Di era kecerdasan buatan yang semakin merasuk ke berbagai lini bisnis, keamanan identitas menjadi medan pertempuran baru. Bayangkan sebuah perusahaan yang karyawannya menggunakan berbagai alat AI—mulai dari ChatGPT untuk meringkas laporan, hingga agen AI otonom yang mengelola data pelanggan. Siapa yang sebenarnya bertanggung jawab atas akses yang diberikan kepada entitas-entitas digital ini?
Di sinilah Identity and Access Management (IAM) untuk platform AI memainkan peran krusial. Bukan sekadar mengelola siapa yang masuk ke sistem, IAM di era AI harus menjawab pertanyaan yang lebih kompleks: bagaimana mengamankan identitas mesin yang jumlahnya terus melonjak, dan bagaimana memastikan setiap agen AI hanya memiliki akses sesuai kebutuhannya?
Mengapa IAM untuk AI Berbeda dari IAM Tradisional?
1. Ledakan Jumlah “Identitas” Baru
Jika sebelumnya IAM terutama mengelola identitas manusia (karyawan), kini muncul kelas identitas baru yang jumlahnya jauh lebih besar. Sebuah survei mengungkapkan bahwa secara global, terdapat 82 identitas mesin untuk setiap satu pengguna manusia, dan 42 persen dari identitas mesin tersebut memiliki akses istimewa atau sensitif .
“AI akan menciptakan jumlah identitas istimewa (privileged identities) baru yang paling tinggi pada 2025, sehingga permukaan serangan yang berfokus pada identitas akan semakin meluas,” ujar Koh Ssu Han, Solutions Engineering Director ASEAN, CyberArk .
2. Agen AI: Antara Manusia dan Mesin
Agen AI bukanlah manusia, tapi juga bukan sekadar aplikasi biasa. Mereka memiliki otonomi—bisa mengambil keputusan sendiri, bertindak atas nama pengguna, dan mengakses berbagai sistem dengan cara yang tidak selalu bisa diprediksi . Jika kita memperlakukan agen AI sebagai “karyawan digital”, maka model ancaman dan risikonya harus diselaraskan .
Sebagai ilustrasi: seorang agen AI yang diberi tugas menganalisis laporan keuangan mungkin akan membutuhkan akses ke berbagai sistem yang berbeda-beda—dan izinnya bisa “tumbuh” seiring waktu, sama seperti manusia yang mendapatkan tanggung jawab lebih dalam sebuah proyek .
3. Risiko yang Mengintai Lapisan Identitas
Data menunjukkan bahwa 75 persen serangan siber kini memanfaatkan ancaman berbasis identitas, dan 90 persen organisasi pernah mengalami insiden keamanan terkait identitas dalam 12 bulan terakhir .
Yang lebih mengkhawatirkan: 97 persen organisasi yang mengalami pelanggaran pada aplikasi AI mereka tidak memiliki kontrol akses apa pun. Ini seperti membiarkan pintu rumah terbuka lebar, lalu heran ketika ada yang masuk.
Prinsip Dasar IAM untuk Platform AI
1. Least Privilege: Izin Minimal, Bukan Maksimal
Prinsip paling fundamental dalam IAM adalah memberikan izin seminimal mungkin—hanya apa yang benar-benar dibutuhkan untuk menjalankan tugas. Ini berlaku baik untuk manusia maupun agen AI .
“AI agents, no matter how useful, are still limited to a ‘need to know’ basis,” tegas laporan dari Fortra . Memberi agen AI akses terlalu luas mungkin membuatnya “lebih produktif”, tetapi risikonya jauh lebih besar jika akun tersebut disusupi.
2. Setiap Agen Harus Punya Identitas dan Pemilik yang Jelas
Solusi IAM modern mendorong perusahaan untuk mendaftarkan setiap agen AI kepada pemilik yang bertanggung jawab, memastikan setiap operasi dapat dilacak . Tanpa kepemilikan yang jelas, agen AI berisiko menjadi “identitas yatim”—dibuat, lalu ditinggalkan tanpa pengelolaan .
