Bahaya Kepercayaan Buta pada Agen AI dan Ancaman Rantai Pasok Perangkat Lunak

Ilustrasi(magnific)

DI tengah pesatnya perkembangan Kecerdasan Buatan (AI) nan menjanjikan peningkatan produktivitas, muncul ancaman baru nan mengintai bumi korporasi. Peneliti dari Kaspersky menyoroti kejadian "kepercayaan buta" (blind trust) terhadap teknologi AI sebagai celah keamanan nan sekarang mulai dieksploitasi oleh para penjahat siber.

Sojun Ryu, peneliti keamanan di Global Research and Analysis Team (GReAT) Kaspersky, menjelaskan bahwa perkembangan AI telah mencapai tahap otonom. Dari sekadar perangkat kreator konten dan copilot, sekarang bumi memasuki era agen AI nan bisa membikin perencanaan, memanggil API, dan bertindak secara mandiri. Namun, kecepatan mengambil ini sering kali mengorbankan aspek verifikasi.

"Ketika kecepatan melampaui verifikasi, kecepatan tersebut justru dapat memperbesar risiko," peringat Ryu.

Menurutnya, penyerang sekarang tidak lagi hanya konsentrasi pada kerentanan teknis, melainkan memanfaatkan aspek kepercayaan pengguna terhadap jasa AI populer.

Eksploitasi Layanan AI Populer

Peneliti Kaspersky GReAT menemukan kebenaran mengejutkan mengenai puluhan ribu serangan nan menyamar sebagai jasa AI ternama. Para penyerang menyebarkan jenis tiruan dari aplikasi resmi untuk menargetkan pengguna dan pengembang.

Layanan AI nan Ditiru Persentase Serangan

ChatGPT	49%
Claude	18%
Gemini	18%

Selain itu, ditemukan lebih dari 15.000 sampel malware nan menyamar sebagai perangkat lunak agentic AI. Malware ini mencakup jenis trojan, spyware, hingga backdoor nan memungkinkan penyerang mencuri info internal dan membangun akses kendali jarak jauh (command-and-control).

Ancaman Rantai Pasok dan Open Source

Ryu juga menekankan bahwa ketergantungan AI pada paket open-source menjadi titik lemah nan signifikan. Serangan rantai pasok (supply chain attacks) pada ekosistem seperti npm dan PyPI terus meningkat frekuensinya.

Salah satu kejadian menonjol terjadi pada Maret 2026 nan melibatkan Axios, pustaka JavaScript populer. Setelah membobol komputer pengelola utama, penyerang merilis jenis rawan nan sempat diunduh oleh ratusan perangkat hanya dalam waktu tiga jam. Mengingat Axios digunakan oleh lebih dari 170.000 paket perangkat lunak, akibat dari satu pelanggaran ini dapat menyebar luas dengan sangat cepat.

Statistik Dampak: Berdasarkan survei Kaspersky tahun lalu, sebanyak 31% perusahaan enterprise telah terdampak oleh serangan rantai pasok, menunjukkan sungguh dalamnya integrasi open source nan berisiko di lingkungan perusahaan.

Langkah Mitigasi Tanpa Mengorbankan Produktivitas

Untuk menjaga keseimbangan antara efisiensi dan keamanan, Kaspersky menyarankan beberapa langkah praktis bagi perusahaan:

• Zona Pengembangan Terpercaya: Memisahkan konten eksternal dari aset internal, serta memperkuat izin pada IDE dan pemasok AI.
• Kendali Jalur Masuk: Mengawasi setiap perangkat lunak nan masuk ke lingkungan kerja tanpa menambah birokrasi persetujuan nan rumit.
• Audit Berkelanjutan: Melakukan pemantauan terhadap komponen open source nan rentan. Kaspersky sendiri menemukan lebih dari 250.000 potensi kesalahan konfigurasi dalam proses CI/CD melalui audit GitHub Actions.

Ryu menyimpulkan bahwa konsentrasi keamanan kudu bergeser ke tahap awal pengembangan.

"Keamanan bakal kandas jika kita lebih mengutamakan kecepatan dibandingkan perlindungan serta visibilitas. Ketika kepercayaan diverifikasi sebelum eksekusi, organisasi justru bakal bergerak lebih cepat," pungkasnya. (Z-1)