Gelombang adopsi AI agentik (agentic AI) sedang melanda perusahaan di Indonesia. Bila tahun lalu banyak organisasi baru sekadar memasang chatbot berbasis large language model (LLM), kini agent-agent otonom mulai diberi wewenang untuk mengambil tindakan nyata: memanggil API internal, membaca basis data pelanggan, mengirim email, memproses klaim, hingga mengeksekusi kode. Bank digital menggunakannya untuk analisis risiko, e-commerce untuk layanan pelanggan, dan instansi pemerintah untuk otomasi dokumen. Namun ada satu kebenaran yang kerap terlewat: begitu sebuah AI diberi kemampuan untuk bertindak, ia berhenti menjadi sekadar fitur produk dan berubah menjadi permukaan serangan (attack surface) yang benar-benar baru.
Pada 9 Desember 2025, OWASP GenAI Security Project merilis OWASP Top 10 for Agentic Applications 2026, sebuah kerangka yang disusun bersama lebih dari 100 pakar industri untuk memetakan sepuluh risiko keamanan paling kritis pada sistem AI otonom. Artikel ini membedah kesepuluh risiko tersebut, mengaitkannya dengan data ancaman terbaru, serta membahas implikasinya bagi kepatuhan hukum dan strategi pertahanan organisasi di Indonesia.
Mengapa AI Agentik Berbeda dari LLM Biasa
Perbedaan mendasar antara chatbot LLM tradisional dan aplikasi agentik terletak pada otonomi. Chatbot hanya menghasilkan teks; jawabannya salah pun, dampaknya terbatas. Sebaliknya, agent agentik memiliki empat komponen yang masing-masing menambah risiko: kemampuan merencanakan langkah (planning), akses ke perkakas atau tools melalui integrasi API, memori yang menyimpan konteks lintas sesi, serta jalur komunikasi dengan agent lain. Risiko agentik bukan lagi soal apa yang dikatakan sistem, melainkan apa yang akan dilakukannya.
Skala masalahnya tidak main-main. Menurut laporan lanskap ancaman AI 2026 dari HiddenLayer, hanya 14,4% organisasi yang mengirim agent ke lingkungan produksi dengan persetujuan penuh dari tim keamanan atau TI. Selebihnya berjalan tanpa pengawasan memadai. Forum Ekonomi Dunia dalam Global Cybersecurity Outlook 2026 mencatat bahwa 87% responden menilai kerentanan terkait AI sebagai risiko siber yang tumbuh paling cepat. Sementara itu, serangan prompt injection diperkirakan memengaruhi sekitar 34% agent yang telah dideploy.
Sepuluh Risiko dalam OWASP Top 10 Agentic 2026
Kerangka ini menggunakan penanda ASI01 hingga ASI10 (ASI = Agentic Security Issues). Berikut ringkasannya:
- ASI01 — Agent Goal Hijack: penyerang membajak tujuan agent, misalnya melalui prompt injection, sehingga agent menjalankan instruksi yang seharusnya diabaikan. Ini menyerang penalaran agent, bukan infrastrukturnya.
- ASI02 — Tool Misuse & Exploitation: penyalahgunaan perkakas yang sah. Agent yang punya akses ke fungsi hapus file atau transfer dana dapat dimanipulasi untuk menyalahgunakannya.
- ASI03 — Agent Identity & Privilege Abuse: penyalahgunaan identitas dan hak akses. Survei keamanan 2026 menemukan 37% insiden identitas non-manusia (non-human identity) berakar pada hak akses yang berlebihan.
- ASI04 — Agentic Supply Chain Compromise: peracunan rantai pasok, termasuk runtime poisoning pada ekosistem Model Context Protocol (MCP) dan Agent-to-Agent (A2A).
- ASI05 — Unexpected Code Execution: eksekusi kode tak terduga ketika agent diberi kemampuan menjalankan skrip atau perintah sistem.
- ASI06 — Memory & Context Poisoning: peracunan memori agar instruksi jahat yang tersimpan dieksekusi pada sesi berikutnya.
- ASI07 — Insecure Inter-Agent Communication: komunikasi antaragen yang tidak aman, di mana pesan antaragen dapat disadap atau dipalsukan.
- ASI08 — Cascading Agent Failures: kegagalan beruntun, saat kesalahan satu agent menular dan memicu efek domino di sistem multi-agent.
- ASI09 — Human-Agent Trust Exploitation: eksploitasi kepercayaan manusia terhadap output agent yang tampak meyakinkan namun keliru.
- ASI10 — Rogue Agents: agent nakal yang beroperasi di luar kendali atau tidak pernah disetujui — erat kaitannya dengan fenomena Shadow AI.
Titik Terlemah: Identitas dan Rantai Pasok Agent
Dua risiko yang paling relevan untuk konteks operasional Indonesia adalah ASI03 dan ASI04. Masalah over-privileged access muncul karena proses pemberian hak akses ke agent kerap tidak melewati tinjauan manusia seperti pada akun pegawai. Agent yang dibuat untuk satu alur kerja sering kali mewarisi seluruh hak akses penggunanya, lalu menyimpan hak itu tanpa batas waktu.
