Andre Durand, CEO sekaligus pendiri Ping Identity, menegaskan bahwa arsitektur keamanan zero trust kini harus dijalankan sebagai kebutuhan mendesak bagi sistem AI agen, bukan lagi sekadar target jangka panjang perusahaan. Pernyataan tersebut muncul menyusul melesatnya adopsi agen kecerdasan buatan yang mampu mengeksekusi ribuan tindakan dalam hitungan menit, memaksa verifikasi akses dilakukan secara berkesinambungan dan instan.
Model zero trust berdiri di atas asumsi bahwa tak ada pengguna, perangkat, maupun sistem yang boleh dipercaya secara otomatis. Setiap tindakan harus melewati proses verifikasi ulang, bukan sekadar pemeriksaan tunggal saat masuk ke dalam sistem. Kehadiran AI agen mengubah lanskap risiko secara drastis karena kecepatan operasinya jauh melampaui ritme manusia.
Durand mencatat bahwa setiap kali seorang karyawan menyetujui permintaan agen untuk mengakses berkas perusahaan, basis data, atau repositori kode, perusahaan sebenarnya menyerahkan sebagian kendali. Secara individu, persetujuan itu tampak rutin. Namun, ketika ribuan agen mengajukan ribuan permintaan, akumulasi izin tersebut membentuk paparan keamanan yang tak terukur oleh arsitektur lama.
Perbedaan kecepatan inilah yang mengubah cara perusahaan memandang izin akses. Dua variabel krusial bermain: luas permukaan akses yang diberikan dan durasi akses tersebut tetap aktif. Sistem manajemen identitas tradisional cenderung memberikan hak akses luas dan membiarkan sesi terbuka lama karena pengguna manusia bergerak dalam kecepatan manusiawi.
Zero trust memangkas kedua variabel sekaligus. Akses dipersempit hanya untuk kebutuhan mutlak dan divalidasi terus-menerus, bukan sekali saat login. Pendekatan ini menggeser titik kendali identitas dari sekadar status masuk ke dalam keputusan di balik setiap tindakan berikutnya.
Bagi Indonesia, isu ini relevan seiring masuknya layanan AI agen ke sektor perbankan, e-commerce, dan administrasi publik. Banyak perusahaan lokal masih mengandalkan akun layanan bersama dan kunci API yang disematkan di dalam kode sumber. Praktik itu memudahkan kebocoran saat alur kerja agen digunakan secara masif.
Dampaknya meluas ke pelaku usaha mikro, kecil, dan menengah yang mulai mengotomatisasi layanan pelanggan dengan agen AI. Tanpa pemisahan identitas yang jelas, jejak tindakan agen dan manusia akan tumpang tindih. Hal itu memperbesar risiko saat terjadi insiden keamanan yang harus ditelusuri secara hukum.
Durand menyarankan setiap agen memiliki identitas sendiri, tidak meniru login manusia atau memakai akun bersama. "Setiap agen sebaiknya punya identitasnya sendiri. Ia boleh bertindak atas nama manusia, namun garis antara manusia dan agen tak boleh kabur," ujarnya. Pemisahan ini krusial agar delegasi wewenang tercatat secara transparan.
Ia juga mengingatkan soal rahasia bersama seperti kunci API yang kerap tertanam di kode sumber dan terdorong ke repositori secara tak sengaja. Arsitektur akun layanan yang tak bergantung pada kredensial berumur panjang kini jadi prioritas mendesak. Bukan lagi sekadar proyek pembersihan jangka panjang.
Penerapan kebijakan zero trust dapat dilakukan di titik penyumbat seperti API gateway dan gerbang agen di depan server MCP. Di lokasi itu, perusahaan bisa memeriksa permintaan agen dan menerapkan aturan berdasarkan sinyal risiko secara langsung. Sebagai contoh, agen yang hendak mengunggah kode ke GitHub tak lagi membawa izin tetap, melainkan dicek saat permintaan terjadi.
Ancaman agen yang mengubah izin sendiri telah terdeteksi, termasuk agen penulis kode yang mengabaikan batasan atau merevisi hak aksesnya. Durand menekankan, "Siapa yang mengawasi pengawas? Zero trust harus berlaku di sini." Jika sistem AI mematuhi instruksi 97 persen saja, angka itu tak cukup untuk keputusan akses kritis.
Ke depan, kerangka peninjauan tanpa verifikasi langsung atas output agen akan berkembang. Satu agen menghasilkan karya, agen lain mengevaluasinya tanpa berkomunikasi satu sama lain. Manusia tetap bertanggung jawab pada keputusan berisiko tinggi. Pendekatan itu menjadi satu-satunya cara mengimbangi kecepatan agen tanpa kehilangan kendali.
Pengguna di Indonesia perlu menyadari bahwa keamanan tak lagi cukup di level login. Layanan yang mereka pakai harus menjamin setiap tindakan agen diawasi. Pembentukan standar nasional terkait identitas agen tampaknya akan jadi kebutuhan regulator dalam dua tahun mendatang.