Anggaran AI Anda Sedang Menulis Cek yang Kriptografi Anda Tidak Bisa Bayar

Tanda-tanda ada di mana-mana. Moody’s, Google, Cloudflare, dan Rumah Putih semua mengeluarkan peringatan. Jadi, mengapa CISO masih memperlakukan kuantum sebagai masalah “nanti”?

Tanyakan kepada CISO mana pun di mana anggaran diskresioner mereka pergi tahun ini, dan Anda akan mendengar jawaban yang sama: AI. Pasar telah memutuskan bahwa kecerdasan buatan adalah tantangan keamanan yang mendefinisikan era kita, dan uang telah mengikuti.

Namun, ada satu masalah. Sementara organisasi Anda sedang membangun pipa AI, seseorang mungkin sudah diam-diam mencuri data terenkripsi paling sensitif Anda dan menunggu komputer kuantum untuk tiba dan mendekripsinya.

Itu bukanlah skenario hipotetis. Ini adalah postur pengumpulan dokumen yang tercatat sebagai “panen sekarang, dekripsi nanti,” dan ini adalah alasan mengapa Moody’s Ratings (lembaga pemeringkat kredit yang pendapatnya dapat mempengaruhi pasar obligasi negara) telah mengeluarkan peringatan yang jelas bahwa adopsi kriptografi pasca-kuantum (PQC) yang lambat dapat mewakili risiko kredit material bagi organisasi di seluruh keuangan, kesehatan, dan infrastruktur kritis, dan Rumah Putih baru-baru ini memerintahkan adopsi PQC yang dipercepat untuk lembaga federal dan kontraktor

Timeline Baru Jauh Lebih Pendek

Selama bertahun-tahun, jaminan standar yang ditawarkan kepada dewan yang enggan menghabiskan uang untuk kesiapan kuantum adalah sederhana: kita memiliki waktu sampai setidaknya 2035. Itu adalah target pemerintah AS sendiri untuk bermigrasi ke sistem keamanan nasional ke kriptografi pasca-kuantum dan ini adalah cakrawala yang jauh sehingga terasa nyaman untuk memprioritaskan, untuk sekarang. Namun, itu telah berubah. Pada 22 Juni 2026, Rumah Putih mengumumkan tidak satu, tapi dua Perintah Eksekutif yang memerintahkan timeline untuk lembaga federal untuk bermigrasi ke solusi kriptografi pasca-kuantum. Dilihat bersama, Perintah Eksekutif ini mengakui bahwa kemajuan komputasi kuantum dan pertahanan terhadap implikasi keamanannya sekarang merupakan prioritas nasional yang tidak terpisahkan. Satu perintah mempercepat inovasi kuantum; yang lain mempercepat kesiapan operasional yang diperlukan untuk melindungi sistem kritis di era kuantum.

Hingga baru-baru ini, konsensus menyatakan bahwa memecahkan enkripsi saat ini akan memerlukan jutaan qubit, kemampuan yang masih beberapa tahun lagi. Penelitian baru, termasuk karya yang dikutip oleh tim Quantum AI Google, menunjukkan bahwa sekitar 10.000 qubit mungkin cukup untuk menjalankan Algoritma Shor terhadap standar saat ini. Sekitar 26.000 qubit dapat memecahkan P-256, algoritma kurva eliptis yang mendasari sebagian besar layanan keuangan dan sistem pemerintah. Penelitian Google sendiri menunjukkan penurunan sekitar 20 kali lipat dalam sumber daya komputasi yang diperlukan untuk menyerang kriptografi kurva eliptis aman dibandingkan dengan perkiraan sebelumnya

Pada Maret 2026, Google mengumumkan bahwa mereka mempercepat target migrasi PQC internal mereka ke 2029. Cloudflare mengikuti pada April dengan target yang sama. Paling baru, pada akhir Juni, Microsoft membawa target transisi PQC mereka dari 2033 ke 2029. Sikap regulasi AS terhadap PQC juga telah bergeser secara signifikan dalam delapan belas bulan terakhir. NSA sekarang mengharapkan vendor peralatan jaringan untuk mendukung dan memilih algoritma CNSA 2.0 pada 2026, dan perintah eksekutif baru-baru ini memerintahkan lembaga federal untuk bermigrasi aset berharga dan sistem berdampak tinggi ke PQC pada 2030.

Di UE, pesan Komisi Eropa sangat jelas: mulai bermigrasi pada akhir 2026, dan selesaikan perlindungan infrastruktur kritis paling lambat pada akhir 2030.

Efek gabungan dari perkembangan ini adalah bahwa timeline “nanti” yang sebagian besar organisasi hadapi tidak lagi valid. Pertanyaannya bukanlah apakah tekanan regulasi terhadap kriptografi kuantum akan tiba. Ini adalah apakah organisasi Anda akan terjebak dalam kepanikan untuk mematuhi ketika itu terjadi, atau apakah sudah membangun fondasi sebelumnya.

Perangkap Anggaran: Mengapa AI Selalu Menang dan Mengapa Ini Masalah

Ini adalah dinamika yang tidak nyaman yang terjadi dalam pertemuan anggaran TI setiap kuartal. Investasi AI memiliki cerita. Ini menghasilkan lead, mengurangi biaya, mempercepat analis, dan menghasilkan output yang eksekutif dapat lihat dan sentuh. Alat SOC yang ditenagai AI akan menunjukkan dasbor pada hari pertama. Program migrasi PQC akan menunjukkan inventori kriptografi masalah yang tidak Anda ketahui sebelumnya, dan tidak ada perubahan yang dapat dilihat pada pengalaman pengguna.

