Strategi Aman Kelola AI Agents dan Non-Human Identities

Di era digital modern, keamanan siber tidak lagi hanya tentang melindungi akun pengguna manusia. Kini, ada ribuan identitas non-manusia (Non-Human Identities/NHI) yang bekerja di balik layar. Mereka berupa akun layanan, token API, hingga agen AI (AI agents) yang terus berjalan 24 jam sehari, mengakses sistem, memindahkan data, dan membuat keputusan otomatis.

Fenomena ini menimbulkan pertanyaan penting: bagaimana perusahaan dapat mengendalikan Non-Human Identities dan memastikan AI agents tetap aman?

Banyak organisasi bahkan tidak tahu seberapa besar populasi Non-Human Identities yang mereka miliki. Seorang kepala tim keamanan pernah berkata, “Kami punya ratusan akun layanan dan agen AI yang berjalan di belakang layar. Sebagian besar bukan kami yang buat. Kami tidak tahu siapa pemiliknya. Lalu bagaimana cara kami mengamankannya?”

Masalah ini nyata dan semakin mendesak. Artikel ini akan membahas bagaimana Non-Human Identities berkembang, mengapa AI agents membawa risiko baru, tantangan yang dihadapi perusahaan, serta bagaimana strategi keamanan identitas bisa diterapkan untuk mengendalikannya.

Meningkatnya Risiko Non-Human Identities

Kehadiran cloud computing membawa kemudahan luar biasa, tetapi juga memperumit arsitektur IT. Infrastruktur berbasis cloud menciptakan ekosistem yang penuh dengan Non-Human Identities.

Banyak identitas tercipta secara otomatis setiap kali developer melakukan deployment, integrasi, atau provisioning. Sayangnya, mayoritas identitas ini tidak memiliki pemilik yang jelas, tidak terpantau, dan jarang dievaluasi izin aksesnya.

Statistik mengejutkan: di banyak perusahaan, jumlah Non-Human Identities bisa mencapai 80 kali lebih banyak dibandingkan jumlah pengguna manusia.

Risiko utamanya adalah:

• Sebagian besar tim keamanan tidak tahu identitas apa saja yang aktif.
• Banyak identitas dibiarkan hidup tanpa pengawasan selama bertahun-tahun.
• Kredensial yang dipakai sering terlalu luas dan jarang ditinjau ulang.

Contoh paling umum adalah akun layanan (service accounts). Akun ini bertugas menjalankan skrip, mengautentikasi aplikasi tanpa antarmuka, hingga memindahkan data antar sistem. Namun, karena minim pengawasan, akun layanan mudah menjadi pintu masuk peretas untuk melakukan privilege escalation atau pergerakan lateral di jaringan internal.

Dan kini, tantangan lebih besar muncul: hadirnya AI agents.

Mengapa AI Agents Berbeda dan Lebih Sulit Diamankan

Jika akun layanan hanya menjalankan instruksi terbatas, AI agents lebih kompleks karena mereka bisa bertindak otonom.

AI agents mampu:

• Mengambil data dari API.
• Berinteraksi dengan sistem lain.
• Membuat keputusan otomatis berdasarkan input.

Namun, otonomi inilah yang menghadirkan risiko baru. AI agents biasanya diberi izin tinggi agar bisa bekerja maksimal. Sayangnya, hampir tidak ada organisasi yang benar-benar menetapkan batasan jelas tentang:

• Apa yang boleh dilakukan AI agent.
• Bagaimana cara mencabut akses ketika tidak lagi digunakan.

Lebih buruk lagi, AI agents sering kali:

• Tidak punya pemilik yang jelas.
• Tidak mengikuti siklus hidup standar identitas.
• Minim visibilitas terhadap aktivitas nyata mereka.

Karena AI agents tidak terikat pada pengguna atau perangkat tertentu, mereka juga sulit dipantau menggunakan metode tradisional seperti lokasi, alamat IP, atau sesi login. Dengan kredensial permanen dan akses luas, AI agents berpotensi menjadi celah keamanan serius.

Risiko dari Akses yang Tidak Terlihat

Beberapa masalah umum dalam pengelolaan Non-Human Identities adalah:

• Rahasia (secret) tertanam dalam kode.
  Developer sering menaruh token API atau password langsung di dalam kode. Akibatnya, kredensial bisa terekspos jika kode tersebut dibagikan atau diretas.
• Token API digunakan ulang.
  Satu token API dipakai di banyak sistem, membuatnya jadi target empuk. Jika token ini bocor, dampaknya bisa meluas ke banyak layanan.
• Shadow identities tetap aktif.
  Identitas yang tidak lagi digunakan sering dibiarkan tetap aktif berbulan-bulan, bahkan bertahun-tahun. Padahal, statusnya tidak lagi relevan dengan sistem yang ada.

