Kecerdasan buatan atau AI semakin cepat masuk ke lingkungan perusahaan. Teknologi ini digunakan untuk membantu analisis data, otomatisasi pekerjaan, layanan pelanggan, pengembangan perangkat lunak, hingga pengambilan keputusan.

Namun, semakin banyak komponen AI yang digunakan, semakin kompleks pula rantai teknologi yang harus diamankan.

Kondisi tersebut menjadi perhatian Akamai, perusahaan teknologi yang bergerak di bidang keamanan siber dan layanan cloud. Dalam perkembangan ekosistem AI perusahaan, keamanan tidak hanya ditentukan oleh satu aplikasi.

Ada banyak komponen yang saling terhubung. Jika salah satu bagian memiliki kelemahan, celah tersebut berpotensi memengaruhi komponen lain.

Fenomena inilah yang dapat disebut sebagai rantai celah AI.

AI Perusahaan Semakin Kompleks

Implementasi AI di perusahaan tidak selalu menggunakan satu sistem.

Sebuah organisasi dapat memanfaatkan model AI dari satu penyedia, infrastruktur cloud dari perusahaan lain, aplikasi internal, basis data, API, serta berbagai perangkat lunak tambahan.

Semua komponen tersebut saling terhubung untuk menghasilkan layanan.

Misalnya, aplikasi perusahaan mengirim permintaan ke model AI melalui API. Sistem kemudian mengambil data dari basis data internal sebelum menghasilkan respons kepada pengguna.

Proses yang terlihat sederhana tersebut sebenarnya memiliki banyak titik yang harus diamankan.

Jika salah satu komponen memiliki kelemahan, keamanan keseluruhan sistem dapat ikut terdampak.

Satu Celah Bisa Menjalar

Risiko terbesar muncul ketika perusahaan menganggap setiap komponen sebagai sistem yang berdiri sendiri.

Dalam kenyataannya, komponen AI dapat memiliki hubungan yang sangat erat.

Satu kredensial yang bocor, misalnya, dapat memberikan akses ke sistem lain.

Jika akses tersebut terlalu luas, penyerang mungkin dapat berpindah dari satu komponen ke komponen berikutnya.

Karena itu, keamanan AI tidak cukup hanya dilakukan pada model.

Perusahaan harus melihat seluruh rantai teknologi yang digunakan.

Model AI Bukan Satu-satunya Risiko

Ketika membicarakan keamanan AI, perhatian sering tertuju pada model.

Perusahaan mungkin khawatir terhadap prompt injection, manipulasi output, atau penyalahgunaan model.

Ancaman tersebut memang penting.

Namun, risiko juga dapat muncul dari infrastruktur yang berada di sekitar model.

API, plugin, aplikasi, basis data, layanan cloud, sistem identitas, dan perangkat pengguna dapat menjadi bagian dari permukaan serangan.

Semakin banyak integrasi yang digunakan, semakin banyak pula titik yang perlu diawasi.

API Menjadi Jalur Penting

API memiliki peran besar dalam ekosistem AI modern.

Melalui API, aplikasi dapat berkomunikasi dengan model AI dan layanan lain.

Namun, API yang tidak diamankan dengan baik dapat menjadi pintu masuk bagi penyerang.

Masalah dapat muncul akibat autentikasi lemah, kredensial yang bocor, pembatasan akses yang tidak tepat, atau konfigurasi yang keliru.

Perusahaan perlu memastikan setiap API memiliki kontrol akses yang sesuai.

Tidak semua aplikasi membutuhkan akses terhadap seluruh sistem.

Prinsip least privilege menjadi penting agar setiap komponen hanya memperoleh izin yang benar-benar dibutuhkan.

Data Menjadi Target Berharga

AI membutuhkan data.

Dalam lingkungan perusahaan, data tersebut dapat berupa informasi pelanggan, dokumen internal, kode program, laporan bisnis, hingga komunikasi pegawai.

Jika sistem AI memiliki akses terlalu luas, data sensitif dapat menjadi target.

