OWASP 2026: Kontrol Agen AI Harus Bekerja Saat Aksi

JAKARTA, 4 November 2026 — Pengamanan agen artificial intelligence (AI), atau kecerdasan buatan, tidak berhenti pada jawaban model. Ketika agen memperoleh akses ke dokumen, aplikasi dan transaksi, organisasi harus membuktikan bahwa tindakan yang melampaui mandat benar-benar ditolak.

Kebutuhan ini memperoleh konteks baru dari GenAI Data Security Best Practices v2 – Part1, yang ditampilkan OWASP bertanggal 3 November 2026. Ringkasan resmi menjelaskan landasan keamanan data, prinsip inti, serta pengembangan program AI Data Security Posture Management (AI-DSPM), termasuk model operasi, indikator kinerja dan integrasi dengan operasi keamanan. Artikel ini membaca pembaruan tersebut bersama pengumuman Top 10 dan Agent Control Standard pada September; keduanya bukan pengumuman yang terbit pada tanggal sama.

Dari risiko model menuju tindakan sistem

Sebuah agen kecerdasan buatan tidak hanya menghasilkan teks. Ketika terhubung dengan aplikasi perusahaan, agen dapat membaca dokumen, mengubah catatan, mengirim pesan, atau menginisiasi transaksi. Masalah keamanan pun bergeser: jawaban salah dapat menjadi tindakan salah. Karena itu, kontrol yang hanya mengandalkan instruksi bahasa alami agar model ‘berhati-hati’ tidak memadai. Sistem pemanggil alat harus menegakkan batas akses secara terpisah dari keputusan model.

Apa yang diumumkan OWASP pada September 2026?

Dalam pengumuman tertanggal 1 September 2026, dengan dateline rilis 2 September, OWASP GenAI Security Project memperkenalkan edisi 2026 Top 10 untuk aplikasi large language model, serta menyambut Agent Control Standard (ACS) yang didonasikan ke proyek tersebut. OWASP menyatakan pemeringkatan ancaman edisi baru mempertimbangkan masukan pakar dan riset atas ribuan insiden. Pengumuman ini adalah keterangan dari organisasi penerbit, bukan audit independen AIGEO atas seluruh insiden. Sumber: pengumuman resmi OWASP.

Apa perbedaan panduan dan kontrol yang dapat ditegakkan?

Dokumen pedoman membantu organisasi mengenali jenis kegagalan. Kontrol runtime menentukan apakah sebuah tindakan boleh dieksekusi pada detik tertentu. Contohnya, agen pembelian menerima instruksi mengirim pesanan kepada vendor. Sebelum API pembayaran dipanggil, gateway memeriksa identitas agen, pemilik mandat, batas nominal, penerima yang diizinkan, serta persetujuan manusia jika diperlukan. Pemeriksaan berlangsung meskipun model menghasilkan alasan yang terdengar benar. ACS mengarah pada kebutuhan pengendalian operasional tersebut, tetapi organisasi tetap perlu membaca spesifikasi dan menguji implementasinya sendiri.

Excessive agency menjadi risiko yang lebih nyata

OWASP menyoroti excessive agency—pemberian fungsi, izin atau otonomi terlalu luas—sebagai ancaman penting. Dalam rilisnya, salah satu kontributor menyatakan risiko tersebut berada di urutan ketiga edisi 2026. Peringkat adalah hasil metodologi proyek dan tidak otomatis berarti probabilitas serangan di setiap perusahaan sama. Untuk organisasi kecil, izin akses file atau email mungkin lebih berbahaya daripada kemampuan model mengakses sistem keuangan yang sama sekali tidak terhubung. Pengujian harus dimulai dari inventaris alat yang benar-benar tersedia bagi agen.

Skenario pengadaan yang bisa diuji

Bayangkan agen boleh membuat permintaan pembelian maksimal Rp2 juta per pesanan dan total Rp10 juta per hari. Penyerang menyisipkan instruksi dalam deskripsi produk agar agen membagi pembelian Rp12 juta menjadi enam transaksi kecil. Kontrol per transaksi saja mungkin meloloskan semuanya, sedangkan kontrol agregat harian akan menolak tindakan yang melampaui Rp10 juta. Contoh ini simulasi desain pengamanan, bukan insiden yang dilaporkan OWASP. Ia memperlihatkan mengapa pembatasan harus mengikuti tujuan bisnis dan bukan hanya batas parameter API.

Matriks uji sebelum produksi

Tim keamanan dapat membuat lima skenario: permintaan normal yang diizinkan; permintaan mengakses folder di luar mandat; perubahan nomor rekening vendor melalui dokumen eksternal; tindakan berulang yang melampaui kuota; dan penghentian darurat saat kredensial bocor. Untuk setiap skenario, simpan hasil yang diharapkan, hasil aktual, waktu respons, serta pihak yang meninjau. Uji perlu diulang setelah model, konektor atau kebijakan berubah. Sistem yang lolos satu rangkaian pengujian belum terbukti aman terhadap seluruh serangan.

