Mendeteksi Shadow AI melalui Analisis Trafik Jaringan

Pendahuluan

Bayangkan seorang karyawan sedang asyik menyalin data pelanggan ke ChatGPT untuk diringkas, atau seorang programmer mengirimkan kode sumber perusahaan ke alat AI coding agar pekerjaannya lebih cepat. Semua ini terjadi tanpa sepengetahuan tim IT. Inilah yang disebut Shadow AI—penggunaan alat kecerdasan buatan di luar pengawasan dan persetujuan institusi.

Untungnya, ada satu hal yang tidak bisa disembunyikan oleh aktivitas ini: trafik jaringan. Setiap kali seseorang mengakses layanan AI dari luar, pasti ada data yang keluar dari jaringan perusahaan. Di sinilah analisis trafik jaringan menjadi senjata utama untuk mendeteksi Shadow AI.

Mengapa Harus Lewat Jaringan?

Banyak alat keamanan berfokus pada perangkat (endpoint). Namun, ada keterbatasan: alat seperti EDR hanya terpasang di perangkat yang diawasi, dan tidak semua perangkat bisa dipasangi agen keamanan.

Jaringan berbeda. Jaringan melihat segalanya. Jika sebuah layanan mengirim data ke server luar, sensor jaringan akan mengetahuinya—baik itu dari laptop karyawan, server内部, atau bahkan perangkat yang tidak terkelola. Prinsip dasarnya sederhana: Anda tidak bisa mengatur apa yang tidak bisa Anda lihat. Deteksi Shadow AI mengubah lalu lintas yang tidak terlihat menjadi inventaris yang terstruktur dan bisa ditindaklanjuti.

Jenis Data yang Bisa Dideteksi dari Jaringan

Analisis trafik jaringan bisa menangkap berbagai jenis aktivitas AI yang mencurigakan. Berikut beberapa contohnya:

Bagaimana Cara Kerja Deteksi?

Proses deteksi Shadow AI melalui jaringan bisa dibagi menjadi beberapa langkah:

1. Mengumpulkan Data Jaringan

Langkah pertama adalah mengumpulkan berbagai jenis log dari perangkat jaringan:

• Log DNS: Mencatat semua permintaan domain dari perangkat di jaringan. Ini adalah sumber data paling dasar untuk melihat siapa mengakses situs AI apa.

• Log Firewall/Proxy: Mencatat koneksi keluar, termasuk port dan protokol yang digunakan.

• NetFlow/SNI: Data aliran jaringan yang memberikan informasi tentang volume dan pola komunikasi.

2. Mencocokkan dengan Daftar Layanan AI

Platform keamanan modern memiliki katalog layanan AI yang sangat luas. Misalnya, Corelight mendeteksi lebih dari 80 layanan AI baru melalui aturan domain, mencakup 13 kategori seperti API LLM komersial, penyedia AI Tiongkok, proxy AI, dan alat coding. Microsoft juga menyediakan fitur serupa melalui Global Secure Access, yang secara otomatis mengidentifikasi traffic ke layanan AI dan memberikan skor risiko berdasarkan faktor keamanan dan kepatuhan.

3. Menganalisis Pola dan Anomali

Deteksi tidak hanya tentang “siapa yang mengakses AI”, tapi juga bagaimana dan seberapa banyak. Beberapa sinyal penting yang perlu diperhatikan:

• Pertama kali terlihat: Koneksi pertama ke penyedia model AI yang sebelumnya tidak pernah muncul.

• Volume data yang tidak wajar: Upload data dalam jumlah besar ke layanan AI, terutama dari departemen yang menangani data sensitif seperti HR atau keuangan.

• Traffic dari server internal: Server yang seharusnya tidak memanggil API AI eksternal tiba-tiba melakukannya.

• Penggunaan DoH (DNS over HTTPS): Karyawan yang menggunakan enkripsi DNS mungkin berusaha menyembunyikan aktivitas mereka.

4. Memberi Skor Risiko

Setelah traffic teridentifikasi, sistem akan memberi peringkat risiko. Ini membantu tim keamanan memprioritaskan mana yang harus segera ditindaklanjuti:

• Risiko tinggi: Data keluar ke infrastruktur luar negeri (kekhawatiran kedaulatan data), atau penggunaan proxy AI yang sengaja menyembunyikan tujuan akhir.

• Risiko sedang: Kode sumber mengalir ke alat coding AI tanpa pengawasan DLP, atau agen AI otonom yang bisa bertindak tanpa kontrol manusia.

5. Visualisasi dan Tindakan

Hasil akhirnya biasanya ditampilkan dalam dashboard yang menunjukkan: aplikasi AI apa yang digunakan, oleh siapa, berapa banyak data yang dikirim, dan tingkat risikonya. Dari sini, tim bisa mengambil tindakan seperti mengedukasi pengguna, memblokir akses, atau mengarahkan ke alat yang sudah disetujui.

Teknologi di Balik Layar

Beberapa alat dan pendekatan yang digunakan untuk mendeteksi Shadow AI di jaringan:

• Wazuh dengan aturan kustom: Ada proyek open-source yang menyediakan dekoder dan aturan deteksi untuk menangkap aktivitas Shadow AI di level DNS dan egress traffic.

• Machine Learning: Untuk jaringan berskala besar, algoritma ML bisa belajar pola normal dan mendeteksi anomali yang mungkin terlewat oleh aturan statis.

• SWG / Secure Web Gateway: Bisa memeriksa traffic web secara inline, sehingga bisa memblokir akses ke layanan AI yang tidak disetujui sebelum data terkirim.

Batasan dan Tantangan

Meski kuat, analisis jaringan saja tidak cukup. Ada beberapa batasan:

• Tidak melihat isi prompt: Untuk mengetahui apa yang sebenarnya diketik pengguna ke AI, perlu inspeksi payload yang lebih dalam (misalnya TLS inspection).

• Traffic terenkripsi: Banyak traffic AI menggunakan HTTPS, sehingga hanya metadata (domain, volume) yang terlihat, bukan isi percakapan.

• Model lokal: AI yang dijalankan secara lokal di perangkat tidak menghasilkan traffic keluar, sehingga luput dari deteksi jaringan.

Karena itu, pendekatan terbaik adalah kombinasi: network detection untuk inventaris luas, dipadukan dengan endpoint/browser telemetry untuk detail mendalam.

Kesimpulan

Mendeteksi Shadow AI melalui analisis trafik jaringan adalah langkah paling praktis untuk mulai melihat apa yang sebenarnya terjadi di organisasi Anda. Dengan mengumpulkan log DNS, proxy, dan firewall, lalu mencocokkannya dengan katalog layanan AI yang terus diperbarui, Anda bisa mengungkap penggunaan AI yang tidak terkelola.

Deteksi ini adalah fondasi: setelah Anda tahu apa yang digunakan dan oleh siapa, barulah tata kelola dan kebijakan bisa ditegakkan. Ingat, Anda tidak bisa mengatur apa yang tidak bisa Anda lihat—dan jaringan adalah kunci untuk melihat Shadow AI.