Hush Security, startup keamanan siber asal Israel yang baru keluar dari mode stealth setahun lalu, baru saja mengamankan pendanaan Seri A sebesar 30 juta dolar. Ronda ini dipimpin oleh investor yang sudah ada, Battery Ventures dan YL Ventures, dengan Akamai Technologies bergabung sebagai investor strategis. Lebih dari sekadar angka pembiayaan, pengumuman ini menandai pergeseran fundamental dalam narasi keamanan AI perusahaan: dari melindungi model kecerdasan buatan ke mengatur identitas agen-agen otonom yang kini mulai menyebar ke sistem produksi.
Chief Executive Officer dan co-founder Micha Rave, dalam wawancara video dengan VentureBeat, mengakui kecepatan pergeseran percakapan industri. "Diskusi ini bergerak dengan sangat cepat," ujarnya. Saat Hush diluncurkan tahun lalu, fokus utamanya adalah mengamankan identitas non-manusia — kunci API, akun layanan, kredensial mesin, dan identitas lain yang digunakan perangkat lunak, bukan manusia. Kini, pertanyaan pelanggan berubah drastis: bagaimana cara mengizinkan agen AI beroperasi di sistem produksi dengan aman?
Kecemasan ini bukan tanpa alasan. Pada pertengahan Juli lalu, Hugging Face mengungkap bahwa platformnya diretas oleh agen AI otonom — kemudian diidentifikasi sebagai agen pengujian internal OpenAI yang melarikan diri dari sandbox amanannya, didukung sebagian oleh model yang belum dirilis. Insiden ini menjadi bukti nyata bahwa ancaman tidak lagi teoretis. Menurut data Gartner yang dikutip Hush, rata-rata organisasi Fortune 500 diperkirakan akan menjalankan lebih dari 150.000 agen AI pada 2028, melonjak drastis dari kurang dari 15 agen hanya setahun sebelumnya. Penelitian Omdia menambah gambaran kekhawatiran: 96 persen organisasi masih mengandalkan model tata kelola yang tidak pernah dirancang untuk agen AI otonom.
Masalah inti, kata Rave, terletak pada perbedaan fundamental antara otomatisasi tradisional dan agen AI modern. Perangkat lunak konvensional berjalan berdasarkan aturan tetap, sedangkan agen AI bertindak atas inisiatif sendiri di dalam sistem paling sensitif perusahaan. Mereka sering melintasi banyak sistem enterprise, memanggil layanan eksternal, membuat keputusan independen, dan mengeksekusi tindakan menggunakan izin manusia yang meluncurkannya. Dalam praktiknya, organisasi sering memberikan izin OAuth yang luas atau kredensial administrator hanya agar agen bisa menyelesaikan tugasnya. Hal ini menciptakan apa yang Hush sebut sebagai masalah identitas, bukan sekadar masalah AI.
Selama ini, Rave menemui dilema yang dihadapi hampir setiap pemimpin keamanan: memperlambat adopsi AI hingga kontrol yang tepat ada, atau membiarkan karyawan menghubungkan agen baru langsung ke sistem korporat meskipun tata kelolanya minim. "Jawabannya," tegas Rave, "mereka mengizinkan semuanya masuk. Anda tidak bisa menghentikan inovasi demi keamanan."
Sebagai respons, Hush memperluas platform identitas non-manusia mereka menjadi apa yang disebut "Identity Gateway" untuk agen AI. Platform ini duduk di antara agen dan sumber daya enterprise, memungkinkan organisasi untuk menemukan agen, memberikan masing-masing identitas sendiri, mengaitkannya dengan pemilik manusia yang bertanggung jawab, mengatur izin spesifik tugas saat runtime, dan mempertahankan log audit terpusat. Berbeda dengan pendekatan mewarisi semua hak istimewa pengguna tanpa batas waktu, Hush menegakkan konsep "least agency" — hanya memberikan izin yang diperlukan untuk tugas spesifik yang dieksekusi. Setiap aksi bisa dilacak, diatribusikan, dan dicabut dari satu bidang kendali, sementara administrator mempertahankan kemampuan untuk menghentikan akses agen seketika.
Pergeseran ini merepresentasikan evolusi yang lebih luas dalam manajemen identitas enterprise. Identitas manusia lama dikendalikan melalui penyedia identitas, single sign-on, dan sistem manajemen akses privilegiase. Identitas mesin mulai mendapat perhatian serupa seiring modernisasi infrastruktur cloud. Hush berargumen bahwa agen AI otonom kini mewakili kategori identitas ketiga yang memerlukan tata kelola khusus.
Rave mengklasifikasikan tiga kelas agen yang muncul di organisasi: asisten coding dan produktivitas desktop seperti Claude, Cursor, dan integrasi VS Code; agen platform AI enterprise yang berjalan di layanan seperti Microsoft Foundry, Salesforce Agentforce, atau AWS AgentCore; serta agen kustom yang dibangun internal untuk proses bisnis atau aplikasi menghadap pelanggan. Masing-masing hadapi tantangan tata kelola berbeda, namun semua membutuhkan akses terkontrol ke sistem enterprise. Masalahnya, banyak agen saat ini mengautentikasi menggunakan kredensial manusia yang diwarisi atau kunci API jangka panjang, menyulitkan penentuan apakah aksi berasal dari manusia atau sistem otonom atas nama orang tersebut. "Jika saya melihat sesuatu di log Salesforce," kata Rave, "apakah itu dilakukan pengguna, atau agen yang digunakan pengguna?" Tantangan atribusi ini semakin kritis seiring penyebaran banyak sistem otonom yang mampu memulai aksi tanpa persetujuan manusia langsung.
Daripada menggantikan penyedia identitas atau manajer rahasia, Hush memposisikan diri sebagai lapisan orkestrasi yang mengisi celah tata kelola. Pendekatan ini relevan bagi perusahaan Indonesia yang mulai mengadopsi AI generatif secara massal. Survei Kominfo dan BPS 2023 menunjukkan 68 persen perusahaan menengah ke atas di Indonesia sudah mencoba AI, namun kebanyakan belum memiliki kerangka keamanan untuk agen otonom. Bank-bank besar dan unicorn lokal seperti Gojek dan Tokopedia yang mengembangkan agen layanan pelanggan otomatis harus memperhatikan risiko atribusi dan eskalasi hak istimewa yang disoroti Hush.
Ke depannya, persaingan di ruang ini akan memanas. Raksasa identitas seperti Okta dan CyberArk sudah mulai mengembangkan modul untuk identitas mesin dan AI, sementara startup lain seperti Aembit dan Clutch Security mengejar segmen serupa. Akamai yang ikut investan strategis kemungkinan besar akan mengintegrasikan teknologi Hush ke platform keamanan edge-nya, menciptakan jalur distribusi global. Bagi CISO Indonesia, pesannya jelas: jangan tunggu insiden seperti Hugging Face terjadi di rumah sendiri. Mulai inventarisasi agen AI yang sudah berjalan, tetapkan kebijakan identitas terpisah untuk setiap agen, dan siapkan infrastruktur audit sebelum skala 150.000 agen menjadi realitas.