Bahaya Kepercayaan Buta pada Agen AI dan Ancaman Rantai Pasok Perangkat Lunak

Ilustrasi(magnific)

DI tengah pesatnya perkembangan Kecerdasan Buatan (AI) yang menjanjikan peningkatan produktivitas, muncul ancaman baru yang mengintai dunia korporasi. Peneliti dari Kaspersky menyoroti fenomena "kepercayaan buta" (blind trust) terhadap teknologi AI sebagai celah keamanan yang kini mulai dieksploitasi oleh para penjahat siber.

Sojun Ryu, peneliti keamanan di Global Research and Analysis Team (GReAT) Kaspersky, menjelaskan bahwa evolusi AI telah mencapai tahap otonom. Dari sekadar alat pembuat konten dan copilot, kini dunia memasuki era agen AI yang mampu membuat perencanaan, memanggil API, dan bertindak secara mandiri. Namun, kecepatan adopsi ini sering kali mengorbankan aspek verifikasi.

"Ketika kecepatan melampaui verifikasi, kecepatan tersebut justru dapat memperbesar risiko," peringat Ryu.

Menurutnya, penyerang kini tidak lagi hanya fokus pada kerentanan teknis, melainkan memanfaatkan faktor kepercayaan pengguna terhadap layanan AI populer.

Eksploitasi Layanan AI Populer

Peneliti Kaspersky GReAT menemukan fakta mengejutkan mengenai puluhan ribu serangan yang menyamar sebagai layanan AI ternama. Para penyerang menyebarkan versi palsu dari aplikasi resmi untuk menargetkan pengguna dan pengembang.

Layanan AI yang Ditiru Persentase Serangan

ChatGPT	49%
Claude	18%
Gemini	18%

Selain itu, ditemukan lebih dari 15.000 sampel malware yang menyamar sebagai perangkat lunak agentic AI. Malware ini mencakup jenis trojan, spyware, hingga backdoor yang memungkinkan penyerang mencuri informasi internal dan membangun akses kendali jarak jauh (command-and-control).

Ancaman Rantai Pasok dan Open Source

Ryu juga menekankan bahwa ketergantungan AI pada paket open-source menjadi titik lemah yang signifikan. Serangan rantai pasok (supply chain attacks) pada ekosistem seperti npm dan PyPI terus meningkat frekuensinya.

Salah satu insiden menonjol terjadi pada Maret 2026 yang melibatkan Axios, pustaka JavaScript populer. Setelah membobol komputer pengelola utama, penyerang merilis versi berbahaya yang sempat diunduh oleh ratusan perangkat hanya dalam waktu tiga jam. Mengingat Axios digunakan oleh lebih dari 170.000 paket perangkat lunak, dampak dari satu pelanggaran ini dapat menyebar luas dengan sangat cepat.

Statistik Dampak: Berdasarkan survei Kaspersky tahun lalu, sebanyak 31% perusahaan enterprise telah terdampak oleh serangan rantai pasok, menunjukkan betapa dalamnya integrasi open source yang berisiko di lingkungan perusahaan.

Langkah Mitigasi Tanpa Mengorbankan Produktivitas

Untuk menjaga keseimbangan antara efisiensi dan keamanan, Kaspersky menyarankan beberapa langkah praktis bagi perusahaan:

• Zona Pengembangan Terpercaya: Memisahkan konten eksternal dari aset internal, serta memperkuat izin pada IDE dan agen AI.
• Kendali Jalur Masuk: Mengawasi setiap perangkat lunak yang masuk ke lingkungan kerja tanpa menambah birokrasi persetujuan yang rumit.
• Audit Berkelanjutan: Melakukan pemantauan terhadap komponen open source yang rentan. Kaspersky sendiri menemukan lebih dari 250.000 potensi kesalahan konfigurasi dalam proses CI/CD melalui audit GitHub Actions.

Ryu menyimpulkan bahwa fokus keamanan harus bergeser ke tahap awal pengembangan.

"Keamanan akan gagal jika kita lebih mengutamakan kecepatan dibandingkan perlindungan serta visibilitas. Ketika kepercayaan diverifikasi sebelum eksekusi, organisasi justru akan bergerak lebih cepat," pungkasnya. (Z-1)