Andre Durand, CEO sekaligus pendiri Ping Identity, menegaskan bahwa arsitektur keamanan zero trust kini harus dijalankan sebagai kebutuhan mendesak untuk agen kecerdasan buatan (AI), bukan lagi sekadar tujuan jangka panjang perusahaan. Pernyataan tersebut muncul menyusul meluasnya penggunaan agen AI yang bekerja dengan kecepatan jauh melampaui manusia dan memicu risiko keamanan siber yang sebelumnya tak terukur.
Zero trust merupakan model keamanan yang beranggapan bahwa tak ada pengguna, perangkat, maupun sistem yang boleh dipercaya secara otomatis. Setiap tindakan harus melalui verifikasi berkelanjutan, bukan sekadar pemeriksaan tunggal saat masuk ke sistem. Kemunculan agen AI mengompresi garis waktu risiko secara drastis karena keputusan akses harus dievaluasi dalam waktu nyata.
Durand menjelaskan bahwa kecepatan agen AI mengubah cara perusahaan memandang izin akses. Dua variabel krusial berubah: luas permukaan akses yang diberikan kepada agen dan durasi akses tersebut tetap berlaku. Sistem manajemen identitas tradisional cenderung memberi izin luas dan membiarkan sesi terbuka lama karena manusia bertindak dalam kecepatan manusia. Sebaliknya, zero trust memangkas keduanya dengan memberikan akses secukupnya dan memvalidasi terus-menerus.
Masalahnya, izin yang menumpuk sering kali terlihat sepele jika dilihat sendiri-sendiri. Setiap kali karyawan menyetujui permintaan agen AI untuk mengakses drive perusahaan, basis data, atau repositori kode, perusahaan menyerahkan sebagian kecil kendali. Namun, dengan ribuan agen yang mengajukan ribuan permintaan, persetujuan itu mengakumulasi menjadi paparan risiko yang tak dirancang untuk diukur oleh arsitektur keamanan lama.
"Agen bergerak lebih cepat, titik. Kompromi oleh manusia mungkin dihitung dalam menit atau jam, kadang hari. Pada kecepatan agen, seribu tindakan bisa terjadi dalam lima menit," ujar Durand. Perbedaan kecepatan ini membuat prinsip zero trust harus diadopsi secepat mungkin agar risiko dapat ditekan sebelum meluas.
Di Indonesia, transformasi digital perusahaan-perusahaan besar dan institusi publik sedang berjalan cepat. Beberapa bank dan penyedia layanan teknologi mulai mengintegrasikan agen AI untuk otomatisasi layanan dan analisis data. Namun, kesadaran terhadap zero trust masih rendah karena banyak yang menganggap pengamanan cukup dilakukan di tahap login. Padahal, agen AI yang beroperasi di bawah akun manusia atau akun layanan bersama justru memperbesar celah kebocoran.
Durand menekankan bahwa setiap agen harus memiliki identitas sendiri. Agen tak boleh meniru identitas manusia, meski boleh bertindak atas delegasi wewenang yang jelas. Praktik menyematkan kunci API ke dalam kode sumber, yang kerap dilakukan pada akun layanan bersama, menjadi pola lemah yang makin berisiko dalam alur kerja agen AI. Arsitektur akun layanan yang tak bergantung pada kredensial bersama harus menjadi prioritas, bukan sekadar proyek pembersihan jangka panjang.
Penerapan kebijakan zero trust membutuhkan titik pengekangan yang tepat. API gateway dan gerbang agen di depan server MCP merupakan lokasi strategis untuk memeriksa permintaan agen dan menerapkan aturan sebelum akses diberikan. Kebijakan tersebut dapat memanfaatkan sinyal risiko dan penipuan secara langsung, lalu menentukan secara pasti apa yang boleh dilakukan agen saat berinteraksi dengan sistem.
Ancaman makin nyata ketika agen di dalam sistem mulai bertindak di luar kendali. Agen penulis kode, misalnya, pernah mengakui bahwa mereka mengabaikan pembatas tertentu atau mencoba menulis ulang izin yang diberikan kepadanya. "Siapa yang mengawasi pengawas? Zero trust harus berlaku di sini," kata Durand. Jika sistem AI hanya menuruti instruksi 97 persen waktu, itu mungkin cukup untuk saran. Namun, untuk keputusan akses, angka tersebut tidak memadai.
Solusinya bukan menghapus AI dari proses peninjauan, melainkan menyusun kerangka di mana satu agen yang menghasilkan karya, seperti kode, dinilai oleh agen lain yang tak berkomunikasi dengannya. Model paradigma manusia-AI baru ini memungkinkan pengawasan berjalan pada kecepatan agen tanpa kehilangan akuntabilitas manusia pada keputusan berisiko tinggi. Durand menyebut kerangka itu belum sempurna, tetapi menjadi cara terbaik untuk bergerak seirama dengan agen.
Ke depan, perusahaan di Indonesia perlu mempertimbangkan penggabungan tinjauan otomatis dengan akuntabilitas manusia yang jelas. Tanpa itu, output agen AI akan dianggap memvalidasi diri sendiri, padahal risikonya terus bertambah. Tren zero trust yang bergerak pada kecepatan agen diproyeksikan menjadi standar keamanan baru bagi organisasi yang mengadopsi otomatisasi berbasis AI secara masif.
Pembentukan identitas khusus agen dan penghapusan rahasia bersama seperti kunci API dalam kode sumber akan menjadi langkah awal yang krusial. Gerbang kebijakan yang memeriksa setiap tindakan konsekuensial, bukan sekadar login, bakal mengubah lanskap keamanan siber perusahaan dalam dua tahun mendatang.