Agen AI Otonom Permudah Kejahatan Siber dan Perusahaan Diminta Waspada

Ancaman agen AI otonom yang perlu dipahami perusahaan

Agen AI otonom permudah kejahatan siber ketika pelaku memanfaatkannya untuk menjalankan beberapa tahapan serangan dengan keterlibatan manusia yang lebih terbatas. Pada 9 November 2026, Koran Jakarta melaporkan peringatan PT ITSEC Asia Tbk bahwa penggunaan agen semacam ini membuat serangan berpotensi berlangsung lebih cepat, berbiaya lebih rendah, berskala lebih luas, dan lebih sulit dideteksi.

Menurut whitepaper ITSEC Asia AI-Powered Cyberattacks in the Global Threat Landscape yang dikutip Koran Jakarta dan Infobanknews, AI digunakan untuk pemetaan target, pemindaian serta eksploitasi kerentanan, pengumpulan kredensial, hingga pengambilan atau penghancuran data sensitif. Ini tidak berarti setiap agen AI otomatis menjadi alat serangan. Risiko muncul saat kemampuan AI bertemu akses sistem, data bernilai, serta kontrol lemah.

Agen AI berbeda dari otomasi sederhana. Otomasi menjalankan alur yang telah ditentukan, misalnya meneruskan data formulir ke sistem penjualan. Agen AI dapat menjalankan rangkaian tugas dengan konteks dan pilihan langkah lebih luas. Dalam penggunaan sah, kemampuan tersebut membantu pekerjaan operasional. Di tangan pelaku, kemampuan serupa dapat mempercepat rangkaian intrusi.

Mengapa ancaman ini mengubah prioritas keamanan

Perubahan utamanya bukan sekadar bertambahnya perangkat lunak yang dipakai penyerang. ITSEC Asia, menurut Koran Jakarta, menilai AI menurunkan hambatan biaya dan sumber daya untuk menjalankan serangan yang sebelumnya memerlukan keahlian teknis, waktu, serta kapasitas lebih besar. Bagi perusahaan, waktu untuk mendeteksi dan merespons ancaman dapat makin sempit.

Infobanknews melaporkan bahwa ITSEC Asia merekomendasikan penguatan deteksi ancaman, penerapan Zero Trust, otomasi respons insiden, serta perlindungan infrastruktur AI. Zero Trust berarti perusahaan tidak menganggap akses otomatis aman hanya karena berasal dari lingkungan internal atau identitas yang telah dikenal. Setiap permintaan akses perlu dievaluasi berdasarkan kebutuhan dan konteksnya.

Fokus perlu diarahkan ke aset yang saling terhubung. Koran Jakarta menyebut keamanan cloud, identitas digital, serta sistem AI sebagai area yang perlu diperkuat. Satu akun, koneksi aplikasi, atau integrasi tanpa pengendalian dapat menjadi jalur menuju data dan layanan lain. Karena itu, keputusan memakai agen AI perlu dibahas oleh fungsi bisnis, tim teknologi, serta penanggung jawab keamanan.

Titik risiko pada identitas, cloud, dan sistem AI

Identitas digital menentukan data dan tindakan yang dapat diakses dalam sistem perusahaan. Infobanknews melaporkan ITSEC Asia meminta perusahaan mengevaluasi perlindungan infrastruktur, identitas digital, serta data. Akses agen atau integrasi yang terlalu luas dapat memperluas dampak ketika kredensial disalahgunakan atau perilaku sistem menyimpang dari tujuan awal.

Cloud perlu dipahami sebagai bagian dari alur kerja, bukan sekadar lokasi penyimpanan. Dokumen, data pelanggan, aplikasi internal, serta layanan AI dapat berada dalam lingkungan yang terhubung. Perusahaan perlu mengetahui proses yang menyentuh data sensitif, pihak yang menggunakan sistem, serta aktivitas yang tetap memerlukan peninjauan manusia.

Sebagai ilustrasi (kasus rekaan), tim layanan pelanggan memakai agen AI untuk membaca tiket dan menyiapkan jawaban. Penerapan awal dapat dibatasi pada pengelompokan tiket serta penyusunan draf. Staf memeriksa draf sebelum pesan dikirim atau data pesanan ditampilkan. Pendekatan ini membantu tim menilai manfaat workflow tanpa memberi agen keleluasaan tindakan yang belum diperlukan.

