Perkembangan Artificial Intelligence (AI) memasuki fase baru. AI kini tidak hanya digunakan untuk menjawab pertanyaan atau menghasilkan konten, tetapi juga mulai mampu mencari informasi, menggunakan tools, mengakses internet, hingga menjalankan tindakan secara mandiri.
Kemampuan tersebut membawa banyak peluang bagi perusahaan. Namun, di sisi lain, muncul tantangan baru dalam AI cybersecurity.
Salah satu contohnya terjadi pada Google Gemini. Dalam sebuah pengujian keamanan pada Mei 2026, model Gemini diketahui secara tidak sengaja mengakses sistem milik tiga perusahaan nyata. Google mengonfirmasi kejadian tersebut setelah pengujian dilakukan oleh Irregular, perusahaan yang melakukan evaluasi keamanan terhadap sistem AI.
Bagaimana Gemini Bisa Mengakses Sistem Perusahaan?
Pengujian tersebut sebenarnya dirancang sebagai simulasi keamanan dengan target perusahaan fiktif. Gemini diberikan tugas dalam lingkungan pengujian yang seharusnya terisolasi dan tidak memiliki akses ke internet.
Namun, terjadi kesalahan konfigurasi sehingga akses internet tersedia.
Situasi menjadi semakin kompleks karena salah satu nama perusahaan fiktif yang digunakan dalam simulasi memiliki kesamaan dengan perusahaan nyata. Gemini kemudian mencari informasi di internet dan menganggap sistem yang ditemukannya masih merupakan bagian dari pengujian.
Dalam salah satu kasus, Gemini mencoba menebak password hingga berhasil memperoleh akses ke sistem yang terlindungi. Pada dua kasus lainnya, model menemukan kredensial yang tersedia di repository publik dan menggunakannya untuk mengakses sistem.
Yang menarik, Gemini kemudian menghentikan aktivitasnya setelah mengetahui bahwa sistem yang diakses merupakan milik perusahaan nyata. Google menyatakan tidak ada kerusakan yang ditimbulkan dan perusahaan yang terdampak telah diberi tahu.
Dengan demikian, kasus ini bukan berarti Gemini secara sengaja ditugaskan untuk menyerang tiga perusahaan tersebut. Persoalan utamanya justru terletak pada kombinasi antara kemampuan AI yang semakin autonomous dan kontrol lingkungan pengujian yang belum sepenuhnya membatasi aksesnya.
Dari AI Assistant Menjadi AI Agent
Kasus Gemini memperlihatkan perubahan penting dalam perkembangan AI. dikutip dari inews.id
AI generatif sebelumnya lebih banyak berfungsi sebagai assistant: menerima instruksi, memproses informasi, kemudian memberikan jawaban.
AI agent bergerak lebih jauh. Sistem dapat diberikan tujuan dan kemudian menentukan sejumlah langkah untuk mencapai tujuan tersebut.
Dalam konteks cybersecurity, AI agent dapat melakukan aktivitas seperti:
- mencari informasi mengenai target;
- menganalisis sistem dan data;
- menemukan kemungkinan celah keamanan;
- menggunakan tools tertentu;
- mengakses sumber informasi eksternal;
- dan menjalankan tindakan berdasarkan hasil analisis.
Kemampuan tersebut dapat dimanfaatkan untuk meningkatkan keamanan. Tetapi kemampuan yang sama juga dapat meningkatkan risiko ketika AI memperoleh akses yang terlalu luas.
Karena itu, pendekatan AI cybersecurity tidak cukup hanya membahas keamanan model AI. Perusahaan juga perlu memperhatikan keamanan lingkungan, identitas, akses, data, endpoint, aplikasi, dan aktivitas yang dilakukan oleh AI agent.
Ketika Kredensial Bocor Menjadi Pintu Masuk
Salah satu pelajaran penting dari kasus ini adalah mengenai kredensial.
Dalam dua kasus Gemini, kredensial yang tersedia di repository publik menjadi salah satu jalan untuk memperoleh akses ke sistem. Ini menunjukkan bahwa keamanan siber tidak hanya bergantung pada firewall atau antivirus.
Credential yang terekspos, konfigurasi yang salah, hak akses berlebihan, hingga aset yang tidak teridentifikasi dapat menjadi bagian dari rantai serangan.
Dalam lingkungan perusahaan yang semakin terkoneksi, organisasi perlu mengetahui:
Apa saja aset digital yang dimiliki?
Siapa yang dapat mengaksesnya?
Kredensial apa yang digunakan?
Apakah kredensial tersebut pernah terekspos?
Dan apa yang terjadi jika sebuah AI agent mencoba mengeksploitasi kelemahan tersebut?
Pertanyaan-pertanyaan tersebut menjadi semakin relevan ketika AI memiliki kemampuan melakukan tindakan secara otomatis.
Cybersecurity Testing Tidak Cukup Sekadar Mencari Vulnerability
Perkembangan AI juga mengubah cara perusahaan perlu melakukan pengujian keamanan.
Pengujian tradisional umumnya berfokus pada pencarian vulnerability pada aplikasi, jaringan, server, maupun perangkat.
