Bisnis.com, JAKARTA — Pemanfaatan agen kecerdasan buatan (artificial intelligence/AI) yang makin otonom mulai memunculkan tantangan baru bagi dunia usaha. Jika sebelumnya AI diposisikan sebagai alat bantu analisis atau otomasi sederhana, kini agen AI mampu mengambil keputusan, menjalankan perintah lintas sistem, hingga memproses data sensitif tanpa campur tangan manusia secara langsung.

Menurut perusahaan keamanan siber global, Kaspersky, bagi chief information officer (CIO) dan chief information security officer (CISO), kehadiran agen AI yang dapat bekerja otonom ini menandai munculnya tantangan baru yang tidak sepenuhnya dapat diatasi oleh perangkat keamanan TI konvensional.

Kaspersky menilai bahwa keamanan sempurna dalam sistem AI berbasis agen hampir mustahil dicapai. Namun, pendekatan pengendalian yang ketat dan berlapis, mendekati prinsip Zero Trust, dapat secara signifikan membatasi dampak ketika terjadi kesalahan atau penyalahgunaan.

Oleh karena itu, Kaspersky membagikan sejumlah langkah yang bisa dilakukan entitas bisnis dalam memitigasi risiko keamanan siber yang dapat timbul dari agen AI.

Salah satu langkah utama adalah penerapan prinsip otonomi minimal dan hak akses minimal. Agen AI sebaiknya hanya diberi kewenangan yang benar-benar dibutuhkan untuk menjalankan tugas tertentu, dengan akses terbatas ke alat, API, maupun data perusahaan.

“Kurangi izin hingga seminimal mungkin jika sesuai, misalnya, tetap menggunakan mode baca saja (read-only),” tulis pernyataan Kaspersky, dikutip Bisnis, Sabtu (31/1/2026).

Selain itu, penggunaan kredensial berumur pendek menjadi krusial untuk mencegah penyalahgunaan token atau kunci API jika agen berhasil dikompromikan. Kredensial sementara dengan cakupan terbatas dinilai mampu mengurangi risiko eskalasi serangan.

Kaspersky juga menekankan pentingnya keterlibatan manusia dalam operasi berisiko tinggi. Tindakan yang bersifat tidak dapat dibatalkan, seperti transfer keuangan atau penghapusan data massal, sebaiknya tetap memerlukan konfirmasi eksplisit dari manusia.

Dari sisi teknis, isolasi eksekusi agen AI menjadi aspek krusial. Agen dan alat pendukungnya perlu dijalankan dalam lingkungan terisolasi, seperti kontainer atau sandbox, dengan kontrol lalu lintas jaringan yang ketat. Hal ini bertujuan mencegah panggilan keluar yang tidak sah maupun penyebaran dampak jika terjadi pelanggaran.

Penguatan juga perlu dilakukan melalui validasi dan sanitasi input serta output model AI. Setiap permintaan dan respons harus diperiksa secara ketat untuk mencegah injeksi perintah atau konten berbahaya, terutama ketika data berpindah antaragen.

Dalam konteks pengawasan, pencatatan log yang aman dan tidak dapat diubah menjadi fondasi penting untuk audit dan investigasi forensik. Pemantauan perilaku berbasis sistem otomatis juga direkomendasikan untuk mendeteksi anomali, seperti lonjakan panggilan API atau penyimpangan tujuan agen.

“Organisasi yang telah memperkenalkan XDR [extended detection and response] dan mengolah telemetri di SIEM [security information and event management] akan memiliki keunggulan. Mereka jauh lebih mudah mengendalikan agen AI,” bunyi pernyataan Kaspersky.

Aspek rantai pasok perangkat lunak turut menjadi perhatian. Penggunaan model dan alat AI sebaiknya dibatasi pada sumber tepercaya dengan dokumentasi software bill of materials (SBOM) yang jelas.

Setiap kode yang dihasilkan agen AI juga perlu melalui analisis statis dan dinamis sebelum dijalankan, sejalan dengan praktik DevSecOps. Mengamankan komunikasi antar agen jangan sampai luput. Pastikan otentikasi dan enkripsi timbal balik di semua saluran komunikasi antar agen. Gunakan tanda tangan digital untuk memverifikasi integritas pesan.

Temukan pula cara untuk langsung mengunci agen atau alat tertentu begitu perilaku anomali terdeteksi. Selain itu, gunakan indikator risiko visual dan peringatan tingkat kepercayaan untuk mengurangi risiko manusia mempercayai AI secara berlebihan.

Tak kalah penting, kesiapan sumber daya manusia menjadi faktor penentu. Pelatihan karyawan terkait risiko dan keterbatasan sistem AI perlu dilakukan secara berkelanjutan dan relevan dengan peran kerja masing-masing.

“Mengingat betapa cepatnya bidang ini berkembang, video kepatuhan setahun sekali tidak akan cukup, pelatihan tersebut harus diperbarui beberapa kali dalam setahun,” saran Kaspersky.