Kesalahan penerapan yang memperbesar risiko

Kesalahan pertama ialah memperlakukan agen AI sebagai fitur tambahan tanpa memetakan proses yang disentuhnya. Laporan ITSEC Asia yang dikutip dua media menunjukkan serangan berbasis AI dapat menyasar beberapa tahapan, dari pemetaan target hingga pengambilan data. Agen perlu diperlakukan sebagai bagian dari sistem yang memiliki akses, ketergantungan, serta dampak operasional.

Kesalahan berikutnya ialah memberi kemampuan bertindak sebelum tersedia mekanisme pengawasan jelas. Rekomendasi ITSEC Asia, menurut Infobanknews, mencakup penguatan deteksi ancaman dan otomasi respons insiden. Penggunaan agen perlu disertai kesiapan menemukan aktivitas mencurigakan serta menangani insiden, bukan hanya kesiapan menghubungkan agen ke aplikasi bisnis.

Andaikan tim penjualan ingin menghubungkan agen AI ke inbox prospek. Membiarkan agen langsung mengirim komunikasi eksternal menambah risiko yang tidak perlu pada tahap awal. Ruang lingkup lebih terkendali ialah membaca pesan, mengelompokkan kebutuhan, lalu membuat draf tindak lanjut untuk diperiksa sales. Keputusan pengiriman tetap berada pada manusia sampai proses, kualitas jawaban, serta batas akses dipahami.

Urutan tindakan yang dapat diprioritaskan perusahaan

Langkah pertama ialah mendata penggunaan AI yang sudah ada. Catat proses bisnis yang dibantu, data yang digunakan, sistem yang terhubung, serta tindakan yang dapat dipicu agen. Pendataan membantu perusahaan membedakan penggunaan AI untuk tugas internal berisiko lebih rendah dari penggunaan yang menyentuh data penting atau komunikasi eksternal.

Langkah kedua ialah meninjau akses dengan prinsip Zero Trust yang direkomendasikan ITSEC Asia menurut Infobanknews. Tiga pertanyaan perlu diajukan pada tiap implementasi:

• Data apa yang benar-benar dibutuhkan?
• Sistem apa yang perlu diakses?
• Tindakan apa yang memang perlu diizinkan?

Jika suatu akses tidak mendukung tujuan proses, akses tersebut tidak perlu dimasukkan dalam penerapan awal.

Langkah ketiga ialah memperkuat deteksi ancaman dan kesiapan respons insiden, dua hal yang direkomendasikan ITSEC Asia dalam laporan Infobanknews. Perusahaan perlu menetapkan pihak penerima eskalasi saat aktivitas tidak wajar ditemukan. Tentukan pula tindakan penghentian atau pembatasan akses yang dapat dilakukan. Tujuannya bukan menjamin insiden tidak terjadi, tetapi mengurangi kebingungan saat masalah muncul.

Misalnya, perusahaan dapat memilih satu workflow berisiko terbatas, seperti pengelompokan tiket layanan pelanggan. Setelah alur dipetakan, perusahaan menilai data yang dipakai, menguji hasil dalam ruang lingkup terbatas, lalu menetapkan pemeriksaan manusia sebelum respons keluar. Perluasan fungsi dipertimbangkan setelah pengendalian tersebut berjalan.

Mulai dari satu workflow yang dapat diawasi

Perusahaan diminta waspada dengan memulai dari satu workflow yang dapat diawasi, memiliki akses terbatas, serta tindakan yang jelas. Keamanan agen AI perlu dinilai bersama keamanan identitas, cloud, data, dan respons insiden ketika agen terhubung ke sistem kerja.

Pilih satu workflow yang berjalan minggu ini. Identifikasi data serta sistem yang disentuh, batasi tujuan agen pada tugas spesifik, lalu tentukan titik keputusan yang wajib diperiksa manusia. Tahap berikutnya: libatkan pihak keamanan untuk menilai deteksi ancaman, penerapan Zero Trust, perlindungan infrastruktur AI, serta prosedur respons insiden sebagaimana direkomendasikan ITSEC Asia.