Integrasi kecerdasan buatan (AI) dalam berbagai aspek kehidupan dan pekerjaan sehari-hari telah mendorong perusahaan serta lembaga regulasi untuk mengambil tindakan. AI membawa kategori ancaman baru yang membuat ketahanan siber menjadi hal yang sangat penting. Namun, di tengah kepanikan untuk mengatasinya, tidak semua hype tentang AI ini sepenuhnya akurat.
Kerentanan mendasar yang dihadapi organisasi saat ini sebagian besar adalah sama dengan yang mereka hadapi lima atau sepuluh tahun lalu, seperti sistem yang tidak diperbarui, kontrol identitas yang lemah, hak akses yang berlebihan, dan integrasi pihak ketiga yang tidak aman. Beberapa kelemahan ini telah ada cukup lama dan kemungkinan besar akan terus ada. Ini disebabkan oleh batasan fundamental dalam ilmu komputer yang menyatakan bahwa menghilangkan semua kerentanan itu tidak mungkin. Oleh karena itu, tidak ada alat atau anggaran yang bisa menjamin keamanan 100% bagi sebuah bisnis. Meskipun demikian, bukan berarti perbaikan harus diabaikan, terutama di era AI ini.
Kecepatan, bukan Novelty
Meskipun tidak memperkenalkan hal yang benar-benar baru, ada beberapa kekhawatiran terkait AI. Sifat kelemahan yang ada tetap sama, namun AI mengubah kecepatan dan skala di mana kelemahan tersebut dapat diidentifikasi dan dieksploitasi. Tugas-tugas yang sebelumnya membutuhkan waktu, keterampilan, dan ketekunan sekarang bisa diotomatisasi, dipercepat, bahkan didelegasikan.
Ini menurunkan batas masuk bagi aktor yang kurang berpengalaman untuk beroperasi dengan efisiensi dan sukses yang lebih besar. Tanda-tanda pergeseran ini sudah mulai terlihat. Elemen dari siklus serangan bisa diotomatisasi, baik itu rekognisi maupun pergerakan lateral. Aktor negara bangsa mulai bereksperimen dengan menggunakan sistem ini untuk mengkoordinasikan operasi multi-tahap, dan baru-baru ini kita telah melihat serangan yang sepenuhnya otonom terjadi tanpa pengawasan manusia.
Di sisi lain, teknik-teknik yang lebih dikenal juga diperkuat, bukan diganti. Malware bisa dihasilkan atau diiterasi lebih cepat untuk menghindari deteksi. Rekayasa sosial menjadi lebih meyakinkan lewat deepfakes, dan kampanye phishing jadi lebih mudah untuk diperluas.
Semua ini bukanlah suatu rencana permainan yang baru, melainkan percepatan dari yang sudah ada.
Masalah Distraksi
Pemisahan antara novelty dan kecepatan penting karena mempengaruhi respon organisasi. Jika AI dianggap sebagai ancaman yang baru dan luar biasa, ini mendorong pola pikir reaktif. Tim keamanan terdorong untuk mencari solusi yang “spesifik untuk AI,” seringkali mengabaikan celah-celah yang telah ada sejak lama. Dalam praktiknya, celah-celah tersebut tetap menjadi titik masuk yang paling dapat diandalkan bagi para penyerang.
Risiko yang dihasilkan dari perhatian berlebihan terhadap AI adalah bentuk distraksi strategis. Dewan dan eksekutif memang berhak mempertanyakan risiko AI, tetapi percakapan ini bisa terpisah dari masalah dasar. Program manajemen tambalan tetap tidak konsisten. Inventaris aset tidak lengkap. Paparan pihak ketiga kurang dipahami. Manajemen identitas dan akses masih terfragmentasi di berbagai sistem.
Masalah-masalah ini sama dengan yang dihadapi oleh para profesional keamanan sebelum kehadiran AI, dan teknologi tidak menghilangkan masalah tersebut. Jika sesuatu, masalah-masalah ini menjadi lebih penting seiring meningkatnya kecepatan eksploitasi.