Penyerang tidak selalu harus menyerang model AI secara langsung.

Mereka dapat mencari jalur lain yang memiliki akses terhadap data.

Karena itu, perlindungan data harus menjadi bagian dari strategi keamanan AI.

Perusahaan perlu mengetahui data apa yang digunakan, di mana data disimpan, siapa yang dapat mengaksesnya, dan bagaimana data tersebut diproses.

Ancaman Prompt Injection

Salah satu risiko yang sering dibahas dalam keamanan AI adalah prompt injection.

Serangan ini pada dasarnya berusaha memanipulasi instruksi yang diterima sistem AI.

Jika AI memiliki akses terhadap berbagai alat atau data, serangan semacam itu dapat menjadi lebih serius.

Misalnya, AI agent diberi kemampuan membaca email, mengakses dokumen, atau menjalankan tindakan tertentu.

Prompt berbahaya dapat mencoba mengarahkan sistem melakukan tindakan yang tidak seharusnya.

Karena itu, kemampuan AI agent harus dibatasi dengan kontrol tambahan.

AI Agent Membuka Permukaan Baru

Perkembangan AI agent membuat masalah keamanan semakin kompleks.

AI agent dirancang untuk melakukan tindakan, bukan sekadar memberikan jawaban.

Sistem semacam ini dapat mengakses aplikasi, memproses data, dan menjalankan tugas berdasarkan instruksi.

Kemampuan tersebut meningkatkan produktivitas, tetapi sekaligus memperbesar dampak jika terjadi penyalahgunaan.

Semakin banyak kewenangan yang diberikan kepada AI, semakin penting sistem pembatasan akses.

Perusahaan perlu memastikan bahwa AI tidak dapat melakukan tindakan berisiko tinggi tanpa kontrol yang memadai.

Masalah Konfigurasi Bisa Berbahaya

Tidak semua insiden keamanan disebabkan oleh serangan canggih.

Kesalahan konfigurasi tetap menjadi masalah besar.

Sebuah penyimpanan data yang terbuka, kredensial yang tertanam dalam kode, atau izin akses yang terlalu luas dapat menciptakan celah.

Dalam ekosistem AI, konfigurasi yang salah dapat menjadi lebih berbahaya karena sistem biasanya terhubung dengan berbagai layanan.

Audit konfigurasi secara berkala menjadi langkah penting.

Perusahaan juga perlu memiliki inventaris komponen agar mengetahui sistem apa saja yang terhubung.

Rantai Pasokan Perangkat Lunak

Perusahaan juga perlu memperhatikan rantai pasokan perangkat lunak.

Pengembangan aplikasi AI dapat melibatkan berbagai pustaka, model, paket kode, dan layanan pihak ketiga.

Komponen tersebut membantu mempercepat pengembangan.

Namun, ketergantungan pada pihak ketiga juga membawa risiko.

Jika salah satu komponen memiliki kerentanan, aplikasi yang menggunakannya dapat ikut terkena dampak.

Karena itu, perusahaan perlu mengetahui asal komponen perangkat lunak dan memastikan pembaruan keamanan diterapkan.

Pentingnya Segmentasi

Segmentasi jaringan dan sistem dapat membantu membatasi dampak ketika terjadi serangan.

Jika semua sistem berada dalam lingkungan yang sama tanpa pembatasan, penyerang yang berhasil mendapatkan satu akses mungkin dapat bergerak lebih jauh.

Dengan segmentasi, akses dapat dibatasi berdasarkan fungsi.

Sistem AI untuk layanan pelanggan, misalnya, tidak harus memiliki akses langsung ke seluruh database perusahaan.

Pembatasan semacam itu dapat mengurangi potensi kerusakan.

Pemantauan Harus Berjalan Terus

Keamanan AI tidak dapat dilakukan sekali kemudian dianggap selesai.

Sistem harus dipantau secara berkelanjutan.

Perusahaan perlu mengetahui aktivitas tidak biasa, penggunaan kredensial, perubahan konfigurasi, serta pola akses terhadap data.

