Agen AI Mulai Jadi Tenaga Kerja, SailPoint Minta Perusahaan Batasi Hak Akses

Perkembangan kecerdasan buatan (AI) dan penggunaan agen AI sebagai tenaga kerja digital membuat perusahaan perlu mengubah pendekatan keamanan identitas. Pengelolaan keamanan tidak lagi cukup berfokus pada identitas manusia, tetapi juga harus mencakup identitas nonmanusia yang digunakan agen AI.

Senior Vice President, General Manager Asia Pacific & Japan SailPoint, Chern-Yue Boey, mengatakan pendekatan keamanan identitas yang selama ini digunakan untuk manusia tidak dapat diterapkan begitu saja kepada agen AI.

“Anda benar-benar perlu juga mengelola digital workforce dengan cara yang sama seperti Anda mengelola identitas dan workforce di organisasi,” kata Boey.

Menurut Boey, tenaga kerja digital maupun manusia hanya boleh memiliki hak akses yang dibutuhkan untuk menjalankan pekerjaannya. Hak tersebut juga seharusnya diberikan ketika akses memang diperlukan.

Pendekatan itu dinilai penting untuk membatasi dampak apabila agen AI dibajak. Karena itu, perusahaan perlu mengetahui jumlah agen AI yang digunakan, aktivitas yang dilakukan, serta kesesuaian hak akses dengan tugas masing-masing agen.

Selain itu, perusahaan perlu menerapkan prinsip immutable human ownership, yakni memastikan selalu ada manusia yang bertanggung jawab atas setiap agen AI.

“Seseorang harus bertanggung jawab atas AI worker. Anda tidak dapat mengirim agen AI ke penjara, tetapi Anda membutuhkan seseorang yang bertanggung jawab,” ujarnya.

Perusahaan juga perlu mencatat seluruh tindakan yang dilakukan agen AI. Catatan tersebut diperlukan untuk kebutuhan audit, penanganan pelanggaran keamanan, hingga proses remediasi.

Tiga Lapisan Keamanan Identitas

SailPoint mengembangkan pendekatan keamanan identitas yang mencakup discovery, governance, serta perlindungan dan remediasi.

Pada tahap discovery, perusahaan perlu memiliki visibilitas terhadap seluruh identitas yang berada di lingkungan organisasi. Identitas tersebut tidak hanya mencakup karyawan, kontraktor, dan pekerja sementara, tetapi juga agen AI, mesin, akun, token, API key, hingga secrets.

“Anda tidak dapat melakukan governance terhadap sesuatu yang tidak dapat Anda lihat,” kata Boey.

Menurutnya, visibilitas menjadi penting karena token dan API key merupakan kredensial yang digunakan agen AI untuk mengakses aplikasi. Perusahaan juga perlu mengetahui hubungan antara identitas manusia dengan agen AI yang bekerja untuk mereka.

Setelah seluruh identitas teridentifikasi, perusahaan perlu mengelolanya melalui governance. Untuk agen AI, hak akses idealnya mengikuti hak akses pemilik manusianya. Ketika seorang pengguna memicu agen, agen tersebut seharusnya hanya menggunakan hak akses pengguna tersebut dan bukan hak akses pengguna lain.

Pendekatan tersebut diperkuat dengan konsep Zero Standing Privilege dan Just-in-Time Privilege. Agen AI seharusnya tidak memiliki hak akses ketika tidak sedang menjalankan pekerjaan. Akses baru diberikan ketika agen menjalankan tugas yang telah diotorisasi.

“Jika agen tersebut dibajak, dengan tidak adanya standing privilege, mereka tidak dapat melakukan apa pun,” ujarnya.

Perusahaan juga perlu memantau perilaku agen AI selama menjalankan tugas. Jika agen melakukan tindakan yang tidak sesuai atau mengalami drift, sistem harus dapat mendeteksi dan mengambil tindakan. SailPoint mengatakan dapat melacak perilaku agen AI dan menghentikan tindakan ketika tingkat risiko meningkat sebelum meminta keputusan dari pemilik manusia.

Keamanan AI Tak Bisa Hanya Dibebankan ke Tim IT

Boey mengatakan implementasi keamanan identitas masih menghadapi tantangan karena sebagian perusahaan belum memiliki platform keamanan identitas modern dan komprehensif, bahkan untuk mengelola identitas manusia.

Tantangan tersebut menjadi lebih besar pada identitas nonmanusia karena jumlah serta kecepatan aktivitas agen AI jauh lebih tinggi.

Menurut dia, keamanan agen AI juga tidak dapat hanya menjadi tanggung jawab tim keamanan. Karena agen AI bersifat non-deterministic, aspek keamanan perlu dimasukkan sejak tahap pengembangan.

“AI agent builder perlu memasukkan keamanan pada saat pengembangan,” katanya.

Siklus pengembangan agen AI dan pengelolaan identitas, lanjut Boey, perlu berjalan secara berkesinambungan. Perusahaan juga perlu menghindari penggunaan terlalu banyak solusi terpisah untuk discovery dan governance karena dapat menghilangkan gambaran menyeluruh mengenai identitas dan hubungan di dalam organisasi.

SailPoint mendorong penggunaan unified data model yang menempatkan seluruh identitas dan hubungan dalam model data yang sama sehingga perusahaan memiliki satu tampilan menyeluruh.

Boey mengatakan tingkat kesiapan perusahaan di Indonesia masih beragam. Perusahaan yang telah memahami keamanan identitas manusia dinilai lebih cepat memperluas pendekatan tersebut ke identitas nonmanusia.

Ia juga mengatakan OJK telah memiliki panduan terkait implementasi agen AI di bank dan lembaga keuangan, sementara panduan khusus mengenai keamanan agen AI belum ditetapkan. Karena itu, perusahaan perlu mulai menyiapkan kerangka kerja dan perangkat yang memungkinkan governance sekaligus kesiapan menghadapi audit.

“Kalau Anda tahu bahwa itu akan datang, perusahaan harus mulai berpikir bagaimana menyiapkan kerangka kerja dan alat yang memungkinkan mereka melakukan governance terhadap semua hal tersebut serta bersiap menghadapi audit,” ujarnya.

Baca Juga: AI Bikin Kesenjangan Teknologi Makin Lebar, Negara Berkembang Diminta Tak Cuma Jadi Konsumen

Baca Juga: Meutya Hafid Ungkap 5 Arah AI Indonesia, dari Produktivitas hingga Ketahanan

Boey mencontohkan praktik di SailPoint. Karyawan diperbolehkan menggunakan berbagai perangkat AI, tetapi pekerjaan internal yang menggunakan data SailPoint wajib menggunakan AI yang telah disetujui perusahaan.

Jika karyawan mencoba mengunggah data SailPoint ke AI yang tidak disetujui, sistem akan memberikan peringatan dan menghentikan tindakan tersebut. Pendekatan itu sekaligus membantu perusahaan menemukan shadow AI, termasuk AI tools yang tidak disetujui, LLM, endpoint, maupun agen AI yang dipasang pada perangkat.