"Keamanan AI" telah menjadi kata kunci, sebuah batasan baru bagi para konsultan dan manajer produk. Tapi sebenarnya apa itu? Seringkali, yang ada hanyalah keamanan yang diterapkan pada sistem AI. Memang benar, AI memperkenalkan vektor serangan baru dan tantangan unik, namun sebagian besar dari "keamanan AI" hanyalah rekayasa yang kuat, praktik pengkodean yang aman, dan patching yang cermat – hal-hal yang sama yang telah gagal kita lakukan selama beberapa dekade. Masalah isolasi VM yang disebutkan sebelumnya adalah contoh sempurna: kerentanan klasik yang diperkuat oleh kompleksitas platform AI.
Kami sedang membangun sistem AI yang sangat kompleks di atas fondasi yang semakin rapuh dan dieksploitasi secara aktif. Ini seperti merancang mobil self-driving dengan cermat dengan navigasi AI yang canggih, sementara rodanya terlepas dan mesinnya tersendat-sendat. Fokus pada “keamanan AI” sering kali terasa seperti gangguan, mengalihkan sumber daya dan perhatian dari pekerjaan yang biasa-biasa saja, tidak menarik, namun sangat penting dalam mengamankan infrastruktur yang ada.
Apakah kita begitu sibuk mengejar hal-hal besar berikutnya sehingga kita membiarkan hal-hal besar yang ada saat ini musnah? Besarnya volume dan luasnya ancaman KEV menunjukkan adanya tantangan yang sistemik dan mendesak terhadap infrastruktur digital dasar, berbeda dari diskusi zero-day yang berpusat pada AI sebelumnya. Ini bukan tentang masa depan AI; ini tentang keadaan keberadaan digital kita saat ini.
Bagaimana Sekarang, CTO?
Untuk pimpinan teknik dan CTO, pesannya sangat jelas dan langsung:
- Prioritaskan daftar KEV: Hilangkan semuanya. Tambal kerentanan ini. Mandat itu. Terapkan itu. Ini bukan pilihan.
- Jangan terjebak dalam hype "keamanan AI" dengan mengorbankan hal-hal mendasar: Ya, pahami risiko unik AI, namun ingatlah bahwa rekayasa yang kuat, siklus hidup pengembangan yang aman, dan patching yang cermat masih merupakan pertahanan terbaik Anda. Model AI yang canggih tidak akan menyelamatkan Anda jika penyerang memiliki VM atau server SharePoint Anda.
- Berinvestasi pada keamanan dasar: Ini berarti lebih dari sekadar membeli alat keamanan lain. Hal ini berarti berinvestasi pada sumber daya manusia, proses, dan budaya yang menghargai keamanan sebagai disiplin ilmu teknik inti, bukan sebuah renungan. Program bug bounty memang luar biasa, tetapi program tersebut harus menjadi jaring pengaman, bukan strategi keamanan utama Anda.
Insiden yang melibatkan infrastruktur platform AI merupakan sebuah peringatan, namun daftar CISA KEV adalah peringatan yang mendesak. Kita harus berhenti mengagumi inisiatif keamanan AI terbaru dan mulai menambal lubang pada pertahanan kita yang sebenarnya. Masa depan AI memang menarik, namun kondisi keamanan kita saat ini sangat buruk.
Sumber
[1] Keamanan AI berantakan, dan akan menjadi lebih buruk — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] Katalog Kerentanan yang Dieksploitasi yang Diketahui — https://www.cisa.gov/known-exploited-vulnerabilities-catalog