Moody’s telah mengidentifikasi ketegangan ini secara eksplisit, mencatat bahwa pengeluaran PQC akan “bersaing langsung dengan investasi AI” karena tidak memberikan pendapatan segera atau peningkatan produktivitas. Ini adalah jenis pengeluaran yang sangat mudah untuk ditunda dan sangat sulit untuk dibenarkan sampai sesuatu salah secara fatal.

Namun, biaya yang ditunda itu tidak gratis. Moody’s memperkirakan bahwa organisasi yang memulai migrasi PQC sekarang seharusnya mengharapkan itu untuk mewakili sekitar 2,5% dari anggaran TI tahunan. Mereka yang menunda sampai 2030 mungkin akan melihat dua kali lipat, dan migrasi yang lebih kompres dan kacau di bawah tekanan regulasi. Rumah Putih telah memperkirakan bahwa migrasi sistem federal saja akan menelan biaya sekitar $7,1 miliar selama satu dekade. Itu untuk satu pemerintah. Kalikan logika itu di seluruh pasar perusahaan dan angka-angka menjadi sulit untuk diabaikan.

Apa yang Dilakukan Operator Paling Cerdas

Fakta bahwa Google, Cloudflare, dan Microsoft telah memimpin adalah hal yang patut dicatat, tetapi juga harus menjadi instruktif. Perusahaan-perusahaan ini telah menyimpulkan bahwa migrasi kriptografi bukanlah latihan kepatuhan yang harus diselesaikan pada jadwal pemerintah. Ini adalah keputusan infrastruktur kompetitif yang perlu dibuat sekarang, sementara masih ada waktu untuk melakukannya dengan benar.

Pendekatan mereka berpusat pada dua prinsip yang harus membentuk strategi perusahaan secara umum.

Yang pertama adalah kelenturan kriptografi: membangun sistem di mana algoritma dasar dapat dipertukarkan dengan bersih, tanpa rip-and-replace, karena lanskap PQC terus berkembang. Finalisasi NIST dari ML-KEM dan ML-DSA sebagai standar pasca-kuantum utama pada 2024 adalah tonggak penting, tetapi lanskap algoritma akan terus bergeser. Beberapa kandidat kuat telah dipatahkan selama proses standarisasi. Organisasi yang mengkode algoritma PQC saat ini dengan rigiditas yang sama yang mereka terapkan pada RSA akan menghadapi siklus rip-and-replace yang menyakitkan lagi dalam lima tahun.

Yang kedua adalah visibilitas. Anda tidak dapat bermigrasi kriptografi yang tidak dapat Anda lihat, dan sebagian besar perusahaan tidak memiliki gambaran yang koheren tentang di mana kriptografi kunci publik hidup di seluruh estate mereka. Bukan hanya dalam aplikasi mereka sendiri, tetapi juga dalam integrasi pihak ketiga, platform yang dikelola vendor, perangkat IoT, teknologi operasional, dan sistem warisan yang belum dipatch dalam bertahun-tahun.

Kedua kemampuan ini: kelenturan dan visibilitas, memerlukan investasi. Pengeluaran khusus untuk inventori kriptografi, orkestrasi, dan perangkat lunak migrasi. Pengeluaran itu perlu diukir sekarang, sebelum jendela untuk bertindak dengan terjangkau tertutup.

Pertanyaan yang Perlu Ditanyakan Dewan

Ada versi dari cerita ini yang berakhir buruk dan sepenuhnya dapat diprediksi. Organisasi terus memasukkan anggaran keamanan diskresioner ke dalam alat AI melalui 2027 dan 2028. Kemampuan komputasi kuantum berkembang lebih cepat dari yang diharapkan. Regulator mulai memerintahkan kepatuhan PQC dengan waktu tenggat yang singkat. Organisasi terburu-buru untuk bermigrasi infrastruktur kriptografi kritis di bawah tekanan waktu, dengan biaya dua kali lipat, sambil secara bersamaan mengelola insiden terkait AI yang mendominasi headline tahun itu.

Itu bukanlah ancaman kuantum. Itu adalah kegagalan perencanaan.

Versi cerita yang lebih cerdas terlihat berbeda. Ini dimulai dengan dewan yang bertanya kepada CISO mereka pertanyaan sederhana: di mana kriptografi kunci publik kita, apa yang akan diperlukan untuk bermigrasi, dan kapan kita perlu memulai? Ini berlanjut dengan kepemimpinan TI yang mengakui bahwa sebagian dari anggaran keamanan AI, bahkan yang sederhana, harus diarahkan untuk membangun fondasi kriptografi yang setiap investasi lainnya bergantung.

AI dan PQC tidak benar-benar merupakan prioritas yang bersaing. Setiap sistem AI yang diterapkan organisasi, setiap model yang dilatih pada data sensitif, setiap API yang diekspos, bergantung pada infrastruktur kriptografi di bawahnya. Jika infrastruktur itu rusak oleh musuh kuantum, alat keamanan AI yang duduk di atasnya tidak masalah.

Kasus untuk memindahkan sebagian anggaran AI Anda ke kesiapan kriptografi kuantum sebenarnya bukanlah argumen teknis. Ini adalah argumen keuangan.

Penggerak awal akan membangun kelenturan kriptografi ke dalam sistem baru dengan biaya marginal. Mereka akan memegang persyaratan kesiapan PQC ke dalam kontrak vendor sebelum persyaratan tersebut menjadi standar industri dan vendor menaikkan harga mereka. Mereka akan menyebar biaya migrasi selama beberapa tahun daripada mengompresnya ke dalam sprint yang dipicu regulator.

Penggerak terlambat akan membayar dua kali lipat, bermigrasi di bawah tekanan, dan menjelaskan kepada dewan mereka mengapa mereka membaca EO, melihat peringatan Moody’s, melihat Google, Cloudflare, dan Microsoft memindahkan timeline mereka ke 2029, dan masih tidak bertindak.