jfid – Laporan terbaru Akamai mengungkap bahwa shadow AI atau adopsi kecerdasan buatan yang tidak terkoordinasi di lingkungan kerja telah membuka kelas risiko siber baru yang lebih berbahaya dari yang dibayangkan sebelumnya. Menurut laporan State of the Internet berjudul The Enterprise AI Usage Risk Report 2026, AI kini tidak lagi sekadar alat produktivitas tetapi telah berperan sebagai rekan kerja dengan akses langsung ke aset berharga perusahaan. Integrasi yang berlangsung sangat cepat melampaui kemampuan mekanisme pengamanan konvensional, menciptakan celah yang bisa dieksploitasi oleh kelompok peretas kapan saja.
Shadow AI muncul karena karyawan secara mandiri menggunakan berbagai layanan AI berbasis SaaS tanpa persetujuan atau pengawasan tim keamanan informasi. Di satu sisi, perusahaan mendorong inovasi dan efisiensi melalui AI, tetapi di sisi lain tidak menyediakan infrastruktur yang aman untuk mengadopsinya. Pola inilah yang membuat data sensitif perusahaan tersebar secara sistematis melalui jutaan prompt yang terus berubah setiap hari. Solusi pencegahan kebocoran data konvensional yang dirancang untuk era perpindahan file dan email lama kini terbukti tidak memadai. Para pemimpin keamanan harus mengubah pendekatan dari yang reaktif menjadi proaktif dengan memantau setiap interaksi AI yang beroperasi di dalam organisasi.
Laporan Akamai menguraikan tiga metode ancaman baru yang berhasil ditemukan peneliti pada tahun 2026 dan mampu melewati pertahanan perimeter keamanan konvensional secara efektif. Metode pertama adalah Vibe hacking, di mana peretas memanipulasi file instruksi markdown lokal pengembang. Modifikasi halus pada file tersebut menipu asisten pemrograman berbasis AI agar menjalankan tindakan tidak sah tanpa sepengetahuan pengguna. Serangan ini sangat berbahaya karena tidak memerlukan akses jaringan eksternal dan dapat meretas alur kerja pengembang dari dalam sistem. Banyak perusahaan yang bergantung pada tools seperti GitHub Copilot atau ChatGPT for Code tidak menyadari bahwa file konfigurasi lokal mereka bisa diubah untuk mencuri data atau menyisipkan backdoor.
Kedua, CursorJacking menyerang melalui ekstensi peramban berbahaya yang meminta izin akses luas kepada pengguna. Setelah terinstal, ekstensi ini dapat mencuri kunci API, basis kode, hingga riwayat percakapan dari lingkungan peramban. Hampir 75 persen ekstensi AI meminta izin akses tingkat tinggi dan sekitar 16,3 persen di antaranya diketahui mengandung celah keamanan. Banyak karyawan yang tanpa sadar menginstall ekstensi ini karena mengira dapat meningkatkan produktivitas, padahal sebenarnya sedang membuka gerbang bagi peretas.
Ketiga, CometJacking memanfaatkan teknik indirect prompt injection pada halaman web publik. Agen AI yang diretas dengan cara ini dapat mengirimkan file lokal, email, serta kredensial sesi tanpa pengetahuan pengguna. Serangan ini mengincar lingkungan di mana AI berinteraksi dengan konten web eksternal, menjadikannya alat pembobolan yang sulit deteksi. Kelompok peretas yang menguasai teknik ini bisa mengumpulkan data rahasia perusahaan dalam jumlah besar dalam waktu singkat.
Untuk menghadapi ancaman tersebut, laporan Akamai menyajikan lima strategi mitigasi utama yang dapat diterapkan oleh Chief Information Security Officer atau CISO. Langkah pertama adalah mengarahkan telemetri dan pemantauan kepada lima persen karyawan berisiko tinggi. Kelompok kecil inilah yang menghasilkan sebagian besar interaksi melalui prompt AI, sehingga menjadi fokus utama untuk mendeteksi perilaku mencurigakan dan mencegah kebocoran data sejak dini. Pendekatan berbasis data ini lebih efisien daripada menerapkan pembatasan yang memberatkan bagi seluruh organisasi.
Langkah berikutnya melibatkan penerapan federasi single sign-on atau SSO untuk menghilangkan shadow AI. Identifikasi terus-menerus harus dilakukan terhadap berbagai layanan AI berbasis software as a service yang digunakan karyawan. Dengan SSO, perusahaan dapat melacak dan mengontrol akses ke layanan AI, memastikan hanya aplikasi yang telah diverifikasi yang boleh beroperasi dalam lingkungan kerja.
Di samping itu, pemeriksaan lapisan interaksi perlu diperketat dari analisis statis menjadi kontekstual real-time. Analisis ini mencakup aktivitas copy-paste, prompt, serta unggahan dokumen yang dilakukan karyawan. Sistem keamanan harus mampu memahami konteks dari setiap interaksi AI, bukan hanya memindai kata kunci tertentu. Pendekatan kontekstual memungkinkan deteksi dini terhadap upaya manipulasi atau ekstraksi data yang tidak sah. Perusahaan perlu berinvestasi pada tools yang menggunakan machine learning untuk mengenali pola aneh dalam perilaku pengguna.
Selanjutnya, ekstensi peramban dan lingkungan pengembangan terintegrasi harus diperlakukan sebagai perangkat lunak berisiko tinggi. Tim keamanan perlu melakukan audit berkala terhadap semua ekstensi yang terinstal di perangkat kerja dan menerapkan kebijakan yang membatasi instalasi ekstensi yang tidak diverifikasi. Lingkungan pengembangan kode juga harus dilengkapi dengan kontrol akses yang ketat untuk mencegah infiltrasi kode berbahaya.
Terakhir, pengamanan agen AI dilakukan dengan menerapkan prinsip hak akses minimum secara ketat. Perilaku agen AI otonom yang bertindak atas nama karyawan wajib dipantau secara berkala. Setiap agen harus hanya memiliki akses ke data dan sistem yang benar-benar diperlukan untuk menjalankan fungsinya. Prinsip least privilege ini meminimalkan dampak jika suatu saat agen tersebut diretas atau dimanipulasi oleh pihak yang tidak berwenang. Log dari setiap aksi agen AI harus dicatat dan diaudit secara rutin untuk memastikan tidak ada aktivitas yang mencurigakan.
Sebagai penutup, laporan State of the Internet Akamai terus menghadirkan wawasan penting mengenai tren keamanan siber global. Seluruh analisis didasarkan pada data serangan yang teramati di seluruh infrastruktur global Akamai, menjadikan laporan ini referensi yang valid bagi para profesional keamanan siber. Adopsi AI di dunia usaha memang tak terelakkan, tetapi tanpa pengamanan yang memadai, shadow AI bisa berbalik menjadi lubang keamanan terbesar perusahaan di era digital ini.
