AI Tidak Menciptakan Masalah Keamanan Baru. Ia Hanya Mempercepatnya.

Setiap tahun sekitar waktu ini, saya menerima berbagai versi pertanyaan yang sama dari klien: \”Apa ancaman AI baru yang perlu kami khawatirkan?\” Itu pertanyaan yang wajar. Berita tentang serangan agenik, malware otonom, dan penipuan berbasis AI membuat seolah-olah kategori risiko yang sepenuhnya baru muncul dalam semalam. Namun setelah tiga dekade di industri ini, saya akan menolak kerangka tersebut. AI tidak memberikan penyerang buku pedoman baru. Ia memberikan mereka salinan yang lebih cepat dari yang lama.

Pertimbangkan dasar-dasar yang selalu penting dalam keamanan siber: siapa yang memiliki akses ke apa, seberapa cepat Anda dapat mendeteksi sesuatu yang tidak biasa, dan seberapa cepat Anda dapat pulih ketika sesuatu berjalan salah. Tidak ada yang berubah. Yang berubah adalah kecepatan jam. Phishing dulu memakan waktu satu jam manusia untuk menulis dan mengirim. Sekarang dapat dihasilkan, dipersonalisasi, dan diterapkan dalam hitungan detik. Malware yang dulu memerlukan pengembang terampil untuk menyesuaikan dapat kini menulis ulang dirinya secara langsung. Metode serangan familiar. Kecepatan inilah yang seharusnya membuat Anda terjaga di malam hari.

Kecepatan Serangan Telah Memadat, Bukan Taktiknya

Saya tidak mengatakan ini berdasarkan dugaan. Data dari 2025 dan awal 2026 menyampaikan cerita yang konsisten: kategori serangan yang sama, dilaksanakan jauh lebih cepat. Tim intelijen ancaman Cofense mendokumentasikan sebuah serangan email berbahaya yang terjadi setiap 19 detik pada 2025, lebih dari dua kali kecepatan yang diukur hanya setahun sebelumnya. Itu bukan jenis serangan baru. Itu adalah phishing, teknik yang sama yang telah dipertahankan selama dua dekade, kini muncul dengan volume dan irama yang tidak pernah dapat ditangani oleh triase manual.

Sisi akses dari persamaan ini juga memadat dengan cepat. Mandiant milik Google Cloud, yang mengandalkan lebih dari 500.000 jam respons insiden garis depan, menemukan dalam laporan M-Trends 2026 bahwa jendela antara penyerang memperoleh akses awal dan menyerahkan akses tersebut ke aktor ancaman lanjutan telah turun menjadi sekitar 22 detik, turun dari lebih dari delapan jam beberapa tahun lalu. Celah apa pun yang sebelumnya ada antara “kami memperhatikan sesuatu yang aneh” dan “kerusakan sudah terjadi” kini secara efektif menghilang.

World Economic Forum’s Outlook Keamanan Siber Global 2026, yang diproduksi bersama Accenture, menangkap pandangan kepemimpinan atas pergeseran ini: 94% eksekutif yang disurvei kini menganggap AI sebagai faktor paling signifikan yang mendorong perubahan dalam keamanan siber untuk tahun mendatang. Sementara itu, IBM’s penelitian Cost of a Data Breach menemukan bahwa proporsi mencolok dari pelanggaran terkait AI berakar pada celah kontrol akses yang tidak terkait dengan eksploitasi AI baru. Dengan kata lain, titik masuknya masih pintu lama yang sama. Hanya saja kini dibuka lebih cepat.

Saya rasa banyak organisasi salah mendiagnosis masalah, dan kesalahan diagnosis itu berbahaya. Jika kepemimpinan percaya keamanan AI adalah disiplin baru yang memerlukan seperangkat alat yang sepenuhnya baru, mereka akan mengejar solusi titik dan tawaran vendor alih-alih memperkuat dasar-dasar yang sudah rapuh. Saya lebih suka melihat perusahaan mengajukan pertanyaan yang lebih berguna: apakah kontrol identitas dan akses kami cukup kuat untuk menahan penyerang yang tidak pernah tidur, tidak pernah lelah, dan tidak pernah membuat kesalahan ketik?

Itulah inti sebenarnya. Pencurian kredensial dan risiko orang dalam telah meningkat selama bertahun‑tahun, jauh sebelum AI agenik masuk dalam percakapan. Otentikasi multi‑faktor, patching, pemantauan identitas, dan akses hak paling rendah bukan ide baru. Mereka adalah dasar yang sama yang telah kami sampaikan sejak masa awal keamanan terkelola. Yang berbeda sekarang adalah kredensial yang dikompromikan di tangan alat berbasis AI tidak berdiam diam selama berminggu‑minggu sementara aktor ancaman manusia merencanakan langkah berikutnya. Ia bergerak segera, dengan kecepatan mesin, menyelidiki celah berikutnya sebelum tim Anda selesai minum kopi pagi.

