Kalau AI yang Menulis Kode, Siapa yang Menjamin Mutunya?
AI kini bisa menulis, bahkan menjalankan kode sendiri secara otonom, tapi siapa yang menjamin hasilnya aman dan benar?
Coba bayangkan skenario ini. Seorang mahasiswa sedang mengejar deadline tugas akhir, lalu meminta asisten AI di terminal-nya untuk perbaiki bug login dan tambahkan fitur reset password. Beberapa menit kemudian, AI tersebut sudah membaca puluhan berkas, menulis ulang beberapa fungsi, memasang satu paket baru, dan menjalankan semuanya tanpa pernah bertanya lagi ke penggunanya. Kelihatannya luar biasa, tapi ada satu pertanyaan yang jarang terpikir, siapa yang benar benar memeriksa apakah kode itu aman. Pertanyaan sederhana ini sebenarnya inti dari mata kuliah Jaminan Kualitas Perangkat Lunak atau Software Quality Assurance, yang mengajarkan cara memastikan kode tetap bermutu dan aman meskipun cara pembuatannya sudah berubah total.
Cerita di atas bukan fiksi. Sejak GitHub Copilot muncul pada 2021, cara kita menulis kode berubah drastis. Awalnya AI hanya menyarankan potongan kode yang harus disetujui manusia satu per satu. Sekarang, muncul agen coding otonom seperti SWE-agent, OpenHands, hingga Claude Code yang bisa merencanakan, menulis, menguji, sampai memperbaiki kode lintas berkas dalam satu sesi tanpa pengawasan langkah demi langkah. Ditambah lagi, makin banyak developer dan mahasiswa yang memilih menjalankan model AI secara lokal lewat alat seperti Ollama atau Aider, supaya kode proyek mereka tidak perlu dikirim ke server pihak ketiga.
Masalahnya, kecepatan ini punya harga yang sering tidak disadari. Riset dari tim keamanan New York University yang diuji lewat IEEE Symposium on Security and Privacy menemukan bahwa saran kode Copilot cukup sering mengandung pola kerentanan keamanan yang sama seperti kode manusia berkualitas rendah. Lebih mengejutkan lagi, riset tahun 2024 dari University of Texas at San Antonio yang menguji enam belas model AI populer menemukan bahwa hampir satu dari lima paket perangkat lunak yang disarankan AI dalam kode ternyata tidak pernah ada alias halusinasi. Fenomena ini melahirkan celah serangan baru bernama slopsquatting, di mana orang jahat sengaja mendaftarkan paket berbahaya dengan nama persis seperti yang sering dikarang AI, sehingga siapa pun yang menyalin saran itu tanpa mengecek dulu justru memasang malware ke proyeknya sendiri.
Risiko makin besar ketika AI tidak hanya menyarankan tapi juga langsung mengeksekusi perintah. Komunitas keamanan aplikasi lewat OWASP bahkan memasukkan otonomi berlebihan sebagai satu dari sepuluh risiko paling kritis pada aplikasi berbasis AI di tahun 2025. Bayangkan agen yang salah paham konteks lalu menjalankan perintah hapus berkas atau mengubah pengaturan keamanan tanpa ada yang mengoreksi di tengah jalan. Sementara itu, model yang dijalankan secara lokal juga bukan tanpa jebakan. Berbeda dari layanan berbayar yang rutin diperbarui vendornya, model lokal yang sudah diunduh bisa saja terus dipakai bertahun tahun tanpa disadari sudah punya celah keamanan yang seharusnya sudah ditambal di versi terbaru.
Lalu apa yang bisa dilakukan mahasiswa teknik informatika atau developer pemula menghadapi ini. Tiga prinsip dasar jaminan kualitas perangkat lunak berikut bisa jadi penyelamat. Pertama, verifikasi dulu setiap kode dan paket yang disarankan AI sebelum dipakai, jangan langsung percaya begitu saja. Kedua, kalau memakai agen otonom, terapkan prinsip akses seminimal mungkin atau least privilege, jangan biarkan ia punya akses penuh ke kredensial produksi, dan selalu cek riwayat perintah yang sudah dijalankan setelah sesi selesai. Ketiga, geser fokus tinjauan dari sekadar membaca baris kode satu per satu menjadi tinjauan berbasis risiko, dengan perhatian khusus pada bagian sensitif seperti login, otorisasi, dan penanganan data pengguna.
Kecerdasan buatan memang mempercepat pekerjaan menulis kode secara luar biasa. Tapi kecepatan tanpa kehati hatian hanya memindahkan bug dari layar editor ke tangan pengguna. Sebelum menyerahkan sepenuhnya kepercayaan pada AI, ada baiknya kita tetap menjadi manusia terakhir yang memeriksa sebelum kode benar benar dipakai orang banyak.
