Alat Keamanan AI Anda Tidak Melindungi Anda – Hanya Membuat Anda Merasa Lebih Baik

Pada Juni 2025, Microsoft memperbaiki CVE-2025-32711, lebih dikenal sebagai EchoLeak: kerentanan zero-click di Microsoft 365 Copilot, dengan skor 9,3 pada CVSS. Email yang dibuat, tidak pernah dibuka oleh korban, dapat membuat mesin pengambil Copilot mengeluarkan konteks sensitif yang diaksesnya. Detail yang harus mengkhawatirkan Anda: payload itu berjalan langsung melewati XPIA, klasifikasi injeksi prompt milik Microsoft, yang hadir, berjalan, dan bekerja tepat seperti yang dirancang.

Bruce Schneier memberikan kita kosakata untuk ini pada tahun 2009. Teater keamanan, tulisnya, menjelaskan langkah-langkah yang membuat orang merasa lebih aman tanpa melakukan apa pun untuk meningkatkan keamanan mereka. Perasaan dan kenyataan adalah dua hal yang berbeda, dan mereka berbeda.

Tujuh belas tahun kemudian, AI telah mengindustrialisasi perbedaan ini, di kedua sisi persamaan. Alat keamanan yang ditenagai AI dijual dengan kemampuan yang tidak dapat mereka tunjukkan di bawah pengukuran, dan alat keamanan untuk AI dijual sebagai solusi untuk masalah yang dokumentasi mereka sendiri mengakui tidak terpecahkan. Siklus hype Gartner 2025 menempatkan kepercayaan AI, manajemen risiko dan keamanan di puncak harapan yang menggelembung. Analis mengatakan kepada Anda di mana kita berada. Pertanyaannya adalah apa yang harus dilakukan tentang hal itu.

Gap antara lembar data dan pengukuran

Mulai dengan apa yang terjadi ketika seseorang menguji kontrol yang diterapkan bukan membaca pemasarannya.

Laporan Biru Picus 2025 menganalisis lebih dari 160 juta simulasi serangan dunia nyata yang dijalankan melawan lingkungan produksi pada paruh pertama tahun 2025. Picus menjual platform simulasi, jadi timbang sumbernya sesuai, tetapi angka-angka itu sulit untuk diabaikan. Efektivitas pencegahan rata-rata 62%, turun dari 69% setahun sebelumnya. Meskipun cakupan logging 54%, hanya 14% serangan simulasi yang menghasilkan peringatan. Serangan menggunakan kredensial yang valid berhasil 98% dari waktu. Dan dari upaya pengeluaran data yang disimulasikan, kontrol yang ada memblokir 3%.

Tiga persen. Ini adalah lingkungan dengan tumpukan keamanan modern, sering dengan AI, dan tes pengeluaran data adalah yang paling terkait dengan apa yang ingin dilakukan penyerang.

Skor benchmark yang muncul dalam deck vendor layak mendapat skepsis yang sama. Ketika vendor mulai mengklaim tanda sempurna pada evaluasi MITRE ATT&CK, analis Forrester Allie Mellen menerbitkan pengingat yang tajam: evaluasi tidak memiliki pemenang atau pecundang, dan klaim 100% biasanya beristirahat pada konfigurasi yang tidak realistis, sub-hasil yang dipilih, atau pengaturan deteksi yang akan mengubur SOC yang nyata dalam kebisingan.

Tidak ada yang baru di sini, yang merupakan bagian yang mengecewakan. Pada 2019, peneliti di Skylight Cyber membongkar antivirus “murni AI” Cylance dengan menambahkan string dari permainan video Rocket League ke sampel malware, membalikkan keputusan klasifikasi pada 100% dari sepuluh keluarga malware teratas hari itu dan 83% dari himpunan sampel yang lebih luas. Pelajaran itu, bahwa model machine learning statis gagal melawan lawan yang mempelajarinya, dipublikasikan tujuh tahun yang lalu. Respon pasar adalah mengirimkan lebih banyak model machine learning statis.

Masalah guardrail lebih buruk

Jika deteksi yang ditenagai AI melebih-lebihkan, alat yang dijual untuk mengamankan AI itu sendiri berada dalam posisi yang lebih aneh: badan standar yang mendefinisikan ancaman mengatakan bahwa ancaman mungkin tidak dapat diperbaiki.

Penginjeksi prompt berada di nomor satu dalam OWASP Top 10 untuk aplikasi LLM, dan pedoman OWASP sendiri tidak biasa-biasa saja: mengingat sifat stokastik dari model, “tidak jelas apakah ada metode pencegahan yang bukti untuk penginjeksi prompt.” Fine-tuning dan RAG, tambahnya, tidak sepenuhnya memitigasinya. Itulah masalah yang pasar prompt-shield ada untuk memecahkan, dijelaskan sebagai mungkin tidak dapat dipecahkan oleh organisasi yang mengatalogkannya.

Penelitian empiris mendukung pesimisme. Peneliti di Lancaster University dan Mindgard menguji enam sistem guardrail produksi, termasuk Azure Prompt Shield Microsoft dan Prompt Guard Meta, dan mencapai hingga 100% keberhasilan penghindaran menggunakan teknik injeksi karakter dan gangguan adversarial, sambil menjaga serangan yang mendasarinya tetap fungsional. HiddenLayer melangkah lebih jauh, menerbitkan template prompt “Policy Puppetry” yang dapat ditransfer yang katanya menghindari setiap model besar di pasar. Itu adalah penelitian vendor dan tidak ditinjau sejawat, jadi perlakukan “semua” dengan hati-hati, tetapi outlet independen mereproduksi klaim inti.

Saksi paling kredibel tidak memiliki produk untuk dijual. Institut Keamanan AI UK, mengevaluasi lima LLM terkemuka, melaporkan bahwa “semua model sangat rentan terhadap serangan dasar kami”, dengan setiap model mematuhi setidaknya satu kali dalam lima upaya untuk hampir setiap pertanyaan berbahaya ketika serangan dalam rumah diterapkan. Serangan dasar. Bukan tradecraft negara. Badan evaluasi pemerintah, dengan sopan mencatat bahwa filter input kaisar tidak memiliki pakaian.

Liputan Unite.AI sendiri telah mencatat kelas kerentanan dan teknik injeksi selama bertahun-tahun. Tidak ada yang rahasia di sini. Ini hanya tidak muncul di lembar data.

Bagian berbahaya adalah perasaan

Inilah tempat judul artikel ini berhenti menjadi retoris. Jika alat ini hanya tidak memenuhi janji, kerugian akan menjadi anggaran. Penelitian menunjukkan sesuatu yang lebih buruk: kepercayaan yang mereka hasilkan secara aktif merusak perilaku.

Peneliti keamanan menyebutnya kompensasi risiko, atau efek Peltzman: orang yang dilindungi mengambil lebih banyak risiko. Pengemudi dengan sabuk pengaman mengemudi lebih cepat. Dan organisasi dengan dasbor keamanan AI, ternyata, berhenti melakukan hal-hal yang membosankan.

Angka-angka sejajar dengan tidak nyaman baik. Indeks Kesiapan Keamanan Siber 2025 Cisco, yang meng survei 8.000 pemimpin keamanan, menemukan bahwa 86% organisasi telah mengalami insiden keamanan yang terkait AI dalam tahun sebelumnya, sementara hanya 10% yang menganggap AI sebagai hal yang paling sulit mereka lindungi, dan 60% mengakui bahwa mereka tidak memiliki visibilitas ke dalam cara karyawan menggunakan AI generatif sama sekali. Insiden hampir universal; kekhawatiran, kesalahan pembulatan.

Laporan Biaya Pelanggaran Data 2025 IBM melengkapi gambaran. Dari organisasi yang mengalami pelanggaran model atau aplikasi AI, 97% tidak memiliki kontrol akses AI yang tepat. Satu dari lima pelanggaran berasal dari AI bayangan, menambah sekitar $670.000 ke biaya pelanggaran rata-rata, dan 63% organisasi yang dilanggar tidak memiliki kebijakan tata kelola AI sama sekali. Baca angka-angka itu bersama dan pola muncul: kegagalan itu membosankan. Tanpa dasar, di organisasi yang merasa terlindungi.

