Perkembangan artificial intelligence (AI) mulai mengubah cara tim keamanan melakukan pengujian aplikasi. Aktivitas seperti reconnaissance, analisis HTTP request dan response, pembuatan variasi payload, hingga penyusunan laporan kini dapat dibantu AI.
Namun, kondisi ini tidak membuat kemampuan teknis pentester menjadi kurang penting. Sebaliknya, skill penetration tester di era AI berkembang dari sekadar mampu menjalankan tools menjadi mampu mengarahkan AI, menganalisis hasil, memvalidasi temuan, dan memahami risiko dalam konteks bisnis.
Bagi HR/L&D, CISO, IT Manager, maupun security engineer, perubahan ini penting diperhatikan saat menyusun kompetensi dan program pengembangan tim cybersecurity.
Mengapa Skill Penetration Tester Berubah di Era AI?
AI semakin terintegrasi dengan security testing. Pada Juli 2026, misalnya, PortSwigger memperkenalkan Burp AT, kapabilitas agentic AI pada Burp Suite Professional yang dapat mengejar testing goal menggunakan tools Burp dan menyesuaikan langkah berdasarkan informasi yang ditemukan.
Artinya, sebagian pekerjaan repetitif dapat semakin terbantu oleh automation dan AI. Namun, kemampuan seperti contextual reasoning, business logic testing, validasi vulnerability, dan penilaian impact tetap membutuhkan kompetensi manusia.
Karena itu, organisasi perlu melihat kemampuan penetration tester sebagai kombinasi antara fundamental security, kemampuan analisis, penggunaan tools, automation, dan AI literacy.
Skill Teknis yang Harus Dimiliki Penetration Tester
1. Memahami Fundamental Web Application
Pentester perlu memahami cara aplikasi web bekerja, termasuk HTTP/HTTPS, request-response, cookie, session, authentication, authorization, API, JavaScript, hingga database.
Pemahaman fundamental tersebut membantu pentester membedakan perilaku normal aplikasi dengan indikasi kerentanan.
2. Menguasai Metodologi Web Penetration Testing
Pengujian keamanan tidak cukup dilakukan dengan menjalankan vulnerability scanner.
Pentester harus mampu melakukan pengujian secara sistematis, mulai dari information gathering, authentication testing, authorization testing, session management, input validation, business logic, client-side, hingga API testing.
Area tersebut juga tercakup dalam OWASP Web Security Testing Guide (WSTG) sebagai panduan pengujian keamanan aplikasi web.
3. Memahami Vulnerability dan Teknik Eksploitasi
Seorang web penetration tester perlu memahami berbagai vulnerability seperti Broken Access Control, SQL Injection, Cross-Site Scripting (XSS), SSRF, authentication bypass, insecure file upload, hingga security misconfiguration.
Kemampuan yang dibutuhkan tidak berhenti pada menemukan vulnerability. Pentester perlu memahami alur:
root cause → exploitability → impact → remediation.
4. Menguasai Tools Pentesting
Tools seperti Burp Suite, browser developer tools, intercepting proxy, API testing tools, dan command-line utilities membantu mempercepat pengujian.
Namun, tools tetap merupakan pendukung. Pentester harus mengetahui mengapa suatu pengujian dilakukan dan bagaimana menginterpretasikan hasilnya.
5. Memiliki Kemampuan Scripting dan Automation
Kemampuan Python, Bash, JavaScript, atau scripting sederhana semakin bermanfaat untuk mengotomasi pekerjaan repetitif, mengolah data, dan membuat test case khusus.
Di era generative AI, pentester juga perlu mampu membaca dan mengevaluasi kode yang dihasilkan AI, bukan sekadar menjalankannya tanpa verifikasi.
Skill Penetration Tester yang Semakin Penting di Era AI
Selain kemampuan teknis tradisional, beberapa kompetensi baru semakin relevan:
AI literacy: memahami kemampuan, keterbatasan, hallucination, serta risiko penggunaan AI.
Prompt engineering: mampu memberikan konteks dan testing objective yang jelas kepada AI.
AI-assisted testing: mampu menggunakan AI untuk membantu reconnaissance, analisis, hypothesis generation, dan automation.
Output validation: mampu membedakan vulnerability nyata, false positive, serta asumsi AI yang tidak didukung evidence.
Human reasoning: mampu menemukan abuse case dan business logic vulnerability yang membutuhkan pemahaman konteks.
PortSwigger sendiri membedakan Burp AT sebagai agentic AI untuk human-led pentesting dan Burp AI sebagai bantuan di dalam workflow manual. Hal ini menunjukkan bahwa arah tools keamanan saat ini bukan sekadar menggantikan tester, tetapi mengombinasikan automation dengan kontrol manusia.
Baca juga: Apa Itu AI-Assisted Penetration Testing dan Bagaimana Cara Kerjanya?
Mengapa Kemampuan Validasi AI Sangat Penting?
Output AI tidak boleh langsung dianggap sebagai temuan keamanan yang valid.
Pentester tetap harus memastikan apakah vulnerability dapat direproduksi, mengevaluasi request-response yang menjadi evidence, memastikan tingkat eksploitabilitas, serta menilai dampaknya terhadap organisasi.
Workflow yang lebih tepat adalah:
AI menemukan indikasi → pentester memverifikasi → mengevaluasi impact → mendokumentasikan evidence → memberikan rekomendasi.
Kemampuan ini sangat penting bagi organisasi yang mulai menerapkan web pentest dengan AI.
Bagaimana Perusahaan Menilai Skill Penetration Tester?
Bagi HR/L&D, CISO, atau IT Manager, evaluasi pentester sebaiknya tidak hanya melihat sertifikasi atau jumlah tools yang dikuasai.
Organisasi perlu mengevaluasi kemampuan kandidat atau tim dalam memahami web security, melakukan manual testing, menggunakan metodologi, menguji API dan business logic, melakukan scripting, memanfaatkan AI, memvalidasi hasil, serta mengomunikasikan risiko kepada developer dan manajemen.
Dengan pendekatan tersebut, organisasi dapat mengetahui skill gap yang perlu dikembangkan melalui program pelatihan.
Kapan Tim Security Membutuhkan Training Pentesting dengan AI?
Training menjadi relevan ketika tim security sudah memahami dasar penetration testing tetapi masih sangat bergantung pada proses manual, belum mengetahui cara memanfaatkan AI secara efektif, atau belum memiliki standar validasi terhadap output AI.
Program Training AI untuk penetration testing dapat membantu tim mempelajari AI-assisted reconnaissance, vulnerability analysis, prompt engineering, integrasi AI dengan tools pentesting, hingga proses validasi melalui studi kasus dan praktik langsung.
Bagi pemerintahan, BUMN/BUMD, perbankan, maupun perusahaan yang memiliki aplikasi kritikal, peningkatan kemampuan ini dapat membantu membangun kapabilitas security testing internal yang lebih adaptif.
Kesimpulan
Skill penetration tester di era AI merupakan kombinasi antara kemampuan web security, methodology, exploitation, tools, scripting, analytical reasoning, serta kemampuan menggunakan dan memvalidasi AI.
AI dapat mempercepat sebagian aktivitas pentesting, tetapi fundamental security dan kemampuan mengambil keputusan tetap menjadi faktor utama untuk menghasilkan temuan yang dapat dipertanggungjawabkan.
Ingin meningkatkan kemampuan tim IT Security dalam memanfaatkan AI untuk penetration testing? Konsultasikan kebutuhan Training AI untuk tim Anda agar materi, studi kasus, dan praktik dapat disesuaikan dengan tingkat kompetensi serta kebutuhan organisasi.