Dulu, ketika jumlah akun layanan masih puluhan, risiko ini bisa dikelola secara manual. Namun, kini dengan ribuan Non-Human Identities yang tersebar di berbagai layanan cloud, pendekatan manual sudah mustahil dilakukan.

Karena itu, banyak perusahaan mulai mengubah cara pandang: jika AI agent bisa mengakses data dan mengambil keputusan, maka ia adalah identitas. Dan identitas yang tidak dikelola berarti ancaman.

Tantangan Utama dalam Mengamankan Non-Human Identities

Mengakui bahwa NHI membawa risiko adalah langkah awal. Namun, mengelolanya jauh lebih sulit.

Perbedaan mendasar terletak pada fakta bahwa alat manajemen identitas tradisional dibuat untuk manusia. Ketika diterapkan ke dunia API, akun layanan, dan agen AI, sistem tersebut tidak relevan.

Kurangnya visibilitas adalah masalah paling mendasar. Banyak tim keamanan bahkan tidak tahu berapa banyak Non-Human Identities yang ada di lingkungan mereka.

Contoh kasus:

• Developer membuat identitas baru untuk mendukung microservice.
• Deployment script otomatis menciptakan token API.
• Aplikasi pihak ketiga menghasilkan akun layanan saat diintegrasikan.

Namun, setelah selesai digunakan, identitas tersebut jarang didokumentasikan atau ditambahkan ke sistem manajemen pusat. Akhirnya, lahirlah shadow identities—identitas yang aktif dan berjalan, tetapi tidak terlihat oleh tim keamanan.

Tanpa inventaris lengkap, mustahil bagi perusahaan untuk tahu data apa yang diakses oleh identitas ini dan siapa yang bertanggung jawab. Hasilnya, permukaan serangan menjadi semakin luas tanpa bisa dikendalikan.

Mengapa “Set it and Forget it” Bisa Jadi Ancaman Keamanan

Di dunia teknologi modern, kecepatan dan efisiensi sering kali menjadi prioritas utama. Para developer dan tim operasional ingin aplikasi berjalan tanpa hambatan, layanan tetap stabil, dan integrasi cepat dilakukan. Namun, di balik kemudahan itu, ada sebuah praktik berbahaya yang kerap dilakukan tanpa disadari: memberikan izin akses yang terlalu luas kepada Non-Human Identities.

Praktik ini dikenal dengan pendekatan “setel sekali, lupakan” (set it and forget it). Tujuannya sederhana, agar sistem langsung berfungsi tanpa repot mengatur ulang izin secara detail. Sayangnya, langkah praktis ini justru membuka pintu besar bagi ancaman keamanan yang sulit dideteksi.

Bayangkan saat kamu menginstal sebuah aplikasi yang meminta izin ke galeri foto, mikrofon, dan lokasi. Demi kenyamanan, kamu menekan tombol “Izinkan” tanpa berpikir panjang. Setelah itu, kamu melupakannya. Padahal, izin berlebih tersebut bisa dipakai untuk mengakses data sensitif di luar kebutuhan aplikasi. Hal yang sama juga terjadi ketika sebuah NHI diberi akses luas hanya agar sistem tidak bermasalah.

Awalnya terasa praktis, tapi dalam jangka panjang, pendekatan ini menciptakan liabilitas keamanan yang bisa berujung pada kebocoran data besar-besaran.

1. Resiko dari Izin Akses yang Terlalu Luas
   Salah satu prinsip dasar keamanan siber adalah least privilege—memberikan izin seminimal mungkin sesuai kebutuhan. Namun, prinsip ini sering dikorbankan demi kecepatan kerja.

   Misalnya:

   • Sebuah NHI hanya butuh akses untuk membaca satu tabel database, tetapi diberi izin untuk menulis ke seluruh database.
   • Token API hanya dipakai untuk autentikasi sederhana, tetapi justru diberi izin admin agar lebih fleksibel.

   Dampaknya sangat berbahaya. Jika identitas dengan izin berlebih ini diretas, peretas dapat:

   • Bergerak ke berbagai sistem secara lateral.
   • Meningkatkan hak akses (privilege escalation).
   • Mengakses, mengubah, atau mencuri data sensitif.

   Karena NHI jarang ditinjau ulang atau dihapus, kredensial dengan akses berlebihan ini bisa bertahan aktif selama berbulan-bulan, bahkan bertahun-tahun. Dengan kata lain, mereka menjadi bom waktu digital yang hanya menunggu untuk dieksploitasi.

2. Tidak Ada Konteks, Tidak Ada Kontrol Modern
   Sistem keamanan identitas manusia biasanya mengandalkan konteks.

   Contoh:

   • Saat login, sistem memverifikasi lokasi pengguna, perangkat yang dipakai, dan pola perilaku.
   • Jika ada yang mencurigakan, sistem meminta verifikasi tambahan lewat multi-factor authentication (MFA).

