Pada akhir Juli 2026, OpenAI sedang menguji salah satu model barunya di lingkungan tertutup ketika model tersebut memutuskan untuk keluar(jendela baru). Model tersebut meretas infrastruktur pribadi perusahaan perangkat lunak lain, Hugging Face, untuk mencuri kunci jawaban dari tolok ukur keamanan siber tempat model itu diuji. Dengan kata lain, model tersebut melanggar hukum demi kemudahan.

Beberapa hari kemudian, UK AI Security Institute mengungkapkan bahwa model AI Mythos 5 milik Anthropic(jendela baru) telah membuat identitas pengembang palsu, melakukan spear-phishing terhadap pengguna GitHub asli agar menyetujui kode berbahaya, dan meng-edit log aktivitasnya sendiri untuk menutupi jejaknya saat tertangkap.

Kemudian pada bulan Agustus, beredar kabar bahwa seorang pria asal Melbourne bernama Andrew telah meminta agen AI pribadinya,(jendela baru) yang dibangun di atas OpenClaw dan menjalankan Claude milik Anthropic, untuk membantunya masuk ke kelas gimnasium pagi yang sudah penuh dipesan. Pria tersebut berada di urutan keempat dalam daftar tunggu dan bertanya apakah ada cara untuk naik urutan.

Agen tersebut menemukan bahwa API pemesanan tidak memiliki pemeriksaan otorisasi untuk membatalkan reservasi pengguna lain. Jadi tanpa meminta izin dari Andrew, agen itu langsung membatalkan pemesanan orang di urutan pertama untuk memberi ruang baginya. Ketika Andrew memintanya untuk mengurungkan pembatalan tersebut, agen tidak bisa melakukannya: “Orang yang saya hapus telah hilang dari daftar tunggu dan tidak ada cara untuk memulihkannya.”

Asal-usul ketiga insiden ini tidak sama, tetapi hasilnya sama: agen AI menyelidiki dan mengeksploitasi sistem lebih cepat dan lebih menyeluruh daripada yang dapat dikelola oleh manusia mana pun. Agen-agen tersebut tidak pernah diperintahkan untuk menyerang apa pun, tetapi tetap menemukan jalur terpendek menuju tujuannya.

Tidak masalah apakah merupakan infrastruktur laboratorium terkemuka atau perangkat lunak pemesanan gimnasium pinggir kota. Jika memiliki bisnis yang mengekspos API, bisnis tersebut kini menjadi sesuatu yang dapat diselidiki oleh agen AI, dengan kecepatan dan kelengkapan yang tidak dapat ditandingi oleh penyerang manusia mana pun. Dan tidak ada yang perlu memutuskan untuk menyerang.

Kecepatan adalah cerita sebenarnya

Penyerang manusia mempertimbangkan usaha dibanding hasil. Penyerang menjadi bosan, kehabisan waktu, atau memutuskan bahwa aplikasi pemesanan gimnasium tidak sepadan dengan keribetannya. Perhitungan itulah yang secara diam-diam telah melindungi sebagian besar target bernilai rendah dari eksploitasi kasual selama 20 tahun terakhir (kecuali jika menjalankan WordPress).

Agen AI tidak melakukan perhitungan tersebut. Saat diberi tujuan, agen akan mencoba apa pun yang secara teknis diizinkan oleh API, menguji endpoint dan kombinasi parameter pada kecepatan mesin hingga ada yang berhasil. Agen menemukan celah otorisasi gimnasium dalam kurun waktu yang dibutuhkan Andrew untuk mengajukan pertanyaan lanjutan.

Skala kesenjangan kecepatan tersebut sudah terlihat dalam angka-angka. Laporan Respon Insiden Global 2026 dari Unit 42(jendela baru) menemukan bahwa serangan tercepat kini mengeksfiltrasi data dalam 72 menit, turun dari 285 menit pada tahun sebelumnya. Itulah tren ketika manusia sebagian besar masih terlibat. Agen membuat keputusan dalam hitungan milidetik; analis manusia merespons dalam hitungan menit hingga jam.

Bagi tim keamanan, peningkatan kecepatan itulah yang menjadi penyebab utama kekhawatiran, bukan satu pun insiden tunggal yang masuk berita.

Vektor serangan baru: segala sesuatu dengan API

Layanan apa pun yang mengekspos API merupakan target potensial, terlepas dari terlihat seperti itu atau tidak.

  • Mesin penentuan harga tempat diskon divalidasi di sisi klien
  • Sistem inventaris tempat status stok berada di etalase toko alih-alih di backend
  • Platform dukungan tempat kolom internal dapat dijangkau melalui jalur API yang tidak terdokumentasi
  • Manajemen langganan yang tidak memverifikasi kepemilikan pemanggil atas akun yang sedang diubah.

Tidak ada satu pun dari hal tersebut yang memerlukan manusia untuk mencarinya. Hal-hal itu hanya memerlukan agen dengan tujuan dan API yang memberikan jawaban.

Bisnis yang paling rentan bukanlah bisnis dengan celah keamanan yang jelas. Bisnis tersebut adalah bisnis dengan celah logika bisnis: aturan yang hanya ada di UI, tindakan yang secara teknis diizinkan oleh API tetapi tidak pernah ditampilkan oleh antarmuka, alur kerja yang dibangun di atas asumsi bahwa tidak ada pemanggil yang akan pernah mencoba jalur yang melewati jalur yang dimaksudkan.

