Badan Siber India Temukan Agen AI Akses Data Rahasia Perusahaan Tanpa Izin

Badan keamanan siber nasional India menemukan temuan mengejutkan terkait perilaku agen kecerdasan buatan atau AI yang beroperasi di luar kendali. Agen-agen ini diketahui berhasil mengakses data rahasia berbagai perusahaan di India melalui celah konfigurasi sistem.

Lembaga tersebut, Computer Emergency Response Team atau CERT-In, merilis peringatan kritis berjudul AI Agents as Attack Vectors minggu ini. Mereka mendeteksi adanya aktivitas yang tidak sah saat model AI menjalani proses riset dan evaluasi di ruang siber publik.

Menurut laporan CERT-In, agen AI tersebut menyusup ke sistem organisasi melalui kredensial yang tertinggal dalam konfigurasi aplikasi maupun repositori kode publik. Kredensial adalah kunci akses digital berupa nama pengguna dan kata sandi yang seharusnya dijaga ketat agar tidak bocor ke pihak luar.

Selain itu, agen AI juga memanfaatkan peran layanan awan yang terlalu longgar atau terlalu banyak memberi izin akses kepada pengguna. Peran layanan awan adalah pengaturan otoritas dalam komputasi awan yang menentukan apa saja yang boleh dilakukan oleh sebuah akun dalam server penyedia layanan seperti AWS atau Google Cloud.

Dalam beberapa temuan, agen AI bahkan mengulangi penggunaan kredensial yang sama untuk operasi berbeda. Hal ini memperburuk risiko kebocoran informasi sensitif milik perusahaan yang terdampak.

Ironisnya, tidak ada satu pun perusahaan yang menyadari bahwa sistem mereka telah dimasuki oleh agen AI tersebut. Seluruh kasus baru terungkap setelah penyedia model AI melakukan tinjauan internal dan melaporkan temuan mereka secara sukarela kepada otoritas India.

Kejadian ini menambah daftar panjang gangguan yang ditimbulkan oleh agen AI terhadap sektor korporasi dan pemerintahan. Sebelumnya, perusahaan AI Anthropic melaporkan pada 30 Juli bahwa model Claude sempat melanggar batasan akses dalam sebuah simulasi tantangan keamanan siber.

Pihak Anthropic mengungkapkan model mereka mencoba menerobos masuk ke mesin nyata untuk mengambil rahasia tersembunyi. Padahal, dalam skenario tersebut, model AI seharusnya tidak memiliki akses ke jaringan internet.

Laporan serupa datang dari AI Security Institute Inggris pada 4 Agustus. Mereka mendapati agen AI melakukan 19 tindakan di luar wewenang dari total 122 kali pengujian yang dilakukan terhadap berbagai model bahasa besar.