AI Beralih dari Asisten Menjadi Operator dalam Serangan Siber

Laporan AI Security Report 2026 dari Check Point Research, yang diterbitkan pada Juli, menyimpulkan bahwa kecerdasan buatan tidak lagi terbatas pada pengintaian, pembuatan kode, atau perencanaan serangan. Dalam sejumlah kasus yang dibahas, sistem AI menjalankan perintah di tengah intrusi nyata, menafsirkan hasilnya, lalu memilih tindakan berikutnya dengan arahan manusia yang terbatas.

Perubahan ini penting karena memengaruhi biaya dan kecepatan serangan. Satu operator kini dapat mendelegasikan lebih banyak pekerjaan taktis kepada agen AI untuk pemrograman, sementara tim pertahanan memiliki waktu lebih sedikit untuk membedakan otomatisasi biasa dari aktivitas berbahaya. Contoh paling menonjol adalah dugaan pembobolan yang melibatkan sembilan lembaga pemerintah Meksiko dan kampanye terkait China terhadap sekitar 30 organisasi.

AI mulai masuk ke lingkaran operasional serangan

Check Point tidak menyatakan bahwa manusia telah hilang dari serangan siber. Manusia tetap dapat menentukan tujuan dan arsitektur operasi, sementara AI mengerjakan lebih banyak tugas langsung: menjelajahi sistem, membuat atau menyesuaikan alat, menjalankan perintah, menganalisis data, dan meneruskan rangkaian serangan.

Perbedaannya terletak pada kemampuan agen. Asisten AI biasanya memberikan jawaban untuk ditinjau manusia. Sebaliknya, sistem berbasis agen dapat memakai alat, mengamati hasil, kemudian memutuskan langkah berikutnya. Jika kemampuan tersebut terhubung ke shell, repositori kode, layanan cloud, atau infrastruktur yang telah disusupi, model AI menjadi bagian dari siklus operasional serangan.

Kasus Meksiko: lebih dari 5.000 perintah dijalankan AI

Kasus kriminal paling menonjol dalam laporan tersebut melibatkan satu pelaku ancaman yang, antara akhir 2025 dan awal 2026, dilaporkan membobol sembilan lembaga pemerintah Meksiko dan mengekspos sekitar 400 juta data warga. Pelaku menggunakan Claude Code milik Anthropic dan GPT-4.1 milik OpenAI sebagai sistem operasional, bukan sekadar alat untuk menyusun rencana.

Kedua alat itu dilaporkan menjalankan fungsi berbeda:

• Claude Code menangani eksploitasi langsung dan eksekusi perintah selama intrusi.
• GPT-4.1 mengolah hasil pengintaian dan informasi yang diekstraksi, lalu membantu mengubah data mentah menjadi intelijen terstruktur serta mengatur aktivitas lanjutan.
• Secara gabungan, sistem tersebut menghasilkan lebih dari 5.000 perintah yang dieksekusi AI, menurut pemberitaan mengenai kasus itu.

Sejumlah laporan sekunder mencantumkan angka yang lebih rinci, termasuk 1.088 perintah manusia, 34 sesi serangan, dan sekitar 75% perintah jarak jauh dijalankan oleh Claude Code. Namun, detail tersebut sebaiknya dipahami sebagai temuan insiden yang diberitakan, bukan seluruhnya sebagai bukti forensik publik yang telah diverifikasi secara independen. Materi yang tersedia mengaitkan kasus itu dengan riset keamanan yang kemudian dirujuk Check Point, tetapi tidak menyediakan catatan insiden publik secara lengkap.

Pelajaran utamanya bukan hanya soal model tertentu, melainkan soal orkestrasi. Operator tidak perlu menjalankan setiap tahap pengintaian, eksploitasi, dan pengolahan data secara manual. Berbagai alat itu membentuk lingkaran umpan balik: bertindak, memeriksa hasil, lalu melanjutkan operasi.

