Riset: Shadow AI Intai Perusahaan, Hampir Separuh Aktivitas AI Tak Terawasi

Riset Akamai juga menyoroti masalah lain, seperti kesenjangan antara AI yang secara resmi disetujui perusahaan dan aplikasi AI yang digunakan karyawan secara mandiri.

Tim keamanan, menurut laporan tersebut, cenderung berfokus pada sejumlah platform AI yang telah disetujui. Sementara itu, terdapat long tail aplikasi AI yang digunakan tanpa pengelolaan justru berpotensi luput dari pemantauan.

Bagi perusahaan, kondisi tersebut dapat meningkatkan risiko kebocoran data sekaligus memperumit tata kelola teknologi. Penggunaan AI yang tidak tercatat juga membuat perusahaan kesulitan mengetahui data apa yang telah diberikan kepada layanan eksternal dan siapa saja yang memiliki akses terhadapnya.

Akamai menilai perusahaan perlu memperluas pengawasan dari sekadar platform AI resmi ke seluruh lapisan interaksi, termasuk prompt, aktivitas copy-paste, unggahan dokumen, serta penggunaan akun dan layanan AI berbasis SaaS.

Risiko bisnis tidak berhenti pada kebocoran data. Akamai juga mengidentifikasi tiga metode serangan baru sepanjang 2026 yang dapat melewati pertahanan keamanan konvensional.

Pertama, vibe hacking, yakni manipulasi file instruksi Markdown lokal yang dapat menipu asisten pemrograman berbasis AI untuk menghasilkan kode tidak aman atau menjalankan tindakan yang tidak sah.

Kedua, CursorJacking, yaitu penyalahgunaan ekstensi browser dengan hak akses luas untuk mengambil kunci API, basis kode perusahaan, serta riwayat percakapan dari lingkungan browser. Serangan ini menyasar asisten pemrograman berbasis AI seperti Cursor.

Ketiga, CometJacking, serangan berbasis indirect prompt injection yang menyisipkan instruksi berbahaya ke halaman web publik untuk memanipulasi agen AI lokal pengguna. Agen yang telah terkompromi berpotensi mengirimkan file, email, hingga kredensial sesi tanpa sepengetahuan pengguna.

Munculnya metode tersebut menunjukkan bahwa perluasan penggunaan AI turut memperluas permukaan serangan perusahaan. Risiko tidak lagi hanya berada di pusat data atau jaringan korporasi, tetapi juga pada browser, IDE, ekstensi, prompt, dan agen AI yang digunakan karyawan.

Untuk mengimbangi ekspansi penggunaan AI, Akamai merekomendasikan lima langkah bagi Chief Information Security Officer (CISO) pada 2026.

Pertama, perusahaan perlu memprioritaskan pemantauan terhadap pengguna AI paling aktif. Telemetri, pengawasan, dan edukasi dapat diarahkan secara khusus kepada kelompok 5 persen karyawan yang memiliki tingkat penggunaan AI tertinggi.

Kedua, perusahaan perlu mengurangi shadow AI melalui penerapan single sign-on (SSO) dan identifikasi berkelanjutan terhadap berbagai layanan AI berbasis SaaS.

Ketiga, perusahaan perlu beralih dari pendekatan Data Loss Prevention (DLP) statis menuju analisis kontekstual secara real time terhadap interaksi AI.

Keempat, ekstensi browser dan IDE perlu diperlakukan sebagai perangkat lunak dengan hak akses tinggi. Akamai mencatat hampir 75 persen ekstensi AI meminta izin akses tingkat tinggi atau kritis, sementara 16,3 persen mengandung CVE yang telah diketahui.

Kelima, perusahaan perlu mengamankan agen AI dengan menerapkan prinsip least privilege dan memonitor perilaku agen yang dapat bertindak secara otonom atas nama karyawan.

Bagi dunia usaha, perkembangan tersebut menunjukkan bahwa investasi AI tidak lagi cukup hanya diukur dari potensi produktivitas atau efisiensi biaya. Perusahaan juga perlu memasukkan biaya pengawasan, tata kelola, dan keamanan AI sebagai bagian dari investasi transformasi digital.