ezra dan Zhang menyebut laporan mereka memetakan enam peluang generasional bagi produk keamanan. 1
2 Namun, kutipan sumber yang tersedia tidak cukup untuk memverifikasi daftar lengkap keenam kategori beserta rincian masing-masing. Ringkasan sekunder menyoroti beberapa tema umum: segmentasi, deteksi berkecepatan mesin, pemeriksaan identitas pada setiap permintaan, cadangan yang telah diuji, dan kontrol rantai pasok.
34
Secara garis besar, tema-tema itu mengarah pada pendekatan yang lebih berlapis:
- Batasi dampak serangan saat patch belum siap. Segmentasi dan kontrol lain dapat membantu membatasi jangkauan penyusupan, alih-alih mengasumsikan setiap sistem rentan bisa segera diperbarui.
34
- Deteksi dan tanggapi ancaman dengan cepat. Jika pembuatan eksploit makin cepat, kemampuan mendeteksi ancaman dan menerapkan perlindungan dengan segera menjadi semakin penting.
2
- Periksa akses secara berkelanjutan. Pemeriksaan identitas pada setiap permintaan termasuk tema yang disebut dalam ringkasan sekunder, sehingga keamanan tidak hanya bergantung pada proses masuk satu kali.
- Pastikan pemulihan benar-benar bisa dilakukan. Cadangan dan pemulihan yang telah diuji membantu organisasi bersiap memulihkan operasi, bukan sekadar mencegah insiden awal.
- Periksa perangkat lunak dan dependensinya. Kontrol rantai pasok membantu menangani risiko yang masuk melalui perangkat lunak atau alat yang digunakan organisasi.
Daftar di atas merangkum tema yang tersedia, bukan reproduksi terverifikasi atas keenam kategori maupun spesifikasi produknya. Kutipan yang ada juga tidak cukup untuk memastikan sejumlah klaim lebih terperinci, seperti jumlah pasti peringatan harian, masa berlaku kredensial, persentase terkait ransomware, atau waktu persis yang diperlukan untuk membuat eksploit dari patch yang dipublikasikan.
Lindungi sekarang, perbaiki secara permanen
Pesan utamanya bukan memilih antara patch dan bentuk pertahanan lain. Keduanya perlu berjalan beriringan: kurangi peluang dan dampak eksploitasi sekarang, lalu terapkan serta verifikasi perbaikan permanen ketika siap. 1
2
Pendekatan ini sangat relevan bagi sistem yang tidak bisa segera diperbarui. Namun, perlindungan sementara tidak boleh dianggap sebagai solusi tuntas. Contoh PHP menunjukkan bahwa risiko tetap besar ketika instalasi berada di luar cakupan perlindungan atau menggunakan versi yang tak akan mendapat perbaikan. 37
Jadi, peluang yang dibayangkan Ezra dan Zhang bukan sekadar pemindaian kerentanan yang lebih cepat. Yang dibutuhkan adalah rangkaian pertahanan yang dapat membatasi serangan, mengenali risiko, mengendalikan akses, dan mendukung pemulihan—termasuk ketika proses patching tak mampu mengejar laju eksploitasi.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "Saat eksploitasi bergerak cepat, patch saja tak cukup"?
Dalam data Verizon yang dikutip a16z, remediasi penuh membutuhkan median 43 hari dan hanya 26% kerentanan yang diketahui telah dieksploitasi berhasil diperbaiki sepenuhnya.
Apa poin penting yang harus divalidasi terlebih dahulu?
Dalam data Verizon yang dikutip a16z, remediasi penuh membutuhkan median 43 hari dan hanya 26% kerentanan yang diketahui telah dieksploitasi berhasil diperbaiki sepenuhnya. Asaf Ezra dan Stephenie Zhang berpendapat bahwa organisasi perlu melindungi sistem sembari menyiapkan, menguji, dan menerapkan perbaikan permanen.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Tema yang disorot mencakup segmentasi, deteksi cepat, pemeriksaan identitas tiap permintaan, cadangan yang teruji, dan kontrol rantai pasok—tetapi sumber yang tersedia tidak merinci seluruh enam peluang produk.