Di sisi rantai pasok, MCP dan A2A menjadi tulang punggung interoperabilitas agent modern — namun keduanya secara desain tidak memverifikasi identitas agent. Sebuah pemindaian terhadap sekitar 2.000 server MCP menemukan bahwa seluruhnya tidak memiliki mekanisme autentikasi. Ini membuka pintu bagi schema poisoning, yaitu manipulasi definisi perkakas sehingga LLM tertipu menjalankan tool tak sah, serta penyisipan tool berbahaya (misalnya mengganti "pembaca file" dengan malware).
Kecepatan eksploitasi juga meningkat drastis. Waktu serah-terima akses antara broker akses awal dan operator ransomware menyusut menjadi sekitar 22 detik pada 2025, dibanding lebih dari 8 jam pada 2022. Celah yang sama pada ekosistem agent akan dieksploitasi dengan tempo serupa.
Implikasi Hukum di Indonesia
Bagi organisasi Indonesia, risiko ini bukan sekadar soal teknis, melainkan juga kepatuhan. Ketika sebuah AI agentik mengakses data pelanggan, ia memproses data pribadi dalam pengertian Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Kebocoran akibat agent yang dibajak atau over-privileged tetap menjadi tanggung jawab organisasi sebagai Pengendali Data Pribadi, dengan potensi sanksi administratif hingga 2% dari pendapatan tahunan.
Selain itu, tindakan yang dilakukan agent otonom — misalnya akses tanpa hak ke sistem — dapat bersinggungan dengan UU ITE. Prinsip akuntabilitas menuntut adanya jejak audit yang jelas: siapa (atau agent mana) melakukan apa, kapan, dan atas dasar otorisasi siapa. Tanpa tata kelola identitas agent yang rapi, organisasi kesulitan membuktikan kepatuhannya saat terjadi insiden.
Kerangka Mitigasi yang Bisa Diterapkan
Mengamankan aplikasi agentik menuntut pergeseran pola pikir dari "mengamankan model" menjadi "mengamankan seluruh siklus tindakan agent". Beberapa langkah prioritas yang dapat diadopsi:
- Terapkan hak akses paling minim (least privilege). Berikan agent hanya izin yang benar-benar diperlukan untuk tugasnya, dengan masa berlaku terbatas dan peninjauan berkala. Perlakukan setiap agent sebagai identitas non-manusia yang harus dikelola sepanjang siklus hidupnya.
- Amankan lapisan transport dan perkakas. Tambahkan autentikasi dan otorisasi pada server MCP, validasi skema tool, serta terapkan token berbasis kapabilitas yang mengikat identitas, otorisasi, dan provenans dalam satu rantai. Jangan pernah mengekspos server MCP tanpa autentikasi ke jaringan.
- Bangun guardrail terhadap prompt injection. Pisahkan instruksi sistem dari input tak tepercaya, terapkan validasi keluaran, dan wajibkan konfirmasi manusia (human-in-the-loop) untuk tindakan berisiko tinggi seperti transfer dana atau penghapusan data.
- Lawan Shadow AI. Buat proses persetujuan dan inventaris agent yang jelas agar tidak ada rogue agent yang berjalan diam-diam. Ingat, hanya 14,4% organisasi yang meluncurkan agent dengan persetujuan penuh — jangan menjadi bagian dari 85,6% sisanya.
- Adopsi kerangka tata kelola. Sandarkan program keamanan pada standar yang diakui seperti NIST AI Risk Management Framework dan ISO/IEC 42001 tentang sistem manajemen AI, dipadukan dengan OWASP Top 10 Agentic sebagai peta risiko teknis.
- Aktifkan pemantauan dan jejak audit. Rekam setiap pemanggilan tool dan komunikasi antaragen agar anomali cepat terdeteksi dan pembuktian kepatuhan menjadi mungkin.
Penutup
AI agentik menawarkan lompatan produktivitas yang nyata, tetapi ia juga memperluas permukaan serangan ke wilayah yang belum sepenuhnya dipahami banyak organisasi. OWASP Top 10 for Agentic Applications 2026 memberi kita kosakata bersama untuk membicarakan risiko-risiko ini secara sistematis — dari pembajakan tujuan hingga agent nakal. Bagi perusahaan di Indonesia, mengintegrasikan kerangka ini dengan kepatuhan UU PDP dan prinsip security by design bukan lagi pilihan, melainkan keharusan sebelum melepas agent otonom ke produksi. Keamanan agentik paling efektif ketika dirancang sejak awal, bukan ditambal setelah insiden terjadi.
Siberindo membantu organisasi menilai risiko keamanan sistem AI, merancang tata kelola identitas agent, dan membangun pertahanan berlapis sesuai standar internasional dan regulasi Indonesia.
