Telset.id – Keamanan siber saat ini menghadapi tantangan baru seiring meningkatnya adopsi kecerdasan buatan (AI). Hampir 50% pembeli solusi keamanan siber memperkirakan AI akan tertanam di seluruh tumpukan siber dalam tiga tahun ke depan. Organisasi tidak lagi hanya fokus melindungi aplikasi dan hak akses, tetapi juga harus mengamankan sistem cerdas yang dapat membuat keputusan, berinteraksi dengan pengguna, dan bertindak secara otonom.
Vishal Salvi, Global Head of Cybersecurity Services di Cognizant, menjelaskan bahwa AI dapat memanfaatkan model, prompt, konteks, dan alat eksternal untuk memahami tujuan, membuat keputusan, dan menentukan cara terbaik mencapainya. Ketika organisasi memberikan otonomi yang lebih besar kepada sistem agen ini di seluruh alur kerja perusahaan, konsekuensi kegagalan melampaui sekadar menghasilkan jawaban yang salah. Kesalahan kini dapat mengganggu proses bisnis, memengaruhi keputusan, dan memicu tindakan yang tidak diinginkan di seluruh sistem yang terhubung.
Permukaan Serangan yang Kian Luas
Otonomi yang lebih besar menciptakan titik kerentanan baru setiap kali AI diberi akses ke data, sistem, dan alat eksternal. Ancaman siber seperti manipulasi informasi yang diterima AI atau peniruan pengguna tepercaya dapat mengubah cara AI merespons atau tindakan yang diambilnya. Hal ini dapat menyebabkan agen AI mengambil informasi yang tidak akurat atau menyetujui tindakan yang tidak sah.
Kontrol keamanan siber tradisional dirancang untuk manusia dan aplikasi, tetapi agen otonom tidak cocok dengan kedua kategori tersebut. Keamanan perlu diperluas ke seluruh siklus hidup AI: sebelum diluncurkan, selama operasi, dan di setiap titik di mana AI belajar, memutuskan, dan bertindak. Organisasi membutuhkan arsitektur keamanan terpadu yang memberikan visibilitas dan kontrol yang konsisten di seluruh sistem AI dan tradisional, sehingga lebih mudah mengidentifikasi ancaman, menegakkan kebijakan, dan merespons dengan cepat saat insiden terjadi.
Arsitektur terpadu hanyalah sebagian dari solusi. Bisnis juga perlu memastikan bahwa agen AI itu sendiri dapat dipercaya. Seperti pengguna atau sistem tepercaya lainnya, agen AI harus memiliki identitas yang dapat diverifikasi, akses yang dikontrol ketat ke data dan sistem, serta catatan audit atas tindakan yang mereka ambil. Tanpa perlindungan ini, organisasi berisiko menciptakan sistem AI yang dapat melewati kontrol keamanan dan kepatuhan karena cacat desain, bukan niat jahat.
Keamanan juga tidak bisa berhenti setelah sistem AI digunakan. Berbeda dengan perangkat lunak tradisional, sistem AI belajar dari data baru, beroperasi dalam konteks yang berubah, dan dapat berperilaku berbeda seiring waktu. Organisasi memerlukan pemantauan berkelanjutan untuk memastikan agen tetap berada dalam batas yang ditentukan dan kebijakan terus ditegakkan. Ini mencakup kepemilikan yang jelas, jalur eskalasi, dan kill switch yang dapat menahan atau menghentikan agen yang berperilaku tidak terduga dengan aman.
Beberapa organisasi juga mulai menggunakan “guardian agents” yang memantau agen AI lain dan menandai perilaku yang tidak biasa. Tingkat pengawasan harus mencerminkan tingkat risiko. Agen AI yang menjalankan tugas berdampak rendah dapat tetap otonom, sementara aktivitas berisiko lebih tinggi seperti memperbarui data pelanggan, menyetujui transaksi keuangan, atau berinteraksi dengan sistem produksi harus memiliki pengaman yang lebih kuat.
Konteks sebagai Batas Keamanan Baru
Mengamankan AI juga berarti mengamankan informasi yang diandalkannya. Konteks adalah yang memberi kekuatan pada agen AI, termasuk dokumen internal, informasi pelanggan, aturan bisnis, dan interaksi sebelumnya. Ini membantu agen memahami tugas dan memutuskan langkah selanjutnya. Hal ini menjadikan konteks sebagai batas keamanan baru. Jika informasi yang diandalkan AI tidak akurat atau sengaja dimanipulasi, keputusan yang diambilnya bisa salah, bahkan jika model yang mendasarinya bekerja persis seperti yang dimaksudkan. Kondisi ini dikenal sebagai context poisoning.
Melindungi dari ancaman ini berarti mengontrol apa yang bisa dilihat AI serta apa yang bisa dilakukannya. Agen seharusnya hanya memiliki akses ke data dan sistem yang mereka butuhkan untuk tugas tertentu. Misalnya, asisten AI yang menjawab pertanyaan karyawan seharusnya tidak memiliki tingkat akses yang sama dengan agen yang berwenang menyetujui pembayaran. Pengaman harus melampaui penyaringan output dan melindungi integritas informasi yang digunakan AI, memastikannya akurat, terkini, dan sesuai untuk tugas yang dihadapi.
Kontrol teknis paling efektif ketika didukung oleh tata kelola yang baik. Ini membutuhkan pendekatan terpadu yang menggabungkan sistem AI dan tradisional dengan kontrol yang konsisten di seluruh bisnis. Organisasi juga harus menentukan di mana intervensi manusia diperlukan dan siapa yang bertanggung jawab atas keputusan yang dibuat model. Pengawasan harus fokus pada aktivitas yang membawa risiko operasional, finansial, atau regulasi terbesar, didukung oleh investasi dalam keterampilan yang diperlukan untuk mengelola AI secara efektif.
Mengamankan AI pada akhirnya lebih dari sekadar melindungi sistem dari serangan. Organisasi membutuhkan solusi teknis yang tepat, kepemilikan yang jelas, dan pengawasan berkelanjutan di seluruh siklus hidup AI. Kepercayaan bergantung pada elemen-elemen ini yang bekerja bersama. Organisasi yang sukses dengan AI tidak selalu yang bergerak paling cepat, tetapi yang menskalakannya dengan aman dan bertanggung jawab. Pertanyaan bagi para pemimpin bukan lagi apakah akan mempercayai AI, tetapi apakah mereka membangun sistem yang layak dipercaya.
Artikel ini ditulis berdasarkan pandangan Vishal Salvi, Global Head of Cybersecurity Services di Cognizant, yang diterbitkan dalam kanal TechRadar Pro Perspectives. Untuk memahami lebih jauh tentang lanskap ancaman siber, Anda dapat membaca Kaspersky Cybersecurity Index yang membantu mengenali ancaman siber. Sementara itu, pengakuan terhadap pemimpin keamanan di kawasan dapat dilihat dari CISO Tokopedia yang masuk daftar pemimpin cybersecurity terbaik di ASEAN.
Komentar
Belum ada komentar.