Data exfiltration, atau kebocoran data secara tidak sah dari dalam organisasi ke pihak luar, kini memiliki jalur baru yang makin sulit dideteksi: Shadow AI. Fenomena penggunaan alat kecerdasan buatan tanpa sepengetahuan tim TI ini bukan lagi sekadar pelanggaran aturan, melainkan pintu keluar bagi data-data paling berharga perusahaan, mulai dari kode sumber hingga data pelanggan.

Mengapa Shadow AI Jadi Jalur Bocor yang Berbahaya?

Berbeda dengan shadow IT di masa lalu yang hanya “menyimpan” data di tempat tidak resmi, Shadow AI memproses data secara aktif. Ketika karyawan menempelkan kode rahasia atau daftar pelanggan ke chatbot publik, data itu tidak hanya berpindah, tetapi bisa disimpan, dipelajari, dan bahkan “dihafal” oleh model AI .

Bayangkan skenario ini: seorang insinyur menempelkan 300 baris kode sumber ke ChatGPT untuk mencari bug. Data itu bergerak sebagai lalu lintas HTTPS biasa, tidak terlihat berbeda dari browsing web normal oleh alat keamanan tradisional . Dalam hitungan detik, kode yang menjadi “jantung” produk perusahaan itu sudah berada di server pihak ketiga—dan bisa muncul kembali sebagai jawaban untuk pengguna lain di masa depan .

Kasus nyata: Insiden Samsung 2023 menjadi peringatan. Insinyur Samsung menempelkan kode sumber rahasia dan transkrip rapat internal ke ChatGPT, menyebabkan kebocoran informasi eksklusif. Perusahaan terpaksa melarang alat AI generatif, tapi data yang bocor sudah tidak bisa ditarik kembali .

Skala Masalah: Data yang Mengkhawatirkan

Berbagai laporan terbaru mengungkap betapa meluasnya ancaman ini:

Biaya tambahan per insiden kebocoran dengan Shadow AI rata-rata US$670.000 lebih tinggi dari kebocoran biasa .

Tiga Jalur Exfiltration yang Paling Umum

1. Kebocoran Melalui Prompt dan Upload

Ini adalah jalur paling sederhana dan paling umum. Karyawan menempelkan data ke prompt atau mengunggah file ke AI publik. Data jenis yang paling sering bocor adalah kode sumber—mencapai 3.2% dari seluruh pelanggaran dalam dataset Verizon DBIR . Ini bukan kebetulan: engineer adalah pengguna AI terberat di organisasi, dan kebiasaan debugging dengan AI telah menjadi rutinitas sehari-hari .

2. Ekstensi Browser dan AI Tersembunyi

Ancaman yang lebih tidak terlihat: 73% ekstensi browser AI membawa izin tinggi atau kritis . Sebuah ekstensi yang menawarkan bantuan menulis mungkin secara diam-diam mengumpulkan semua konten yang Anda lihat di browser—termasuk data di aplikasi CRM, HR, atau keuangan—dan mengirimkannya ke pihak ketiga tanpa Anda sadari .

3. Agen AI Otonom (Shadow Agents)

Ini adalah evolusi paling berbahaya. Karyawan tidak lagi sekadar menempelkan data, tetapi men-deploy agen AI yang bertindak sendiri—membaca file, memanggil API, mengakses database, dan mengirim data ke luar .

Seorang analis yang membuat agen AI untuk mengambil data CRM setiap malam—jika ia keluar perusahaan, agen AI-nya bisa tetap berjalan tanpa sepengetahuan tim keamanan . 79% organisasi masih tidak memiliki visibilitas ke dalam agen AI yang beroperasi di lingkungan mereka .

Mengapa Alat Keamanan Tradisional Gagal?

Alat keamanan yang ada saat ini tidak dirancang untuk melihat, apalagi mengatur, ancaman ini 

Hasilnya: Sebagian besar organisasi menemukan paparan Shadow AI mereka melalui deteksi setelah kejadian, tanpa kemampuan untuk mencegah pada saat tindakan terjadi .

Apa yang Bisa Dilakukan?

Para ahli sepakat: melarang total tidak efektif—karyawan akan tetap menggunakan AI, hanya lebih sembunyi-sembunyi . Pendekatan yang lebih realistis adalah:

1. Visibilitas: Temukan Dulu, Baru Bertindak

• Identifikasi alat AI dan agen otonom yang berjalan di seluruh lingkungan 

  

• Pantau penggunaan akun pribadi—67% aktivitas Shadow AI terjadi melalui akun yang tidak terlihat IT 

• Audit ekstensi browser AI—20.63% pengguna enterprise memiliki setidaknya satu 

2. Kontrol: Blokir dan Batasi

• Gunakan kontrol di dalam sesi browser, bukan hanya di jaringan. Di sinilah konteks penuh terlihat: situs apa, akun apa, data apa yang diketik 

• Terapkan prinsip hak akses minimum untuk identitas non-manusia (token, API key) yang dibuat untuk agen AI 

3. Tata Kelola: Sediakan Alternatif yang Aman

• Sediakan alat AI enterprise yang aman—dengan jaminan data tidak digunakan untuk pelatihan model dan log audit 

• Buat kebijakan yang jelas—tentukan alat apa yang boleh digunakan dan data apa yang boleh diproses 

• Edukasi karyawan—jelaskan bahwa interaksi AI adalah peristiwa berbagi data 

4. Pantau Agen AI sebagai Ancaman Insider

• Perlakukan agen AI sebagai “insider operasional”—dengan identitas yang dikelola, akses terbatas, dan siklus hidup yang jelas 

• Inventarisasi agen secara berkelanjutan, bukan audit tahunan 

Kesimpulan

Shadow AI telah menjadi pintu baru bagi data exfiltration yang sulit dideteksi oleh alat keamanan tradisional. Dari prompt sederhana yang membawa kode sumber ke server pihak ketiga, hingga agen AI otonom yang terus berjalan bahkan setelah karyawan keluar—ancaman ini nyata dan sudah terjadi di sebagian besar perusahaan.

Kuncinya bukan melarang inovasi, tetapi mengarahkannya ke jalur yang aman. Dengan visibilitas yang baik, kontrol di titik yang tepat, dan budaya yang mendukung, perusahaan bisa menikmati kemudahan AI tanpa harus kehilangan kendali atas data paling berharganya.