3. Otentikasi Tanpa Kredensial Statis
Cara lama menyimpan kunci API di file konfigurasi sudah usang dan berbahaya. Pendekatan modern menggunakan managed identities atau secretless access tokens yang diberikan secara just-in-time (tepat waktu) . Token ini otomatis kedaluwarsa dalam waktu singkat, sehingga membatasi dampak jika terjadi kebocoran .
Izin saja tidak cukup. Organisasi perlu memantau perilaku agen AI secara terus-menerus untuk mendeteksi anomali—misalnya, agen yang tiba-tiba mengakses data di luar ruang lingkup tugasnya .
5. Kontrol Akses Kontekstual
Tidak semua permintaan akses sama. Menggunakan AI untuk pertanyaan sederhana berbeda risikonya dengan fine-tuning model atau menghapus data. Kebijakan akses harus menyesuaikan dengan konteks: lokasi, perangkat, jam kerja, dan tingkat risiko permintaan . Pendekatan ini memungkinkan dynamic authorization—izin yang berubah sesuai situasi .
Ancaman Khusus di Lapisan Identitas AI
Overprivileged Accounts: Masalah yang Masih Mengakar
Meski prinsip least privilege sudah dikenal luas, praktiknya masih jauh dari ideal. Akun yang memiliki izin berlebihan menjadi sasaran empuk penyerang. Setelah akun berhasil diretas, tidak ada lagi “benteng” yang menghalangi penyerang untuk bergerak ke sistem lain .
Shadow AI: Identitas yang Tidak Terkelola
Fenomena Shadow AI—penggunaan alat AI tanpa pengawasan institusi—semakin memperparah masalah identitas . Karyawan yang menggunakan ChatGPT atau alat AI lainnya atas inisiatif sendiri menciptakan identitas dan aliran data yang tidak terlihat oleh tim keamanan . Ini adalah celah besar yang dapat dimanfaatkan penyerang .
Pendekatan Praktis Implementasi IAM untuk AI
1. Mulai dengan Discovery
Anda tidak bisa mengamankan apa yang tidak Anda ketahui. Gunakan alat untuk menemukan identitas non-manusia yang berjalan di lingkungan Anda—termasuk agen AI, akun layanan, dan integrasi pihak ketiga .
2. Terapkan Zero Trust untuk AI
Prinsip never trust, always verify harus diterapkan pada setiap permintaan akses, baik dari manusia maupun mesin . Setiap permintaan dinilai secara independen berdasarkan identitas, perangkat, dan konteks .
3. Automasi dengan AI untuk IAM
Ironisnya, AI juga bisa menjadi solusi. Platform IAM modern menggunakan AI untuk:
Mendeteksi anomali perilaku secara real-time
Mengotomatiskan access review dan rekomendasi izin
Mengidentifikasi dan mengoreksi konfigurasi IAM yang salah
4. Libatkan Manusia dalam Pengambilan Keputusan Kritis
Indonesia sendiri mendorong pendekatan human-in-the-loop sebagai standar utama dalam tata kelola AI . Untuk keputusan berisiko tinggi, manusia tetap harus terlibat—memberikan persetujuan akhir, mengoreksi, dan bertanggung jawab atas hasil .
Kesimpulan
Identity and Access Management untuk platform AI bukanlah sekadar “mengunci pintu” dengan lebih ketat. Ini tentang memahami siapa dan apa yang bergerak di dalam organisasi, lalu memastikan setiap entitas—baik manusia maupun agen AI—hanya memiliki akses yang benar-benar diperlukan.
Di tengah lonjakan identitas mesin yang mencapai 82 banding 1 dibandingkan manusia , organisasi tidak bisa lagi mengabaikan IAM untuk AI. Yang dipertaruhkan bukan hanya data, tetapi reputasi, kepatuhan regulasi, dan kepercayaan publik .
Dengan menerapkan prinsip least privilege, pemantauan berkelanjutan, dan pendekatan zero trust, organisasi dapat memanfaatkan potensi AI secara aman—tanpa kehilangan kendali atas siapa yang punya akses ke apa.
Buletin Siber adalah publikasi keamanan siber yang menyajikan analisis mendalam tentang isu-isu terkini di dunia digital. Ikuti terus artikel-artikel kami untuk tetap waspada di era kecerdasan buatan.