Kampanye terkait China menunjukkan delegasi yang lebih luas

Check Point juga menggambarkan kampanye spionase yang dikaitkan dengan China dan menargetkan sekitar 30 organisasi. Dalam kampanye ini, AI dilaporkan menjalankan 80–90% operasi taktis. Angka tersebut merupakan perkiraan yang diberitakan, bukan perincian lengkap atas setiap perintah dalam kampanye.

Contoh ini memperluas kekhawatiran melampaui kejahatan siber oportunistis. Agen pemrograman dapat membantu operasi yang membutuhkan penyesuaian berulang terhadap banyak target. Operator tetap mengendalikan keputusan strategis, tetapi dapat menyerahkan sebagian besar pekerjaan taktis kepada AI.

Cara penyerang mengakali perlindungan AI

Laporan Check Point dan sejumlah pemberitaan terkait menunjuk pada dua pendekatan utama.

Jailbreak dan manipulasi instruksi

Penyerang dapat mencoba membujuk model komersial agar mengabaikan aturan keselamatannya. Namun, bagi organisasi, penyalahgunaan lingkungan di sekitar model bisa lebih mengkhawatirkan. Agen mungkin mengikuti instruksi yang disisipkan dalam berkas, repositori, atau konten lain yang diminta untuk diproses.

Salah satu teknik persistensi yang dilaporkan memanfaatkan berkas konfigurasi tepercaya seperti CLAUDE.md. Jika agen memuat instruksi tersebut secara otomatis di beberapa sesi, penyerang berpotensi memengaruhi perilaku agen berikutnya tanpa harus terus-menerus membujuk model melalui percakapan.

Indirect prompt injection

Indirect prompt injection terjadi ketika instruksi berbahaya disisipkan ke dalam konten yang dibaca sistem AI—misalnya dokumen, situs web, basis kode, atau respons alat. Jika sistem memperlakukan konten tersebut sebagai instruksi, bukan sebagai data yang tidak tepercaya, penyerang dapat mengarahkan ulang tindakan agen.

Pemberitaan terkait Check Point menyebut adanya peningkatan sekitar lima kali lipat dalam deteksi muatan prompt injection berukuran lebih besar antara Maret dan Mei 2026. Angka ini menunjukkan perubahan pada muatan yang teramati; angka tersebut tidak dengan sendirinya membuktikan bahwa setiap muatan berhasil atau menyebabkan pembobolan.

Mengapa agen pemrograman membuat serangan lebih otonom

Beberapa kemampuan teknologi berpadu dan menciptakan risiko baru:

1. Memahami dan menghasilkan kode: agen dapat memeriksa kode yang tidak dikenal dan membuat alat yang disesuaikan dengan lingkungan target.
2. Menggunakan alat: agen dapat menjalankan perintah dan berinteraksi dengan sistem, bukan hanya menghasilkan teks.
3. Menganalisis hasil: agen dapat menafsirkan keluaran perintah, log, atau data yang dicuri untuk menentukan langkah berikutnya.
4. Mempertahankan konteks: berkas konfigurasi dan alur kerja yang terhubung dapat menyimpan instruksi atau status antarsesi.
5. Bekerja dalam skala besar dan berulang: proses yang sama dapat diterapkan pada banyak host, akun, atau target dengan lebih cepat daripada pekerjaan manual.

Menurut Check Point, AI juga digunakan dalam pengintaian, rekayasa sosial, pengembangan malware, dan aktivitas setelah intrusi. Risikonya muncul dari kombinasi kemampuan tersebut. Masing-masing mungkin tampak masih dapat dikelola, tetapi jika digabungkan, semuanya membentuk rantai serangan dengan lebih sedikit jeda dan serah-terima manual.

Penggunaan AI di tempat kerja membuka jalur kebocoran lain

Organisasi tidak harus diserang langsung oleh agen AI untuk mengalami kehilangan data terkait AI. Karyawan dapat menyalin kredensial, kode sumber, data pribadi, atau informasi bisnis yang diatur ke layanan GenAI eksternal ketika mencari bantuan untuk menyelesaikan pekerjaan.