Penyebaran Identitas dan Identitas Non-Manusia Memperluas Permukaan Serangan

Ini juga tempat agen AI otonom memperumit model identitas yang sudah tegang. Agen mengautentikasi dengan kunci API, akun layanan, dan token OAuth alih-alih nama pengguna dan kata sandi, dan identitas non-manusia tersebut berkembang di dalam perusahaan jauh lebih cepat daripada proses tata kelola yang dirancang untuk melacaknya. Analisis dampak AI agenik pada penyebaran identitas menunjukkan masalah akar yang sama yang saya lihat di lingkungan klien: organisasi yang sudah kesulitan menginventarisasi akun layanan mereka kini menciptakan identitas mesin baru dengan kecepatan yang membuat pengawasan manual menjadi tidak mungkin.

Tiga Langkah Praktis untuk Memperkuat Dasar Operasional

Jadi apa artinya secara praktis? Pertama, hentikan memperlakukan \”keamanan AI\” sebagai item terpisah dalam program keamanan Anda. Itu bukan tambahan. Itu adalah akselerator untuk pekerjaan tata kelola yang seharusnya sudah Anda lakukan. Jika program identitas Anda memiliki celah, AI akan menemukannya lebih cepat daripada manusia mana pun. Jika siklus patch Anda lambat, pengintaian berbantu AI akan memanfaatkan keterlambatan itu sebelum jendela perubahan berikutnya.

Kedua, ubah pola pikir Anda dari hanya deteksi menjadi ketahanan. Saya selalu mengatakan ini kepada klien: anggap Anda akan dikompromikan dan bangun untuk apa yang terjadi selanjutnya. Deteksi penting, tetapi tidak dapat lagi menjadi satu-satunya garis pertahanan Anda, terutama ketika penyerang dapat menyesuaikan pendekatan mereka secara real time. Organisasi yang dapat mengatasi hal ini dengan baik adalah yang memiliki rencana respons insiden yang teruji, cadangan yang bersih, dan pemahaman jelas tentang seperti apa “pemulihan” sebelum mereka membutuhkannya. Itu bukan strategi AI. Itu hanya disiplin operasional yang baik yang kini menjadi lebih mendesak.

Ketiga, jujurlah tentang pemodelan ancaman yang sadar AI di organisasi Anda. Itu berarti meninjau setiap sistem, alur kerja, dan integrasi pihak ketiga serta mengajukan pertanyaan sederhana: jika seorang penyerang menggunakan AI untuk bergerak lebih cepat di sini, apa yang akan rusak pertama kali? Bagi banyak perusahaan menengah, jawaban jujur itu tidak nyaman. Kebijakan akses warisan, kontrak vendor yang meluas, dan proses pemantauan manual dapat ditoleransi ketika serangan bergerak dengan kecepatan manusia. Sekarang mereka menjadi beban.

Ada percakapan yang lebih luas percakapan industri yang sedang berlangsung saat ini tentang bagaimana sebenarnya mengatur sistem otonom daripada hanya manusia yang mengoperasikannya. Percakapan itu penting karena AI agen tidak hanya menambah alat baru untuk pertahanan; ia mengubah siapa atau apa yang mengambil tindakan dalam lingkungan Anda. Menganggap setiap agen AI sebagai identitas terpisah, dengan siklus hidup, hak akses, dan baseline perilaku sendiri, dengan cepat menjadi hal mendasar bukan sekadar tambahan yang menyenangkan. Organisasi yang sudah melakukan ini berada pada posisi terbaik untuk mengadopsi alat agen tanpa mewarisi permukaan serangan yang tidak diatur.

2026 sudah menunjukkan kepada kita bahwa serangan berbasis AI memang nyata, mereka berkembang, dan tidak akan menghilang. Namun saya lebih suka melihat tim kepemimpinan menghabiskan energi mereka memperkuat dasar-dasar daripada mencari alat pertahanan AI serba‑bisa yang menjanjikan solusi untuk masalah yang seharusnya sudah ditangani oleh dasar-dasar tersebut bertahun‑tahun yang lalu.

Kenyataan yang tidak nyaman adalah bahwa sebagian besar pelanggaran masih berakar pada penyebab utama yang sama seperti biasanya: patch yang terlewat, akun dengan hak berlebih, celah dalam pemantauan, rencana yang belum pernah diuji. AI tidak menulis ulang cerita itu. Ia hanya membuat konsekuensi dari mengabaikannya datang jauh lebih cepat.

Jika ada satu hal yang ingin saya sampaikan kepada setiap pemimpin bisnis saat ini, itu adalah: jangan biarkan kata \”AI\” mengalihkan perhatian Anda dari pekerjaan yang sudah Anda ketahui perlu dilakukan. Perkuat identitas. Bangun ketahanan, bukan hanya deteksi. Dan asumsikan, setiap hari, bahwa penyerang tercepat yang akan Anda hadapi adalah yang tidak pernah harus berhenti dan berpikir.