Serangan Siber Kini Dijalankan Agen AI, Komdigi Akui Masih Menunggu Arahan BSSN

Tue, 10 Nov 2026 20:00:00 +0700

Serangan siber yang menghantam berbagai negara belakangan ini tidak lagi sepenuhnya dikendalikan manusia. Sebagian dijalankan oleh agen kecerdasan buatan (AI) yang bekerja otonom, memindai celah keamanan dan mengeksekusi langkah serangan tanpa menunggu perintah satu per satu. Pemerintah Indonesia mengakui fenomena itu sudah masuk radar, tetapi belum menurunkan instruksi teknis yang mengikat.

Wakil Menteri Komunikasi dan Digital (Komdigi) Nezar Patria menyatakan pihaknya telah berdiskusi dengan Badan Siber dan Sandi Negara (BSSN) soal ancaman tersebut. Namun menurut dia, penanganan operasional berada di ranah BSSN, terutama untuk melindungi infrastruktur penting.

“BSSN telah melakukan konfirmasi terhadap ancaman serangan siber. Tapi ini sebetulnya, secara operasional ini domainnya BSSN, untuk melindungi critical infrastructure,” kata Nezar di acara Equinix JK1 Phase 2 Launch di Jakarta Selatan, Selasa (10/11/2026).

Komdigi, lanjutnya, mengambil langkah bersama ekosistem digital untuk mengantisipasi serangan. Hanya saja arah kebijakan teknis masih menunggu BSSN. “Kami menunggu arahan dari BSSN mengenai apa yang harus kami lakukan,” ujarnya.

Pernyataan itu menandai satu hal: serangan berbasis agen AI bukan lagi bahan diskusi konferensi, melainkan persoalan yang sudah masuk pembicaraan antarlebaga di tingkat pemerintah.

Bukan Sekadar Chatbot yang Menjawab Pertanyaan

Agen AI berbeda dari chatbot biasa. Sistem AI umumnya hanya menghasilkan teks sebagai jawaban. Agen AI diberi kewenangan untuk bertindak: membuka sistem lain, menjalankan kode, mengirim komunikasi, memindahkan data, hingga menyelesaikan transaksi.

Kemampuan itulah yang membuatnya menarik bagi dunia usaha, sekaligus berbahaya ketika jatuh ke tangan yang salah. BSSN sendiri telah mengingatkan bahwa kehadiran Agentic AI membawa perubahan besar pada lanskap keamanan siber. Agen AI dapat memperkuat pertahanan, tetapi pada saat yang sama bisa menjadi sasaran dan instrumen serangan.

“Seperti kita tahu, serangan ini adalah serangan global. Jadi bukan hanya di Indonesia, tapi juga di luar negara. Dan benar sekali, AI agents itu dipakai,” kata Nezar.

Ia menyebut memang ditemukan kumpulan agen AI yang dipakai dalam serangan siber di berbagai belahan dunia. Pola itu dinilai sebagai model serangan baru yang perlu diantisipasi, termasuk melalui simulasi dan penguatan infrastruktur digital.

Jejak Serangan di Tiga Benua

Peringatan itu bukan tanpa contoh. Deputi Bidang Keamanan Siber dan Sandi Pemerintahan BSSN, Sulistyo, membeberkan sejumlah insiden dalam pidato pembukaan National Cyber Security Connect (NCC) 2026 di Jakarta, akhir Oktober lalu.

Di Jepang, serangan ransomware pada Oktober 2026 menyasar sedikitnya 53 perusahaan dan berpotensi membocorkan lebih dari enam juta data pelanggan. AI diduga mempercepat pemindaian celah keamanan sekaligus mengotomatisasi phishing.

Di Australia, pada Juni 2026, agen AI menembus portal Medicare milik Services Australia. Agen itu mengakses kredensial lalu menjangkau sistem pemerintahan lainnya. Sementara di Amerika Serikat, sistem intelijen berbantuan AI keliru mengidentifikasi muatan kapal China sebagai komponen terkait senjata nuklir, dan nyaris memicu operasi militer.

“Rangkaian insiden itu memberikan pelajaran bahwa kemampuan memanfaatkan AI tidak bisa dipisahkan dari kemampuan mengamankannya,” tegas Sulistyo.

Tekanan terhadap Indonesia pun terukur. Mengutip data BSSN, hingga Oktober 2026 tercatat sekitar 3,13 miliar potensi ancaman siber, atau rata-rata 133 percobaan per detik. Potensi ancaman sepanjang 2025 disebut naik lebih dari 700 persen dibanding periode 2019–2024 yang rata-rata 174 per detik.

Laporan Microsoft Digital Defense Report 2026 untuk periode Juli 2025–Juni 2026 menempatkan Indonesia di peringkat ke-24 global dan ke-10 Asia Pasifik sebagai negara dengan pelanggan yang paling sering terdampak aktivitas ancaman siber. Laporan itu menyoroti empat tren: AI yang mempercepat serangan, identitas digital sebagai pintu masuk utama, risiko yang merambat lewat rantai pasok perangkat lunak, dan ketahanan siber yang kini menjadi tanggung jawab pimpinan organisasi, bukan hanya tim TI.

