Tim IT menghadapi tantangan besar karena Shadow AI tidak terlihat oleh alat keamanan tradisional. Data yang dimasukkan karyawan ke AI bergerak sebagai lalu lintas HTTPS biasa—tidak berbeda dengan browsing web normal. Namun, ada beberapa cara efektif untuk menemukannya.
4 Metode Deteksi Praktis
1. Pantau Lalu Lintas Jaringan dan Proxy
Mulailah dengan memeriksa lalu lintas jaringan ke penyedia AI yang dikenal. Langkah ini sederhana dan langsung memberikan gambaran awal.
Apa yang dilakukan:
-
Pantau koneksi keluar ke domain AI populer (OpenAI, Anthropic, Google AI, Hugging Face, dll.)
-
Periksa volume data yang dikirim ke platform tersebut
-
Perhatikan aktivitas di luar jam kerja normal atau dari akun yang mencurigakan
Ini adalah titik awal terbaik untuk menemukan Shadow AI di perangkat terkelola.
2. Gunakan Alat CASB dan SWG
CASB (Cloud Access Security Broker) dan SWG (Secure Web Gateway) dapat mendeteksi aplikasi cloud yang tidak disetujui, termasuk alat AI. CASB dapat mengungkap aplikasi AI yang beroperasi di luar inventaris yang disetujui, transfer data tersembunyi ke platform AI, dan karyawan yang menggunakan akun pribadi untuk mengakses alat AI dengan data perusahaan.
3. Audit Ekstensi Browser dan Perangkat Lunak
Ekstensi browser AI adalah vektor Shadow AI yang paling umum dan sering diabaikan. Ekstensi bantuan menulis atau peringkasan tab dapat mengirimkan konten sesi Anda ke API pihak ketiga—termasuk data di aplikasi CRM, HR, atau keuangan.
Langkah yang bisa dilakukan:
-
Gunakan alat manajemen endpoint untuk inventarisasi ekstensi yang terinstal
-
Tandai ekstensi dengan izin atau koneksi terkait AI
-
Bandingkan dengan daftar ekstensi yang disetujui
4. Lakukan Survei Karyawan Anonim
Kadang-kadang cara paling sederhana adalah yang paling efektif. Tanyakan kepada karyawan secara anonim: alat AI apa yang mereka gunakan untuk pekerjaan, seberapa sering, dan untuk tugas apa. Ini akan mengungkap penggunaan yang mungkin tidak terdeteksi oleh alat teknis.
Mengapa Metode Tradisional Sering Gagal?
Alat keamanan tradisional memiliki keterbatasan dalam mendeteksi Shadow AI:
| Alat | Kelemahan terhadap Shadow AI |
|---|---|
| DLP (Data Loss Prevention) | Tidak bisa memeriksa apa yang diketik ke kolom input browser. Data rahasia yang ditempel ke ChatGPT bergerak sebagai lalu lintas HTTPS biasa |
| CASB | Bergantung pada API untuk aplikasi SaaS yang disetujui. ChatGPT dan alat AI tidak resmi bukan SaaS yang disetujui |
| Endpoint DLP/EDR | Melihat browser sebagai satu proses—tidak bisa membedakan tab yang memuat wiki internal dari tab tempat karyawan menempelkan kode ke Claude |
5 Langkah Praktis Memulai Deteksi
1. Inventarisasi Awal
Mulailah dengan mendokumentasikan semua alat AI yang sudah diketahui dan disetujui. Ini menjadi baseline untuk membandingkan temuan baru.
2. Pantau Lalu Lintas Jaringan
Identifikasi koneksi ke penyedia AI publik dari perangkat perusahaan.
3. Audit Ekstensi dan Aplikasi
Periksa ekstensi browser dan aplikasi yang terinstal di perangkat karyawan.
4. Gunakan Analitik Perilaku
Cari anomali: lonjakan transfer data diikuti penggunaan AI, akses di luar jam kerja, atau aktivitas otomatis yang tidak biasa.
5. Libatkan Karyawan
Lakukan survei anonim dan bangun budaya pelaporan. Shadow AI berkembang dalam ketakutan—karyawan harus merasa aman melaporkan penggunaan AI tanpa takut dihukum.
Jangan Lupa: Agen AI Otonom dan Token
Shadow AI tidak hanya berbentuk chatbot. Ancaman terbaru adalah agen AI otonom—AI yang bertindak sendiri di berbagai sistem menggunakan token OAuth dan API key.
Yang harus diperhatikan:
-
Token dan API key sering memiliki izin terlalu luas dan tidak teraudit
-
Agen AI bisa terus berjalan bahkan setelah pembuatnya keluar dari perusahaan
-
79% organisasi masih tidak memiliki visibilitas ke dalam agen AI yang beroperasi di lingkungan mereka
Kesimpulan
Menemukan Shadow AI membutuhkan pendekatan berlapis: pantau jaringan, audit ekstensi, gunakan CASB, dan libatkan karyawan. Tidak ada satu alat pun yang bisa mendeteksi semuanya. Namun, dengan kombinasi metode ini, tim IT bisa mendapatkan gambaran yang lebih jelas tentang penggunaan AI di perusahaan dan mengambil langkah untuk mengelolanya dengan aman.