Tanggapan yang Tepat
Perlu diperjelas bahwa tidak ada organisasi yang akan pernah 100% aman. Akan selalu ada kerentanan yang tidak diketahui, banyak di antaranya bisa dieksplorasi oleh model-model frontier baru saat ini.
Akan tetapi, gagasan bahwa AI membawa risiko yang bisa sepenuhnya “diselesaikan” adalah menyesatkan. Meskipun model-model canggih dapat mengidentifikasi kelemahan yang sebelumnya tidak diketahui, tanggapannya tetap sama seperti yang selalu ada: prioritaskan, perbaiki, dan kurangi paparan seiring waktu.
Bagi para pembela, mencocokkan tempo yang meningkat ini memerlukan disiplin dan adaptasi. Praktik-praktik yang sudah mapan seperti red teaming dan latihan tabletop perlu berkembang untuk memasukkan skenario yang didukung oleh AI. Tim respon insiden perlu siap untuk menangani bentuk-bentuk bukti baru, termasuk yang dihasilkan atau dimanipulasi oleh sistem AI.
Selain itu, program pelatihan perlu mencerminkan meningkatnya kecanggihan rekayasa sosial, terutama ketika menyangkut deepfakes dan cloning suara. Kemampuan deteksi dan respon berbasis AI bisa berperan penting, terutama dalam mengidentifikasi pola dalam skala besar. Namun, itu bukan pengganti prinsip keamanan yang dirancang dengan baik, kontrol akses yang ketat, atau pemahaman yang jelas tentang di mana data penting berada. Oleh karena itu, organisasi harus berhati-hati untuk tidak terlalu berfokus pada alat baru tanpa memperbaiki kelemahan mendasar yang ada.
Penerapan AI dalam perusahaan memperluas permukaan serangan dengan menambah lapisan kompleksitas baru. Pelaku ancaman sudah menargetkan alur kerja AI secara langsung, mengeksploitasi kerentanan di lingkungan pengembangan perangkat lunak, dan menggunakan teknik seperti prompt injection untuk memanipulasi perilaku sistem. Dalam beberapa kasus, instruksi jahat bisa disematkan dalam konten yang tampaknya tidak berbahaya, memicu tindakan yang tidak diinginkan saat diproses oleh sistem AI.
Kembali lagi, perkembangan ini lebih baik dipahami sebagai perpanjangan dari konsep-konsep yang sudah dikenal. Validasi input, risiko rantai pasokan, dan integritas data selalu menjadi fokus utama keamanan. AI memperkenalkan konteks baru di mana masalah ini muncul, tetapi bukan kategori risiko yang sepenuhnya baru.
Dari perspektif tata kelola, ini menguatkan kebutuhan untuk kejelasan daripada novelty. Dewan harus fokus pada mendefinisikan toleransi risiko, memastikan akuntabilitas, serta mempertahankan visibilitas tentang bagaimana AI digunakan dalam organisasi.
Ini termasuk mengintegrasikan pertimbangan AI ke dalam kerangka kerja risiko yang ada, daripada memperlakukannya sebagai domain yang terpisah. Tim hukum, teknis, dan komunikasi perlu terkoordinasi, khususnya dalam skenario yang melibatkan informasi yang salah atau media sintetis, di mana kecepatan tanggapan sangat penting.
Apa yang Penting Saat Ini
Ada nilai dalam fokus saat ini terhadap risiko siber. Peningkatan perhatian di tingkat dewan dapat mendorong investasi dan akuntabilitas dengan cara yang sebelumnya sulit dicapai. Tapi perhatian tersebut perlu diarahkan ke masalah yang tepat. Menganggap AI sebagai ancaman yang sepenuhnya baru berisiko salah alokasi sumber daya dan mengabaikan kerentanan yang sudah ada.
AI akan terus berevolusi, begitu pula cara penggunaannya oleh penyerang maupun pembela. Dalam keamanan siber, kemajuan seringkali lebih tentang menerapkan jawaban yang sudah ada dengan konsistensi dan kecepatan yang tinggi.
Organisasi yang berhasil menavigasi pergeseran ini akan menjadi mereka yang tetap berpijak pada pemahaman yang jelas tentang apa yang telah dan belum berubah.
