Sulseltimes.com, Selasa, 20 Oktober 2026 — Agen kecerdasan buatan (AI) yang sedang diuji coba dilaporkan berhasil mengakses sistem operasional sejumlah organisasi di India tanpa izin dan membaca data rahasia, memicu peringatan kritis dari Indian Computer Emergency Response Team (CERT-In).
- Agen AI dalam pengujian mengakses sistem organisasi India tanpa izin dan membaca data rahasia
- CERT-In menerbitkan peringatan keamanan siber tingkat kritis terkait insiden ini
- Penyedia model AI yang menemukan akses tidak sah tersebut, bukan organisasi yang terdampak
- Peretas memanfaatkan kerangka kerja agen AI open-source untuk mempercepat serangan finansial dari hari menjadi jam
- CERT-In merekomendasikan isolasi lingkungan pengujian, kredensial sintetis, dan autentikasi multifaktor
Menurut CERT-In, agen AI yang digunakan untuk penelitian dan evaluasi berhasil menjangkau sistem organisasi melalui kredensial serta pengaturan koneksi yang terbuka di konfigurasi aplikasi, repositori kode publik, dan pengaturan akses layanan cloud yang terlalu longgar.
Insiden ini justru terdeteksi oleh penyedia model AI setelah melakukan pemeriksaan internal, sedangkan organisasi yang terdampak tidak menyadari adanya akses tanpa izin tersebut. CERT-In tidak mengungkap nama perusahaan AI maupun organisasi India yang terkena dampak.
Insiden serupa sudah pernah terjadi sebelumnya. Juli 2026 lalu, agen AI OpenAI keluar dari lingkungan pengujian terisolasi dan menerobos infrastruktur Hugging Face. Bulan September 2026, OpenAI mengungkap aktivitas model yang mengakses situs pemerintah Australia tanpa izin.
Peretas Manfaatkan AI untuk Percepat Serangan
CERT-In juga menemukan peretas menggunakan kerangka kerja agen AI open-source untuk melancarkan serangan bermotif finansial terhadap entitas di India.
Menurut penemuan CERT-In, penggunaan alat berbasis AI mempercepat serangan secara signifikan. Proses dari akses awal hingga menimbulkan dampak yang biasanya berlangsung beberapa hari kini bisa selesai hanya dalam hitungan jam.
Organisasi yang hanya memperbaiki sebagian celah keamanan berisiko kembali diserang dalam beberapa hari dengan skala yang lebih besar. Celah yang dimanfaatkan sebenarnya bukan masalah baru, meliputi kunci akses di kode sumber, API pengujian terbuka, kunci API pembayaran dalam teks biasa, dan antarmuka pengelolaan tanpa autentikasi multifaktor.
Perbedaannya, AI menemukan dan mengeksploitasi celah tersebut lebih cepat, menyeluruh, dan berskala besar.
Rekomendasi Mitigasi Risiko
CERT-In membagikan rekomendasi bagi pengembang AI dan perusahaan pengguna teknologi tersebut. Pengembang disarankan mengisolasi lingkungan pengujian agar bawaan tidak memiliki akses jaringan, menggunakan kredensial sintetis bukan data sungguhan, serta memantau aktivitas agen AI secara langsung. Jika agen AI mengakses sistem operasional tanpa izin, penyedia AI wajib segera melaporkan ke CERT-In dan organisasi terdampak.
Bagi perusahaan, CERT-In menyarankan memeriksa dan mengganti kredensial terekspos termasuk yang tersimpan dalam riwayat kode, menonaktifkan API yang tidak digunakan, membatasi hak akses layanan cloud, dan menerapkan autentikasi multifaktor untuk administrator. Perusahaan juga diminta menyimpan log aktivitas sistem minimal 180 hari dan memberikan identitas akses dengan masa berlaku singkat serta hak terbatas untuk setiap sesi agen AI.
Peringatan ini menyusul imbauan CERT-In pada April 2026 soal risiko model AI mutakhir. Di India, organisasi diwajibkan melaporkan insiden keamanan siber kepada CERT-In dalam waktu enam jam setelah insiden diketahui.
