Agen kecerdasan buatan atau AI agent yang mampu bekerja mandiri memunculkan tantangan baru bagi keamanan siber perusahaan. Sistem ini tidak hanya menjawab pertanyaan, tetapi juga dapat menjalankan tindakan atas nama pengguna.
Director of Security Technology and Strategy Asia Pacific and Japan Akamai, Reuben Koh, mengatakan perusahaan perlu memperbarui pendekatan keamanan seiring kemampuan agen AI berkembang. Agen AI dapat melakukan penalaran, berinteraksi dengan API, dan menjalankan alur kerja tanpa pengawasan manusia secara langsung.
Pengelolaan identitas dan akses yang sebelumnya berfokus pada pengguna manusia dinilai tidak lagi cukup. Perusahaan juga perlu mengawasi identitas nonmanusia, termasuk sistem AI yang memperoleh akses ke aplikasi dan data internal.
“Transisi ini menyebabkan perubahan mendasar dalam keamanan perusahaan. Aplikasi tradisional umumnya beroperasi dalam batasan yang telah ditentukan, dengan pengguna manusia yang mengambil keputusan dan memberikan otorisasi atas tindakan,” kata Reuben dalam keterangan resmi yang diterima KompasTekno.
Akses Agen AI Perlu Dibatasi
Risiko dapat meningkat ketika agen AI mendapat izin yang terlalu luas atau perilakunya dimanipulasi pihak luar. Karena itu, setiap agen perlu memiliki batas tegas mengenai data yang boleh diakses dan tindakan yang dapat dijalankan.
Reuben menekankan pentingnya kondisi yang mewajibkan agen meminta persetujuan manusia sebelum bertindak. Pengaturan tersebut perlu disesuaikan dengan dampak dari tiap penggunaan AI agent di lingkungan perusahaan.
Data Sensitif Berisiko Masuk ke Layanan Publik
Penggunaan layanan AI oleh karyawan juga dapat membuka celah kebocoran informasi perusahaan. Riset Akamai menunjukkan lebih dari 6 persen percakapan dengan chatbot memuat informasi sensitif perusahaan.
Sebanyak 47 persen interaksi AI dilakukan melalui akun pribadi karyawan yang berada di luar pengawasan tim keamanan teknologi informasi. Situasi ini membuat perusahaan lebih sulit memantau data yang dibagikan ke platform AI pihak ketiga.
Informasi seperti Nomor Induk Kependudukan dan data finansial perlu mendapat perlindungan khusus. Pemasukan data tersebut ke layanan AI publik dapat menimbulkan risiko pelanggaran Undang-Undang Perlindungan Data Pribadi, terutama jika terjadi pemindahan data lintas batas tanpa otorisasi dan pencatatan yang sah.
Ekstensi peramban berbasis AI menjadi titik risiko lain yang perlu diawasi. Akamai menemukan lebih dari 40 persen pengguna di lingkungan perusahaan telah memasang ekstensi AI.
Dari kelompok tersebut, 25 persen mengubah izin akses dalam kurun 12 bulan. Ekstensi AI juga memiliki potensi kerentanan atau Common Vulnerabilities and Exposures 60 persen lebih tinggi dibandingkan ekstensi standar.
Integrasi AI dengan sistem internal melalui Model Context Protocol turut memerlukan pengamanan. Server MCP yang tidak memiliki isolasi berdasarkan prinsip Zero Trust dapat membuat gangguan pada sistem AI berdampak ke berbagai sistem perusahaan yang terhubung.
Tiga Tingkat Otonomi
Akamai menyarankan perusahaan menentukan tingkat otonomi agen AI berdasarkan dampak dari tindakannya. Reuben membaginya ke dalam tiga kategori penggunaan.
- Full autonomy. AI dapat beroperasi dengan sedikit atau tanpa campur tangan manusia untuk pekerjaan berisiko rendah, seperti merangkum dokumen internal.
- Semi-autonomous. AI dapat bekerja mandiri, tetapi manusia tetap memantau dan dapat mengoreksi kesalahan melalui pendekatan human-on-the-loop.
- Strict approval. AI wajib memperoleh persetujuan manusia sebelum menjalankan tindakan berdampak besar, seperti transaksi keuangan atau perubahan konfigurasi jaringan.
“Perusahaan perlu mengklasifikasikan setiap kasus penggunaan berdasarkan potensi dampaknya, menentukan tindakan yang diizinkan dan batasan akses, serta menetapkan prosedur eskalasi yang jelas,” kata Reuben. Pengawasan berkelanjutan, prinsip least privilege, dan deteksi penyimpangan perilaku secara real-time menjadi langkah yang perlu diterapkan pada aktivitas AI.