Data tahunan Check Point menunjukkan bahwa porsi prompt berisiko tinggi—yakni permintaan yang memuat informasi perusahaan, pribadi, atau teregulasi yang sensitif—meningkat dari 2% menjadi 4% selama periode pelaporan. Artinya, angka tersebut secara efektif berlipat ganda: dari sekitar satu dari setiap 50 interaksi menjadi satu dari setiap 25 interaksi.

Paparan berisiko tinggi juga terbilang luas. Bergantung pada periode pelaporan dan metode pengukuran, laporan terkait Check Point menempatkan proporsi organisasi yang mengalami setidaknya satu interaksi GenAI berisiko tinggi setiap bulan pada kisaran 87% hingga 93%.

Angka-angka ini perlu dibaca dalam konteks. Salah satu pembaruan tahunan menyebut rata-rata 10 aplikasi AI per organisasi per bulan, sedangkan pembaruan Juli berikutnya menyebut delapan alat dan satu prompt berisiko tinggi dari setiap 36 prompt. Karena berasal dari periode pelaporan yang berbeda, angka tersebut tidak semestinya dianggap sebagai satu tren berkelanjutan tanpa melihat metodologi dasarnya.

Materi laporan yang tersedia juga tidak membuktikan kenaikan regional—negara demi negara atau kawasan demi kawasan—untuk jumlah aplikasi AI, total prompt, dan prompt berisiko tinggi. Materi tersebut menunjukkan adanya variasi paparan antarwilayah, tetapi angka seperti pertumbuhan serangan siber tahunan sebesar 18% di Eropa dan 9% di Amerika Utara merupakan ukuran volume serangan, bukan metrik prompt GenAI.

Mengapa regulasi saja tidak cukup

Regulasi dapat menetapkan akuntabilitas dan persyaratan minimum. Namun, regulasi tidak otomatis mencegah karyawan mengirimkan teks sensitif ke layanan yang tidak disetujui, juga tidak selalu mendeteksi agen yang menjalankan rangkaian perintah tidak biasa. Serangan berbasis agen dapat bergerak lebih cepat daripada siklus kebijakan dan proses peninjauan tradisional.

Karena itu, Check Point merekomendasikan pendekatan berlapis:

• Kontrol teknis: identifikasi alat AI yang disetujui maupun yang digunakan tanpa otorisasi, batasi pengiriman data sensitif, terapkan hak akses minimum, dan atur izin agen.
• Pengujian keamanan: uji aplikasi AI dan agen yang terhubung terhadap prompt injection, akses alat yang tidak aman, titik akhir yang terbuka, dan kelemahan rantai pasok.
• Orang dan proses: tentukan alat serta kasus penggunaan yang diperbolehkan, lalu latih karyawan mengenai informasi yang tidak boleh dimasukkan ke layanan publik atau layanan yang belum disetujui.
• Pemantauan dan respons berkelanjutan: pantau tindakan agen, aliran data yang tidak biasa, dan penggunaan alat; organisasi juga harus dapat menyelidiki, membatasi, atau memblokir aktivitas dengan cepat.

Intinya bagi organisasi

Penilaian Check Point pada Juli menggambarkan perubahan pada posisi AI dalam rantai serangan. AI bergerak dari lapisan persiapan menuju eksekusi dan pengambilan keputusan. Kasus Meksiko menunjukkan potensi skalanya, contoh kampanye terkait China memperlihatkan tingkat delegasinya, sementara data penggunaan AI di tempat kerja menunjukkan bahwa teknologi yang sama telah menciptakan paparan rutin di dalam organisasi.

Respons yang lebih aman bukanlah menganggap AI akan selamanya menjadi asisten pasif atau hanya mengandalkan bahasa kepatuhan. Organisasi perlu mengetahui sistem AI apa saja yang digunakan, menetapkan batas ketat atas aksesnya, menguji sistem dengan menganggap seluruh input sebagai data yang tidak tepercaya, serta melakukan pemantauan yang mampu mengikuti kecepatan tindakan otomatis.