Log aktivitas dapat membantu tim keamanan memahami apa yang terjadi ketika muncul insiden.

Semakin cepat anomali ditemukan, semakin besar peluang perusahaan membatasi dampaknya.

Perusahaan Perlu Inventaris AI

Salah satu langkah awal yang dapat dilakukan adalah membuat inventaris penggunaan AI.

Perusahaan perlu mengetahui model apa yang digunakan, aplikasi mana yang terhubung, data apa yang diproses, dan siapa yang memiliki akses.

Tanpa inventaris yang jelas, organisasi akan kesulitan mengamankan sistem.

AI yang digunakan secara tidak resmi oleh karyawan juga perlu menjadi perhatian.

Penggunaan layanan AI tanpa persetujuan perusahaan dapat menciptakan apa yang sering disebut sebagai shadow AI.

Kondisi tersebut dapat membuat data perusahaan keluar melalui layanan yang tidak berada di bawah pengawasan tim keamanan.

Keamanan Harus Masuk Sejak Awal

Keamanan sebaiknya tidak ditambahkan setelah sistem AI selesai dibuat.

Pendekatan security by design memungkinkan perusahaan mempertimbangkan keamanan sejak tahap perencanaan.

Pengembang dapat menentukan hak akses, mekanisme autentikasi, perlindungan data, dan pencatatan aktivitas sebelum sistem digunakan.

Langkah tersebut dapat mengurangi biaya perbaikan di kemudian hari.

Selain itu, pengujian keamanan juga perlu dilakukan secara berkala.

Karyawan Punya Peran Penting

Teknologi keamanan secanggih apa pun tetap membutuhkan pengguna yang memahami risikonya.

Karyawan perlu mendapatkan edukasi mengenai penggunaan AI.

Mereka harus mengetahui data apa yang boleh dimasukkan ke dalam sistem AI dan data apa yang tidak boleh dibagikan.

Pelatihan juga dapat membantu karyawan mengenali pesan mencurigakan atau upaya manipulasi.

Kesadaran manusia tetap menjadi lapisan penting dalam keamanan siber.

AI Membawa Peluang dan Risiko

Tidak dapat dipungkiri bahwa AI memberikan manfaat besar bagi perusahaan.

Otomatisasi dapat meningkatkan produktivitas dan membantu karyawan menyelesaikan pekerjaan lebih cepat.

Namun, manfaat tersebut harus diimbangi dengan strategi keamanan yang matang.

Perusahaan tidak seharusnya menghentikan inovasi hanya karena adanya risiko.

Sebaliknya, organisasi perlu membangun cara menggunakan AI secara aman.

Kesimpulan

Peringatan mengenai rantai celah AI di perusahaan menunjukkan bahwa keamanan kecerdasan buatan tidak bisa dilihat hanya dari satu sisi.

Model AI memang perlu diamankan, tetapi komponen lain di sekitarnya juga memiliki peran penting.

API, data, cloud, perangkat lunak pihak ketiga, sistem identitas, aplikasi internal, dan AI agent dapat menjadi bagian dari rantai yang saling terhubung.

Satu kelemahan pada satu komponen berpotensi memberikan jalan bagi penyerang untuk mencapai sistem lain jika kontrol akses tidak diterapkan dengan baik.

Karena itu, perusahaan perlu membangun inventaris AI, menerapkan prinsip akses minimum, melakukan segmentasi, memperkuat keamanan API, memantau aktivitas, serta memberikan edukasi kepada karyawan.

Perkembangan AI akan terus berlangsung. Tantangan bagi perusahaan bukan hanya bagaimana memanfaatkan teknologi tersebut, tetapi juga bagaimana memastikan inovasi tidak membuka pintu baru bagi serangan siber.

Dengan pendekatan keamanan yang menyeluruh, AI dapat tetap dimanfaatkan sebagai alat produktivitas tanpa mengabaikan risiko yang muncul dari rantai teknologi di belakangnya.