Survei terhadap 107 perusahaan dengan lebih dari 100 karyawan di Amerika Serikat menunjukkan bahwa 54% di antaranya telah mengalami insiden keamanan nyata atau hampir terjadi akibat penggunaan agen kecerdasan buatan (AI agent) pada Juni 2026. Mayoritas perusahaan masih membiarkan agen tersebut berbagi kredensial akses, padahal kontrol keamanan yang seharusnya membatasi kerusakan tertinggal jauh dari kecepatan adopsi teknologi.
Temuan ini dirilis oleh VentureBeat melalui seri Pulse Research yang mengukur kesiapan perusahaan dalam mengamankan agen AI yang beroperasi secara otonom. Dari total responden, 18% melaporkan insiden yang sudah terjadi secara pasti, sementara 36% lainnya mengaku sempat mendeteksi ancaman sebelum berdampak buruk. Hanya 42% yang menyatakan belum menemukan masalah serupa, dan sisanya tidak melacak aktivitas agen atau belum menggunakannya di lingkungan produksi.
Kesenjangan utama berada pada tata kelola identitas. Hanya 32% perusahaan memberikan identitas khusus yang dibatasi wewenangnya untuk setiap agen AI. Selebihnya membiarkan sebagian agen berbagi kredensial atau menggunakan kunci API serta akun layanan bersama. Praktik ini membuat satu agen yang tersusupi dapat merusak sistem lain karena ruang geraknya tidak dibatasi.
Lebih dari separuh perusahaan belum mengisolasi agen berisiko tinggi ke dalam lingkungan terbatas (sandbox). Angka pastinya hanya 30% yang melakukan isolasi tersebut. Padahal, perusahaan besar dengan lebih dari 1.000 karyawan mencatat tingkat insiden mencapai 63%, sementara isolasi justru turun dari 35% di perusahaan menengah menjadi 20% di perusahaan besar. Mereka memakai agen paling banyak, tapi kontrol pengamanan paling tipis.
Kenyamanan perusahaan terhadap kondisi ini cukup mengherankan. Mayoritas mengandalkan alat keamanan bawaan dari penyedia model seperti OpenAI, Google, Microsoft, dan Anthropic. Guardrails OpenAI dipakai oleh 51% responden, sementara spesialis keamanan agen AI hampir tidak terlihat. Tingkat kepuasan terhadap tumpukan alat pinjaman itu mencapai 4,2 dari skala 5.
Di sisi lain, belanja untuk keamanan agen AI masih sangat kecil dari total anggaran keamanan. Hanya sepertiga perusahaan yang merasa pertahanan mereka lebih maju daripada penyerang yang juga memakai AI. Mayoritas justru berencana mengganti perangkat keamanan dalam satu tahun ke depan. Mereka puas, tetapi bersiap mengganti alat yang sama.
Metodologi survei ini memang bersifat arah, bukan ukuran presisi. Sampel 107 perusahaan melibatkan pembuat keputusan akhir (45%) dan pemberi rekomendasi (30%). Sektor teknologi dan perangkat lunak mendominasi (23%), disusul manufaktur, ritel, dan kesehatan. Karena responden mayoritas perusahaan menengah, gambaran ini mewakili organisasi yang sedang membangun sistem keamanan agen, bukan operator raksasa.
Bagi Indonesia, data ini menjadi peringatan dini. Banyak perbankan, e-commerce, dan layanan publik di Tanah Air mulai mengadopsi agen AI untuk layanan pelanggan dan otomasi internal. Namun, kesadaran terhadap keamanan identitas agen masih minim. Sebagian besar mengandalkan API key tunggal yang dibagikan ke beberapa layanan, persis pola yang menyebabkan insiden di AS.
Pengguna akhir di Indonesia berisiko jika agen AI di layanan digital mereka tersusupi. Data pribadi, riwayat transaksi, dan preferensi bisa bocor karena satu kredensial bersama terkompromi. Startup lokal penyedia solusi keamanan seperti yang fokus pada manajemen akses masih jarang menawarkan produk khusus agen AI.
Menurut laporan tersebut, perusahaan yang menangkap ancaman sebelum merusak sistem melakukannya dengan kontrol dasar yang belum sempurna. "Enterprises are catching problems, but they are catching them close to the edge," tulis VentureBeat merangkum temuan identitas dan isolasi sebagai penentu apakah insiden berikutnya bisa dicegah.
Ke depan, tren penggantian alat keamanan dalam 12 bulan akan mendorong munculnya startup khusus proteksi agen AI. Perusahaan besar kemungkinan akan memaksa vendor cloud menyediakan identitas per agen secara default. Tanpa itu, celah keamanan akan melebar seiring agen semakin otonom menjalankan tugas lintas sistem.
Indonesia perlu menyiapkan panduan adopsi agen AI dari sisi keamanan sebelum kasus serupa meluas. Regulator dan asosiasi teknologi dapat mendorong standar isolasi dan identitas terbatas agar pelaku usaha tidak terjebak dalam kenyamanan alat bawaan penyedia model.