Bayangkan seorang insinyur perangkat lunak sedang terburu-buru memperbaiki bug. Ia menempelkan kode sumber rahasia perusahaannya ke ChatGPT, berharap AI bisa menemukan celah dengan cepat. Pekerjaan selesai dalam hitungan menit, tapi tanpa ia sadari, kode rahasia itu kini telah berpindah ke server pihak ketiga dan keluar dari kendali perusahaan.

Inilah yang terjadi pada Samsung pada April 2023. Insinyur Samsung menyalin kode sumber database semikonduktor rahasia dan transkrip rapat internal ke ChatGPT. Dalam waktu kurang dari 20 hari, tiga kebocoran data terpisah terjadi .

Masalah yang sama baru-baru ini menimpa Anthropic, perusahaan di balik Claude AI. Pada akhir Maret 2026, lebih dari 500.000 baris kode sumber internal Claude Code bocor ke publik hanya karena kesalahan manusia—sebuah file debug ikut terbawa dalam paket rilis .

Kejadian-kejadian ini menunjukkan bahwa source code adalah aset berharga yang jika bocor bisa membawa bencana bagi perusahaan. Mari kita bahas apa saja bahayanya dan bagaimana mencegahnya.

1. Ancaman Paling Nyata: Kode Bisa Bocor dan Digunakan Pihak Lain

Ketika source code dimasukkan ke platform AI publik (terutama versi gratis), ada beberapa hal yang terjadi di balik layar:

  • Data tersimpan di server pihak ketiga dan sering digunakan untuk melatih model AI 

  • Kode bisa “dihafal” oleh model dan muncul kembali sebagai jawaban untuk pengguna lain

  • Tidak ada tombol “hapus”—begitu data masuk ke model, sulit ditarik kembali

Kasus Anthropic adalah contoh sempurna: lebih dari 51.000 baris kode, 40 modul tool, dan fitur yang belum diluncurkan terekspos ke publik . Akibatnya:

  • Kompetitor bisa meniru teknologi tanpa perlu melakukan reverse engineering 

  • Peretas bisa mencari celah keamanan dengan lebih mudah karena mereka punya “peta” lengkap sistem 

  • Versi berbahaya dari kode tersebut mulai beredar di GitHub, mengandung backdoor dan pencuri data 

2. Risiko Keamanan: Kode Anda Bisa Disusupi

Yang lebih mengkhawatirkan, kebocoran source code bisa memicu serangan rantai pasok (supply chain attack). Setelah kode Claude Code bocor, ribuan repositori berisi versi modifikasi dari kode tersebut mulai bermunculan di GitHub. Beberapa di antaranya sengaja ditanami malware .

Penjahat siber juga menggunakan momen ini untuk menjalankan kampanye phishing. Mereka menyebarkan malware Vidar dan Ghostsocks dengan kedok “kode Claude Code yang bocor” .

3. Pelanggaran Hak Cipta dan Masalah Lisensi

Source code yang Anda tulis atau gunakan biasanya tunduk pada lisensi tertentu. Saat Anda memasukkan kode ke AI publik, ada risiko:

  • Kode berlisensi copyleft (seperti GPL) jika dimasukkan ke AI, bisa melanggar ketentuan lisensi karena tidak memberikan atribusi yang sesuai 

  • AI bisa menghasilkan salinan persis dari kode berlisensi tanpa menyertakan pemberitahuan hak cipta 

  • Status hukumnya masih abu-abu—apakah pelatihan AI dengan kode sumber termasuk “fair use” belum jelas di pengadilan 

OpenJDK, proyek pengembangan Java, bahkan melarang total kontribusi kode yang dihasilkan AI karena risiko kekayaan intelektual dan keamanan .

4. Perlindungan Hukum di Indonesia

Di Indonesia, source code yang bersifat rahasia dapat dilindungi sebagai rahasia dagang berdasarkan Undang-Undang Nomor 30 Tahun 2000 tentang Rahasia Dagang .

Penelitian hukum dari Universitas Katolik Parahyangan menyimpulkan bahwa memasukkan kode sumber rahasia ke ChatGPT dapat menghilangkan status kerahasiaannya jika kode tersebut diakses oleh pihak lain. Sifat rahasia dianggap hilang berdasarkan Pasal 3 ayat (2) UU Rahasia Dagang .

Dengan kata lain: jika kode rahasia perusahaan masuk ke AI publik dan diakses orang lain, perusahaan bisa kehilangan perlindungan hukum atas kode tersebut.

5. Mengapa Ini Terjadi? Faktor Manusia

Kebocoran source code paling sering terjadi bukan karena peretasan canggih, tapi karena kesalahan manusia. Kasus Anthropic terjadi karena file debug (source map) tidak sengaja terbawa dalam paket rilis—sebuah file yang seharusnya hanya untuk pengembangan internal .

Karyawan juga sering menganggap AI aman karena mengira interaksinya bersifat sementara, padahal tidak .

6. Apa yang Bisa Dilakukan?

Untuk Perusahaan:

  1. Buat kebijakan AI yang tegas—larang penggunaan AI publik untuk source code dan data sensitif. Berikan alternatif seperti AI enterprise dengan jaminan data tidak digunakan untuk pelatihan 

  2. Aktifkan Data Loss Prevention (DLP) untuk mendeteksi dan memblokir upaya copy-paste kode ke browser 

  3. Audit proses rilis—pastikan tidak ada file debug (.map, .git, konfigurasi staging) yang terbawa ke publik 

  4. Edukasi developer—jelaskan bahwa memasukkan kode ke AI publik adalah bentuk kebocoran data, bukan sekadar pelanggaran aturan 

Untuk Developer:

  1. Jangan pernah memasukkan kode sumber rahasia, API key, atau kredensial ke AI publik 

  2. Gunakan hanya alat AI yang sudah disetujui perusahaan

  3. Laporkan jika ingin menggunakan alat baru—jangan sembunyi-sembunyi

Kesimpulan

Source code adalah nyawa produk digital perusahaan. Memasukkannya ke AI publik sama saja dengan menyerahkan cetak biru produk ke tangan orang asing. Kasus Samsung dan Anthropic menunjukkan bahwa ini bukan ancaman teoretis—ini sudah terjadi dan dampaknya nyata.

Seperti kata pepatah keamanan siber: “Anda tidak bisa melindungi apa yang tidak Anda lihat.” Mulai hari ini, lihatlah bagaimana source code perusahaan Anda digunakan—dan pastikan ia tetap berada di tempat yang aman.

Related Posts: