Laporan Manifest Mengungkap Celah Kesiapan AI di Perusahaan karena Tim Keamanan Menghadapi Masalah Visibilitas dan Tata Kelola

Laporan baru dari Manifest, “Beyond the Black Box (BBOX.BO ): Bagaimana AI Mendorong Pemikiran Ulang tentang Rantai Pasokan Perangkat Lunak,” mengungkap adanya kesenjangan yang semakin besar antara kepercayaan diri eksekutif dan kenyataan operasional ketika datang ke kesiapan keamanan AI. Berdasarkan survei lebih dari 300 pemimpin dan praktisi keamanan di Amerika Serikat dan EMEA, studi ini menemukan bahwa sementara sebagian besar eksekutif percaya bahwa organisasi mereka siap untuk risiko rantai pasokan yang didorong AI, tim keamanan di lapangan melaporkan celah tata kelola yang signifikan, penggunaan AI yang tidak terkelola, dan visibilitas yang terbatas ke komponen yang memuat sistem perangkat lunak modern.

Temuan ini menyoroti ketegangan sentral yang muncul dalam teknologi perusahaan: adopsi AI dipercepat secara luas di seluruh produk dan alur kerja, tetapi mekanisme yang diperlukan untuk melacak, mengatur, dan mengamankan sistem ini tidak mengikuti.

AI Menciptakan Kembali Masalah Keamanan Rantai Pasokan dalam Bentuk Baru

Lebih dari satu dekade, organisasi telah bekerja untuk memperbaiki keamanan rantai pasokan perangkat lunak dengan melacak ketergantungan, memantau kerentanan, dan mengatur kerangka tata kelola. Namun, laporan Manifest berpendapat bahwa AI secara efektif memperkenalkan kembali banyak risiko yang sama—sekarang tersebar di seluruh model, dataset, agen, dan layanan AI pihak ketiga.

Komponen AI sering beroperasi sebagai sistem yang tidak transparan. Perusahaan sering tidak dapat menjelaskan sepenuhnya bagaimana model dilatih, dataset apa yang digunakan, atau layanan eksternal mana yang tertanam dalam aplikasi mereka. Sebagai hasilnya, organisasi menghadapi kelas baru risiko rantai pasokan: sistem perangkat lunak yang tidak dapat diinspeksi, diverifikasi, atau dipantau dengan andal seiring waktu.

Laporan ini menekankan bahwa visibilitas sudah mulai memburuk. 63% organisasi melaporkan kehadiran “AI yang tidak terkelola,” yang merujuk pada alat atau integrasi AI yang diadopsi tanpa pengawasan dari tim keamanan, pengadaan, atau manajemen risiko.

Daniel Bardenstein, CEO dan co-pendiri Manifest, mengatakan bahwa data mengungkapkan kesenjangan yang semakin besar antara persepsi eksekutif dan kenyataan operasional: “Kepercayaan diri eksekutif dalam kesiapan AI tidak sesuai dengan apa yang tim AppSec hadapi sehari-hari. Pemimpin percaya bahwa tata kelola ada di tempat, tetapi praktisi melihat penggunaan AI yang tidak terkelola, kepemilikan yang tidak jelas, dan titik buta dalam apa yang sebenarnya berjalan di seluruh produk dan vendor.”

Eksekutif Mengatakan Mereka Siap, Tim Keamanan Tidak Setuju

Salah satu temuan paling mencolok dalam laporan ini adalah divergensi antara kepercayaan diri kepemimpinan dan penilaian keamanan garis depan.

Hampir 80% eksekutif keamanan mengatakan bahwa organisasi mereka memiliki praktik keamanan AI yang matang, namun hanya sekitar 40% tim AppSec setuju dengan penilaian tersebut.

Tim AppSec sering kali yang pertama mengalami kegagalan operasional dalam kerangka tata kelola karena mereka berinteraksi langsung dengan rantai pasokan perangkat lunak. Praktisi ini melaporkan menghadapi volume tinggi peringatan, kepemilikan tanggung jawab keamanan yang tidak jelas, dan tooling yang terfragmentasi di seluruh lingkungan pengembangan dan keamanan.

Menurut laporan, 47% responden mengidentifikasi tim yang terisolasi dan kepemilikan yang tidak jelas sebagai hambatan terbesar untuk memperbaiki keamanan rantai pasokan perangkat lunak.

Hasilnya adalah lingkungan di mana organisasi mungkin percaya bahwa mereka memiliki program keamanan yang kuat sementara celah kritis tetap ada dalam visibilitas, akuntabilitas, dan koordinasi operasional.

Paradoks SBOM: Dibuat Tapi Jarang Digunakan

Wawasan lain dari studi ini berkaitan dengan Daftar Bahan Perangkat Lunak (SBOM)—inventori komponen perangkat lunak yang dirancang untuk membantu organisasi melacak ketergantungan dan kerentanan.

Adopsi SBOM telah berkembang secara signifikan dalam beberapa tahun terakhir, terutama karena tekanan regulasi dan serangan rantai pasokan. Namun, penelitian Manifest menunjukkan bahwa banyak organisasi memperlakukan pembuatan SBOM sebagai kotak centang kepatuhan daripada kemampuan operasional.

Laporan ini menyoroti beberapa statistik kunci:

• 60% organisasi membuat SBOM
• Lebih dari setengah tidak mengelola atau mengonsumsi mereka dalam praktek
• 79,6% menggunakan alat Analisis Komposisi Perangkat Lunak (SCA)
• Penggunaan operasional SBOM masih jauh lebih rendah pada 41,8%

Tanpa intake terpusat, normalisasi, penerapan kebijakan, dan pemantauan terus-menerus, SBOM menjadi artefak statis daripada alat manajemen risiko yang aktif.

Tim keamanan juga mengungkapkan skeptisisme terhadap platform Analisis Komposisi Perangkat Lunak tradisional. 56,3% responden mengatakan bahwa alat SCA menciptakan kebisingan atau menunda tim pengembangan, sementara 46,4% meragukan bahwa alat-alat ini secara signifikan mengurangi risiko perangkat lunak dunia nyata.

Kesenjangan ini menggambarkan tantangan kematangan yang lebih luas: organisasi dapat menghasilkan volume besar data keamanan tetapi seringkali kekurangan infrastruktur operasional untuk menerjemahkan sinyal-sinyal tersebut menjadi pengurangan risiko yang dapat diukur.

Data Transparansi Meningkatkan Keamanan dan Kecepatan Penerapan

Meskipun ada tantangan ini, penelitian menunjukkan bahwa organisasi yang mencapai transparansi yang signifikan di seluruh rantai pasokan perangkat lunak mereka memperoleh manfaat yang dapat diukur.

Hampir setengah dari responden (49,4%) melaporkan menerima data transparansi yang dapat diverifikasi—seperti SBOM, catatan provenance, atau binari yang ditandatangani—dari vendor selama pengadaan.

Ketika informasi ini dapat diandalkan dan dioperasionalkan, dampaknya signifikan:

• 64% melaporkan implementasi teknologi baru yang lebih cepat
• 61,6% melaporkan resolusi masalah keamanan yang lebih cepat
• 15,5% melaporkan downtime yang berkurang

Organisasi yang kekurangan transparansi seperti itu membayar apa yang disebut laporan sebagai “pajak transparansi”—waktu, biaya, dan risiko tambahan yang terkait dengan penyelidikan manual komponen perangkat lunak yang tidak transparan.

Industri yang sangat diatur menunjukkan tantangan ini. Perusahaan jasa keuangan dan perawatan kesehatan melaporkan salah satu tingkat penerimaan data transparansi yang dapat diverifikasi dari vendor yang terendah—14,3% dan 19,5% masing-masing—meskipun memiliki kebutuhan terbesar untuk itu.

Adopsi AI Dipercepat di Seluruh Perusahaan

Studi ini juga menyoroti bagaimana AI telah menjadi bagian integral dari ekosistem perangkat lunak perusahaan.

Hampir tidak ada organisasi yang disurvei melaporkan menghindari AI sepenuhnya. Sebaliknya, perusahaan bereksperimen di seluruh pendekatan:

• 80,2% menggunakan model AI komersial yang disetujui secara internal
• 79,9% secara luas menggunakan alat komersial seperti ChatGPT atau Cursor
• 56,7% melatih model berat terbuka pada data internal
• 29,3% membangun model AI kustom dari awal

Perusahaan jasa keuangan dan teknologi memimpin adopsi. Hampir 90% perusahaan jasa keuangan melaporkan model AI internal yang disetujui, dan 46,9% membangun model kustom dari awal, jauh di atas rata-rata keseluruhan.

Sektor-sektor ini memiliki insentif kuat untuk bergerak cepat. Di jasa keuangan, AI secara langsung memengaruhi deteksi penipuan, manajemen risiko, dan generasi pendapatan. Di perusahaan teknologi, AI semakin menjadi inti dari penawaran produk dan kemampuan platform.

Namun, percepatan adopsi seringkali mengungguli tata kelola.

AI yang Tidak Terkelola Menjadi Masalah yang Meluas

Penelitian ini mengkonfirmasi bahwa AI yang tidak terkelola—alat atau model yang diterapkan tanpa pengawasan formal—sudah menjadi masalah yang meluas.

Hanya 34,8% responden melaporkan tidak memiliki AI yang tidak terkelola di organisasi mereka, sementara sisanya mengakui setidaknya beberapa penggunaan AI yang tidak terkelola.

Polanya ini mirip dengan gelombang “IT yang tidak terkelola” sebelumnya, di mana karyawan mengadopsi layanan cloud atau alat SaaS di luar proses pengadaan resmi.

Perbedaan regional juga muncul. Organisasi di EMEA melaporkan tingkat yang lebih tinggi tanpa AI yang tidak terkelola (45,7%), kemungkinan karena kerangka regulasi yang lebih kuat dan proses pengadaan yang lebih ketat dibandingkan dengan wilayah lain.

Namun, laporan ini memperingatkan bahwa alat keamanan tradisional tidak pernah dirancang untuk melacak model AI, dataset, dan layanan di seluruh lingkungan pengembangan yang terdistribusi.

Risiko Lisensi dan Hukum Adalah Blind Spot Lain

Di luar tata kelola teknis, studi ini juga menyoroti tantangan hukum dan kepatuhan yang terkait dengan adopsi AI.

Memahami ketentuan lisensi, hak kekayaan intelektual, dan pembatasan penggunaan model dan dataset AI tetap sulit bagi banyak organisasi. Survei ini menemukan:

• 93% responden mengatakan bahwa organisasi mereka memiliki ruang untuk perbaikan dalam mengelola lisensi dan kewajiban IP AI
• 54,6% sangat setuju bahwa ini tetap menjadi tantangan utama

Risiko ini menjadi sangat akut ketika organisasi melatih model berat terbuka pada data internal atau menggabungkan dataset milik sendiri dengan komponen AI pihak ketiga.

Tanpa kerangka tata kelola yang lebih kuat, perusahaan dapat secara tidak sengaja memperkenalkan pelanggaran lisensi atau paparan kepatuhan ke dalam sistem produksi.

Penyelarasan Operasional Mungkin Adalah Tantangan Sebenarnya

Sementara alat keamanan terus berkembang, laporan ini menunjukkan bahwa hambatan terbesar untuk keamanan rantai pasokan AI yang efektif mungkin tidak teknologi itu sendiri.

Banyak organisasi bergelut dengan kepemilikan yang terfragmentasi, alur kerja yang terputus, dan ketiadaan sistem catatan bersama untuk komponen perangkat lunak dan AI.

Kendala yang paling sering disebutkan termasuk:

• 47,3% kendala organisasional
• 36,3% keterampilan yang tidak memadai
• 35,7% keterbatasan anggaran
• 34,8% kurangnya pemahaman manajemen
• 32,6% kekurangan staf

Kesenjangan operasional ini membuat sinyal keamanan sulit diterjemahkan menjadi penerapan kebijakan yang konsisten atau pengurangan risiko yang dapat diukur.

Mengapa Keamanan Rantai Pasokan AI Menjadi Prioritas Strategis

Ketika AI menjadi bagian integral dari setiap lapisan perangkat lunak perusahaan, konsep rantai pasokan perangkat lunak diperluas untuk mencakup model, dataset pelatihan, layanan inferensi, dan platform AI pihak ketiga.

Laporan Manifest menyimpulkan bahwa organisasi harus melampaui alat visibilitas waktu-nyata dan membangun kontrol operasional terus-menerus atas rantai pasokan AI mereka.

Ini termasuk:

• Melacak semua model AI yang digunakan di seluruh lingkungan pengembangan
• Memverifikasi provenance dan lisensi data pelatihan
• Menerapkan kebijakan tata kelola selama pengembangan dan penerapan
• Mempertahankan inventori terus-menerus yang serupa dengan SBOM untuk komponen AI

Tanpa mekanisme ini, kesenjangan antara adopsi AI dan tata kelola AI akan terus melebar.

Dan seperti studi ini menjelaskan, kesenjangan itu sudah ada di dalam banyak perusahaan hari ini.

data Enforcing governance policies during development and deployment Maintaining continuous inventories similar to SBOMs for AI components Without these mechanisms, the gap between AI adoption and AI governance will continue to widen. And as the study makes clear, that gap already exists inside many enterprises today.