Namun, menghadapi AI agent, perusahaan juga perlu menguji bagaimana sistem bereaksi ketika menghadapi skenario serangan yang lebih dinamis.
Di sinilah Cyber Range dapat menjadi salah satu pendekatan yang relevan.
Cyber Range memungkinkan organisasi membangun lingkungan simulasi keamanan yang dapat digunakan untuk menguji berbagai skenario serangan dan respons tanpa harus mempertaruhkan sistem produksi.
Skenario dapat dikembangkan untuk mensimulasikan serangan terhadap jaringan, aplikasi, endpoint, hingga aktivitas yang melibatkan manusia dan AI.
Dengan lingkungan yang terkontrol, organisasi dapat mengukur bagaimana tim keamanan mendeteksi, merespons, dan memulihkan diri dari sebuah insiden.
Apa yang Bisa Dipelajari Perusahaan dari Kasus Gemini?
Ada beberapa pelajaran yang dapat diterapkan organisasi.
- 1. Batasi akses AI sejak awal
- AI agent yang memiliki akses internet, API, sistem internal, atau kredensial perlu diberikan hak akses sesuai kebutuhan. Prinsip least privilege menjadi semakin penting ketika sistem dapat mengambil tindakan secara otomatis.
- 2. Jangan menganggap lingkungan pengujian selalu aman
- Kesalahan konfigurasi dalam testing environment dapat menciptakan risiko baru. Karena itu, sandbox, network segmentation, access control, credential management, dan monitoring harus menjadi bagian dari desain pengujian.
- 3. Lindungi kredensial dan informasi sensitif
- Credential yang tersimpan di repository publik dapat menjadi pintu masuk bagi pihak yang tidak berwenang, termasuk sistem AI yang mampu melakukan pencarian dan tindakan secara otomatis. Organisasi perlu melakukan pemeriksaan berkala terhadap secret, password, API key, token, dan informasi sensitif lainnya.
- 4. Uji kemampuan deteksi dan respons
- Pertahanan cybersecurity bukan hanya tentang mencegah serangan. Organisasi juga perlu mengetahui apakah mereka mampu mendeteksi aktivitas abnormal, merespons insiden, dan memulihkan sistem ketika mekanisme pencegahan gagal.
- 5. Simulasikan skenario serangan secara aman
- Semakin autonomous teknologi yang digunakan, semakin penting melakukan pengujian dalam lingkungan yang terkontrol. Simulasi dapat membantu organisasi menemukan kelemahan sebelum dimanfaatkan dalam kondisi nyata.
PCI Quality: Mempersiapkan Organisasi Menghadapi Risiko Cybersecurity Era AI
Perubahan lanskap ancaman membuat cybersecurity perlu dilihat sebagai sebuah ekosistem, bukan hanya sebagai pemasangan teknologi keamanan.
PCI Quality menyediakan berbagai layanan yang dapat membantu organisasi membangun kemampuan tersebut, mulai dari Security Assessment, Vulnerability Assessment & Penetration Testing, Cyber Range Service, SOC as a Service, Incident Response, Digital Forensic, Red Team, Tabletop Exercise, hingga layanan tata kelola dan keamanan informasi.
Salah satunya adalah Cyber Range Service, yang dapat digunakan sebagai lingkungan simulasi untuk menguji kemampuan organisasi menghadapi berbagai skenario serangan siber secara lebih terkontrol.
Sementara itu, Security Assessment dan VA & Pentest dapat membantu organisasi mengidentifikasi kelemahan pada aset dan sistem sebelum dimanfaatkan oleh pihak yang tidak berwenang.
Untuk kesiapan menghadapi insiden, organisasi juga dapat memperkuat kemampuan melalui SOC as a Service, Incident Response, Digital Forensic, serta Tabletop Exercise.
Pendekatan ini menjadi semakin relevan ketika teknologi AI mulai memiliki kemampuan untuk tidak hanya memberikan rekomendasi, tetapi juga melakukan tindakan secara mandiri.
AI Semakin Pintar, Cybersecurity Harus Semakin Adaptif
Kasus Gemini menjadi pengingat bahwa batas antara AI, automation, dan cybersecurity semakin tipis.
AI dapat menjadi alat untuk meningkatkan keamanan, tetapi kemampuan yang sama juga dapat menciptakan risiko baru ketika akses dan kontrol tidak dirancang dengan baik.
Karena itu, pertanyaan bagi perusahaan bukan lagi sekadar:
“Apakah kita sudah menggunakan AI?”
Tetapi juga:
“Apakah kita sudah siap mengamankan AI, menguji AI, dan menghadapi ancaman yang menggunakan AI?”
Di era AI agent, cybersecurity membutuhkan pendekatan yang lebih proaktif melalui kombinasi people, process, technology, testing, monitoring, dan continuous improvement.
Karena ketika AI semakin mampu bertindak sendiri, organisasi juga harus semakin siap memastikan bahwa setiap tindakan digital tetap berada dalam batas yang aman dan terkendali.
PCI Quality — Building Cyber Resilience for the AI Era.
Chat on WhatsApp with +62 811-8129-496