   Namun, untuk Non-Human Identities, mekanisme ini tidak berlaku. NHI hanyalah kode yang berjalan di server:

   • Mereka tidak punya perangkat, lokasi geografis, atau perilaku login.
   • Mereka sering menggunakan kredensial statis dengan masa berlaku lama.
   • MFA tidak bisa diterapkan pada token API atau akun layanan otomatis.

   Akibatnya, jika kredensial NHI dicuri, tidak ada lapisan keamanan kedua yang bisa menghentikan peretas. Lebih buruk lagi, hampir mustahil membedakan aktivitas NHI yang sah dengan yang berbahaya—sampai kebocoran sudah terjadi.

3. Shadow Identities dan “Hantu Digital”
   Ada satu masalah lain yang jarang disadari organisasi: shadow indentities atau hantu digital.

   Bayangkan skenario ini:

   • Seorang developer membuat akun layanan untuk sebuah aplikasi. Beberapa bulan kemudian, ia keluar dari perusahaan.
   • Aplikasi yang memakai token API tertentu dihentikan penggunaannya, tetapi tokennya tidak pernah dihapus.

   Dalam banyak kasus, Non-Human Identities seperti ini tetap hidup, lengkap dengan izin aksesnya. Namun, tidak ada lagi pemilik atau pengelola yang bertanggung jawab.Risiko yang muncul:

   • Kepatuhan kacau – sulit membedakan mana akun yang sah dengan yang sudah tidak digunakan.
   • Pintu belakang bagi peretas – identitas hantu menjadi target empuk karena jarang diperhatikan.
   • Permukaan serangan makin luas – semakin banyak identitas tidak terkelola, semakin besar peluang celah keamanan.

   Dengan kata lain, identitas yatim piatu adalah bom waktu keamanan yang tersembunyi di sistem perusahaan.

Strategi Mengendalikan AI Agents dan NHI

Lalu, bagaimana perusahaan bisa mengatasi masalah ini? Ada beberapa langkah strategis yang bisa diterapkan:

1. Inventarisasi dan Klasifikasi Identitas
   Langkah pertama adalah membangun inventaris Non-Human Identities. Semua akun layanan, token API, dan AI agents harus tercatat jelas. Setelah itu, lakukan klasifikasi berdasarkan:

   • Fungsi utama (misalnya: integrasi, deployment, monitoring).
   • Tingkat akses (read-only, write, admin).
   • Kepemilikan (siapa tim atau individu yang bertanggung jawab).

2. Prinsip Least Privilege
   Setiap Non-Human Identities hanya boleh diberi izin minimum yang diperlukan. Jika AI agent hanya butuh membaca data, jangan berikan akses tulis atau hapus.

3. Otomatisasi Manajemen Kredensial
   Gunakan sistem manajemen rahasia (secret management) untuk menggantikan kredensial statis. Token API harus dapat diputar secara otomatis agar tidak ada yang berlaku permanen.

4. Monitoring Berbasis Perilaku
   Alih-alih hanya mengandalkan login/logoff, perusahaan harus memantau perilaku AI agents. Misalnya:

   • Pola akses data yang tidak biasa.
   • Permintaan API dalam jumlah besar tiba-tiba.
   • Aktivitas dari lokasi atau sistem yang tidak dikenal.

5. Life Cycle Identitas
   Setiap Non-Human Identities harus mengikuti siklus hidup seperti halnya karyawan: dibuat, dipantau, dievaluasi, dan dihapus ketika tidak lagi digunakan.

6. Audit dan Kepatuhan
   Lakukan audit berkala terhadap izin akses Non-Human Identities. Dengan begitu, perusahaan bisa memastikan tidak ada identitas yatim piatu atau shadow identities yang mengendap di sistem.

AI agents dan Non-Human Identities kini menjadi bagian penting dari infrastruktur modern. Mereka memungkinkan sistem berjalan otomatis, efisien, dan terintegrasi. Namun, tanpa pengelolaan yang tepat, mereka bisa menjadi titik lemah serius dalam keamanan siber perusahaan.

Mengingat jumlah NHI yang bisa jauh lebih banyak dibanding pengguna manusia, perusahaan harus segera mengubah cara pandang mereka. Identitas adalah identitas—baik manusia maupun non-manusia.

Dengan membangun inventaris yang jelas, menerapkan prinsip least privilege, mengotomatiskan manajemen kredensial, serta memantau perilaku AI agents, organisasi dapat mengurangi risiko yang muncul dari dunia digital yang semakin kompleks ini.

Ke depan, pengelolaan Non-Human Identities bukan lagi pilihan, melainkan keharusan jika perusahaan ingin tetap aman di era AI dan cloud.