Kenapa Warga Tangerang Raya Ikut Terdampak

Bagi warga, ancaman ini tidak berhenti di berita internasional. Layanan publik di Tangerang Raya makin banyak yang berjalan daring: pengurusan dokumen kependudukan, perizinan usaha, pembayaran pajak daerah, pendaftaran sekolah, sampai antrean layanan kesehatan.

Titik lemahnya sederhana dan berulang. Kredensial. Ketika satu akun warga atau satu akun dinas bocor, penyerang bisa masuk ke sistem yang lebih besar. Pola itu persis yang terjadi pada kasus portal Medicare di Australia, di mana kredensial yang diakses agen AI membuka pintu ke sistem pemerintahan lain.

Pelaku usaha kecil juga bukan penonton. Warung, katering, dan toko daring di Cikasungka, Adiyasa, dan wilayah lain Tangerang Raya kini memakai chatbot WhatsApp, katalog otomatis, serta asisten yang menarik data pesanan. Di titik itu tersimpan nomor telepon, alamat, dan riwayat transaksi pelanggan — data yang dilindungi aturan perlindungan data pribadi.

Risiko yang paling dekat justru bukan serangan besar, melainkan phishing yang dibuat mesin. Dengan bantuan AI, pesan penipuan kini tersusun rapi dalam bahasa Indonesia, meniru gaya bicara rekan kerja atau notifikasi resmi, dan dikirim massal dalam hitungan menit. Warga yang terbiasa menerima tautan lewat WhatsApp paling rentan di titik ini.

Pengawasan Manusia Tidak Bisa Ditawar

BSSN menekankan dua prinsip dalam pemanfaatan AI: securing AI dan AI to secure. Yang pertama berarti memastikan teknologi AI itu sendiri aman lewat perlindungan data, integritas sistem, pembatasan akses, dan akuntabilitas. Yang kedua berarti memakai AI untuk memperkuat pertahanan, termasuk menemukan kerentanan lebih cepat.

Dalam keduanya, manusia tetap pemegang kendali. Sulistyo menyebut tiga tingkat pengawasan: human in the loop, ketika manusia menyetujui hasil kerja AI; human on the loop, ketika manusia terus memantau dan bisa menghentikan sistem; serta human in command, ketika manusia menentukan tujuan dan batas penggunaan.

“Semakin besar otonomi AI, semakin kuat pengawasan yang harus disiapkan. Kita tidak boleh mengalihkan tanggung jawab itu kepada mesin,” ujarnya. BSSN sendiri memakai kerangka NIST SP 800-61 yang mengatur identifikasi risiko, perlindungan, deteksi, respons, pemulihan, dan perbaikan berkelanjutan.

Kekhawatiran serupa datang dari industri. Dalam laporan keuangan tahunannya awal November 2026, Apple memasukkan agen AI sebagai faktor risiko baru. Apple menyebut agen AI dapat bertindak otonom, termasuk berinteraksi dengan sistem internal atau eksternal yang seharusnya tidak boleh diakses, mengeksekusi atau mengubah kode, mengirim komunikasi, dan menyelesaikan transaksi.

“Agen-agen ini mungkin berperilaku dengan cara yang tidak disengaja atau tidak dapat diprediksi,” tulis Apple, seraya menambahkan kemampuan perusahaan mengawasi agen pihak ketiga bisa terbatas. Amazon dan JPMorgan Chase dilaporkan sudah menyusun kebijakan khusus soal akses agen ke layanan mereka.

Yang Bisa Dilakukan Sekarang

Untuk pelaku usaha kecil dan pengelola layanan publik di daerah, menunggu arahan pusat bukan pilihan yang aman. Beberapa langkah sederhana bisa menutup celah terbesar.

Catat semua agen otomatis dan aplikasi yang punya akses ke sistem atau akun usaha, lalu cabut akses yang sudah tidak dipakai.
Pisahkan akun: jangan pakai satu nomor atau satu email untuk chatbot pelanggan, rekening, dan surel resmi.
Aktifkan verifikasi dua langkah pada akun surel, marketplace, dan layanan pembayaran.
Beri kewenangan seminimal mungkin. Asisten yang menjawab pertanyaan pelanggan tidak perlu bisa mengubah data transaksi.
Simpan jejak aktivitas, dan siapkan cara cepat menghentikan sistem otomatis yang berperilaku aneh.
Latih staf untuk memverifikasi instruksi sensitif lewat kanal lain, bukan lewat pesan yang masuk.

Bagi pemerintah daerah, urutannya mirip: inventaris aset digital, uji celah keamanan secara berkala, dan siapkan rencana respons insiden yang jelas siapa bertanggung jawab saat terjadi kebocoran.

Di tingkat lintas negara, BSSN menjalin kerja sama lewat ASEAN-Japan Cybersecurity Community Alliance (AJCCA) untuk menjaga kedaulatan ruang digital. Namun bagi warga, yang paling menentukan tetap langkah di tingkat paling dekat: kebiasaan mengamankan akun, dan kejelasan siapa yang bertanggung jawab ketika data mereka bocor.