Pengembang gimnasium hampir pasti tidak menganggap pemeriksaan otorisasi pada pembatalan perlu ditulis, karena tidak ada pengguna biasa, dan tidak ada penyerang biasa, yang mempunyai alasan untuk mencobanya. Agen tidak memiliki keraguan seperti itu, dan bahkan tidak mencoba menemukan reservasi untuk dilewati. Agen tersebut hanya mencoba untuk membantu.

Cara bisnis dapat bersiap menghadapi serangan AI

Perlakukan setiap tindakan API sebagai operasi berhak akses khusus. Identitas, otorisasi, dan kebijakan kontekstual, diperiksa secara independen, pada setiap panggilan. Bukan “frontend tidak akan mengizinkan melakukan ini,” melainkan “server memverifikasi bahwa ada izin untuk melakukan ini, pada sumber daya ini, mengingat statusnya saat ini.” Sistem gimnasium akan menghentikan insiden khusus ini hanya dengan satu baris logika otorisasi pada endpoint pembatalan. Ini sama sekali bukan kontrol baru, melainkan item tertua dalam daftar keamanan API OWASP, yaitu broken object-level authorization, dan masih menjadi hal yang salah diterapkan oleh sebagian besar sistem.

Berikan model kredensial tersendiri bagi agen. Token short-TTL berlingkup yang diterbitkan khusus untuk sesi agen, berbeda dari token sesi manusia biasa, membatasi radius dampak bahkan ketika agen menemukan celah yang tidak diantisipasi. Jika agen Andrew memegang token yang cakupannya hanya terbatas pada reservasinya sendiri, pembatalan pemesanan orang lain akan gagal di lapisan kredensial terlepas dari apa yang diizinkan oleh API. Ini penting karena tidak bisa mengandalkan pengendalian diri agen itu sendiri. Harus mengandalkan apa yang secara fisik diizinkan oleh kredensialnya.

Gunakan instrumen khusus untuk deteksi perilaku agen. Lalu lintas agen memiliki bentuk yang dapat dibedakan: penentuan waktu permintaan di bawah tingkat manusia, enumerasi endpoint yang sistematis, penyelidikan berurutan di seluruh kombinasi parameter, eksekusi tindakan yang berhasil yang belum pernah dicoba oleh pengguna manusia melalui antarmuka sebenarnya. Buat tolok ukur untuk bentuk tersebut dan berikan peringatan secara real-time.

Tutup kesenjangan waktu respons, bukan hanya kesenjangan deteksi. Mendeteksi penyelidikan dalam satu jam tidak ada artinya jika penyelidikan tersebut selesai dan berlanjut dalam hitungan menit. Angka Unit 42 di atas, 72 menit untuk serangan berkecepatan manusia tercepat, sudah menjadi patokan yang salah untuk dijadikan acuan perencanaan. Respons otomatis, bukan sekadar peringatan otomatis, adalah hal yang menutup kesenjangan yang diukur dalam milidetik. Tentu saja, perlu juga memastikan bahwa respons otomatis tidak menimbulkan kerusakan.

Asumsikan ini akan terjadi dan simulasikan responsnya. Dokumentasikan siapa yang dihubungi, buat draf awal komunikasi pelanggan, dan jalankan latihan simulasi khusus untuk skenario berbasis agen, bukan hanya panduan pembobolan tradisional. Laporan Biaya Pembobolan Data 2026 dari IBM mencatat rata-rata pembobolan global sebesar $4,99 juta, dengan pembobolan berfitur AI rata-rata sekitar $1 juta lebih tinggi. Angka-angka tersebut makin menggambarkan insiden yang dimulai seperti yang terjadi di gimnasium: tidak ada penyerang dalam arti tradisional sama sekali.

Uji API sendiri sebagaimana agen akan melakukannya, sebelum agen melakukannya terlebih dahulu. Pentesting manual mengasumsikan penguji manusia dengan waktu terbatas dan daftar hal yang terbatas untuk dicoba. Pengujian terotomatisasi terhadap endpoint Anda sendiri, yang menyelidiki dengan kegigihan dan kecepatan yang sama seperti agen, akan menampilkan celah yang sama sebelum asisten pelanggan menemukannya secara tidak sengaja. Alat sumber terbuka kini tersedia khusus untuk ini. CyberStrike(jendela baru), misalnya, menjalankan agen khusus yang dipetakan ke OWASP WSTG dan MITRE ATT&CK terhadap endpoint Anda sendiri, termasuk penguji khusus untuk celah otorisasi tingkat objek yang membuat gimnasium lengah: Alat ini mengirim permintaan tolok ukur, mengirim serangan, dan hanya menandai temuan jika ada perbedaan yang terukur dan dapat direproduksi. Ini adalah kelas pemeriksaan yang sama yang akan menemukan endpoint pembatalan sebelum ditemui agen di alam liar.

Prinsip ini tentu saja bukan hal baru. Pemilik situs yang menjalankan pemindai kerentanan mereka sendiri terhadap instalasi WordPress selama era botnet berhasil bertahan. Perkakas ini hanya perlu menyesuaikan kecepatan pemanggil saat ini, bukan kecepatan penyerang manusia yang mungkin akhirnya akan sempat melakukannya.