Bukan pengganti tata kelola organisasi

Runtime enforcement tidak dapat menentukan sendiri apakah kebijakan perusahaan adil atau sah. Persetujuan manusia juga tidak bermakna jika operator hanya menekan tombol tanpa konteks. Pemilik proses perlu mengklasifikasikan tindakan yang dapat dibatalkan dan yang tidak, serta menentukan ambang pengawasan sesuai dampaknya. Penilaian vendor harus menanyakan bagaimana kredensial dicabut, apakah log dapat diekspor, siapa menerima notifikasi insiden, dan bagaimana tindakan yang telanjur dieksekusi dipulihkan.

Apa artinya bagi Indonesia?

Perusahaan Indonesia yang mulai menghubungkan agen AI ke ERP, CRM, sistem pembayaran atau layanan pelanggan sebaiknya menempatkan kontrol otorisasi pada lapisan aplikasi, bukan mempercayakan semuanya kepada prompt. Kebijakan pengadaan dapat mensyaratkan daftar konektor, matriks izin, audit trail, pengujian prompt injection, serta rencana penghentian layanan. Regulasi sektor dan perlindungan data tetap harus dinilai terpisah. OWASP merupakan rujukan praktik keamanan komunitas, bukan pengganti kewajiban hukum yang mengikat.

Mengapa guardrail berbasis prompt bukan garis pertahanan terakhir

Instruksi kepada model untuk menolak permintaan berbahaya tetap berguna sebagai pertahanan awal, tetapi tidak boleh menjadi satu-satunya kontrol. Isi halaman web, pesan pengguna, dokumen vendor, ataupun keluaran alat dapat membawa instruksi yang mencoba mengambil alih perilaku agen. Pengendalian yang lebih kuat menempatkan keputusan izin pada aplikasi yang dapat memeriksa identitas, jenis operasi, target, dan konteks bisnis sebelum eksekusi. Aplikasi juga dapat memisahkan kredensial baca dari kredensial tulis, menerapkan waktu kedaluwarsa token, dan menolak pengiriman ke domain yang tidak disetujui. Risiko tetap ada jika kebijakan otorisasi salah ditulis atau dapat diubah oleh agen itu sendiri; karena itu diperlukan pengujian negatif dan tinjauan perubahan.

Kontrol terpisah untuk baca, ubah, dan kirim

Misalkan sistem layanan pelanggan punya fungsi mengambil status pesanan, mengubah alamat pengiriman, serta mengembalikan uang. Ketiganya tidak layak berbagi izin yang sama. Pembacaan status dapat dibatasi pada pesanan yang telah lolos autentikasi pelanggan. Perubahan alamat memerlukan verifikasi ulang karena dampaknya pada pengiriman fisik. Pengembalian uang membutuhkan aturan nominal, batas frekuensi, dan rekam persetujuan yang sesuai. Model boleh menyiapkan tindakan, tetapi tool gateway harus menerima identitas pengguna dan agen yang benar, tidak hanya argumen transaksi yang dipilih model. Pola ini mengurangi peluang satu prompt berbahaya berubah menjadi tindakan yang berdampak luas.

Metrik pengawasan pascapeluncuran

Selain menghitung tugas yang berhasil, organisasi perlu memantau proporsi upaya akses yang ditolak dengan alasan benar, jumlah tindakan material tanpa persetujuan, waktu pemutusan kredensial setelah insiden, dan kejadian berulang yang lolos batas frekuensi. Angka tersebut perlu dibaca bersama konteks: tingkat penolakan tinggi bisa menunjukkan serangan, kesalahan desain workflow, atau kebijakan izin terlalu ketat. Catatan tindakan harus memiliki retensi dan akses yang proporsional agar observabilitas tidak berubah menjadi sumber kebocoran baru. Ketika model atau alat berubah, sebagian tes negatif harus dijalankan kembali sebelum kebijakan dinyatakan tetap efektif.

Kesimpulan

Perubahan penting dalam keamanan agentic AI adalah pemisahan antara kemampuan model mengusulkan tindakan dan kewenangan sistem untuk mengeksekusinya. Pengumuman OWASP 2026 memperkuat perhatian terhadap pengamanan pada saat agen bertindak. Bagi organisasi, ukuran keberhasilan bukan sekadar agen mampu menyelesaikan tugas, melainkan apakah tindakan yang tidak sah dapat diblokir, dijelaskan, dan dipulihkan.

Sumber dan bacaan terkait

Sumber primer terbaru: OWASP GenAI Data Security Best Practices v2 – Part1, 3 November 2026. Konteks: OWASP GenAI Security Project, September 2026; OWASP LLM Top 10 2026. Arsip terkait: Identitas agen AI dan Mematikan agen AI. Kedua artikel lama membahas identitas dan penghentian; tulisan ini khusus membahas pemeriksaan izin pada saat pemanggilan alat.