Dasbor tidak gagal. Itu mengirimkan produk sebenarnya, yang adalah kepercayaan.

Bagaimana versi jujur terlihat

Tidak ada yang membantah bahwa alat keamanan AI tidak berguna, dan bukti kontra terbaik layak mendapat perhatian. Klasifikasi Konstitusional Anthropic selamat dari lebih dari 3.000 jam pengetesan merah oleh 183 peneliti tanpa jailbreak universal, memotong keberhasilan jailbreak dari 86% pada model yang tidak dilindungi menjadi 4,4%, dengan biaya kenaikan 0,38 poin dalam penolakan berlebihan dan sekitar 24% overhead komputasi. Kemudian Anthropic menjalankan tantangan publik, dan dari 339 peserta, empat membersihkan setiap level dan satu menemukan jailbreak universal yang berfungsi.

Itulah bentuk jujur dari seluruh bidang dalam satu hasil: guardrail yang terbangun meningkatkan biaya penyerang secara besar-besaran, membawa pajak yang dapat diukur, dan masih jatuh ke penyerang yang cukup gigih. Jika saya harus merangkum artikel ini menjadi prinsip pembelian, itu adalah ini: kontrol yang dijual sebagai peningkat biaya dengan mode kegagalan yang dipublikasikan layak dievaluasi; kontrol yang dijual sebagai masalah yang telah diselesaikan menjual Anda perasaan.

Kontrol atau selimut pengaman: tiga pertanyaan

Anda dapat memisahkan satu dari yang lain tanpa anggaran penelitian. Tiga pertanyaan, diajukan dari setiap alat keamanan AI yang Anda miliki atau tentang untuk membeli.

Apa tingkat bypass yang diukur dalam lingkungan saya? Bukan benchmark vendor. Milik Anda. Validasi dan latihan tim ungu berlangsung secara terus-menerus karena, seperti data Picus menunjukkan, kontrol yang diterapkan bergeser ke arah kegagalan secara diam-diam. Angka yang belum Anda ukur adalah angka yang Anda ambil dengan iman.

Apa yang terjadi ketika gagal? Bukan jika. Pedoman praktis OWASP menunjuk ke arah yang sama dengan setiap insiden di atas: akses least-privilege untuk model, gerbang persetujuan manusia untuk tindakan sensitif, dan segmentasi yang menganggap filter akhirnya akan melewati sesuatu. EchoLeak dapat bertahan untuk organisasi yang Copilot sederhananya tidak bisa mencapai apa pun yang layak dicuri.

Apakah klaim vendor adalah fakta atau hipotesis? Bahkan vendor mengakui lebih dari yang dilakukan datasheet mereka. Survei Vectra sendiri dari 2.000 profesional SOC, penelitian vendor lagi, menemukan tim dapat menangani hanya 38% peringatan yang dihasilkan alat mereka, dengan 60% mengatakan vendor menjual alat yang menciptakan kebisingan daripada kejelasan, dan setengah dari mereka menyebut alat mereka lebih menghambat daripada membantu. Ketika pelanggan industri melaporkan itu, “percayalah datasheet” berhenti menjadi strategi.

Polanya outlives patch

EchoLeak diperbaiki dalam Patch Tuesday. Pola yang ditunjukkannya, guardrail produksi yang dengan percaya diri menyaring pintu depan sementara serangan datang melalui slot surat, tidak, dan catatan penelitian di atas mengatakan itu tidak akan segera terjadi.

Perbedaan Schneier berusia tujuh belas tahun dan tidak pernah lebih mahal untuk diabaikan. Perasaan keamanan adalah produk, dan era AI menjualnya dalam tingkat langganan. Kenyataan keamanan adalah pengukuran, dan tidak ada yang dapat menjualnya kepada Anda, karena Anda harus pergi dan mengambilnya.