Shadow AI: Ancaman Baru dari Aplikasi Buatan Pegawai

JAKARTA — Pegawai kini dapat membangun aplikasi perusahaan hanya dengan mengetikkan instruksi dalam bahasa sehari-hari. Fenomena yang dikenal sebagai vibe coding memungkinkan seseorang menghasilkan aplikasi tanpa harus menulis kode secara manual. Kemudahan ini membuat batas antara pegawai biasa dan tim teknologi semakin kabur. Di sisi lain, muncul celah keamanan baru yang berpotensi sulit dipantau perusahaan.

Perubahan tersebut membawa tantangan yang berbeda dari persoalan teknologi informasi sebelumnya. Jika dahulu Shadow IT merujuk pada penggunaan aplikasi pihak ketiga tanpa persetujuan perusahaan, seperti Google Drive pribadi atau perangkat manajemen proyek yang tidak disetujui tim IT, kini risikonya berkembang menjadi lebih kompleks.

Perusahaan keamanan siber Red Access menyebut fenomena baru ini sebagai Shadow AI. Pegawai tidak lagi sekadar menggunakan aplikasi berbasis AI, tetapi juga membangun aplikasi sendiri melalui platform vibe coding, menghubungkannya dengan sistem produksi, lalu mempublikasikannya di internet tanpa sepengetahuan tim IT atau keamanan.

"Percakapannya bergeser dari perintah (prompt) menjadi produk, dan permukaan risikonya ikut pindah," demikian Red Access menggambarkan perubahan tersebut.

Baca Juga Komdigi Ingatkan Publik Tak Langsung Percaya Jawaban AI

Persoalannya, aplikasi semacam ini dapat terlihat seperti bagian normal dari aktivitas perusahaan. Aplikasi dibuat oleh pegawai yang memiliki akses sah dengan menggunakan platform yang juga sah. Tidak ada tanda khusus yang dengan mudah menunjukkan bahwa sebuah aplikasi telah dibangun dan dijalankan tanpa pengawasan organisasi.

Kode yang dihasilkan AI tidak serta-merta menunjukkan bahwa aplikasi tersebut berada di luar kendali perusahaan. Aplikasi itu dapat berjalan seperti produk digital lainnya, meskipun proses pengembangan, pengujian, dan pengamanan tidak melalui prosedur resmi.

Sisi Gelap Vibe Coding Mulai Terukur

Risiko keamanan dari aplikasi hasil vibe coding mulai terlihat dalam sejumlah temuan penelitian.

Perusahaan keamanan siber Escape.tech pada Oktober 2025 memindai 5.600 aplikasi hasil vibe coding yang dapat diakses publik. Hasilnya, ditemukan lebih dari 2.000 kerentanan berisiko tinggi, lebih dari 400 kunci rahasia yang terekspos—termasuk kunci API dan token akses—serta 175 kasus kebocoran data pribadi. Informasi yang terpapar mencakup rekam medis dan nomor rekening bank.

Seluruh kerentanan tersebut ditemukan pada sistem produksi yang aktif. Proses pemindaian dan identifikasi berlangsung dalam hitungan jam.

Temuan lain disampaikan Red Access. Perusahaan tersebut mengidentifikasi sekitar 380.000 aset yang dapat diakses publik, meliputi aplikasi, basis data, dan infrastruktur terkait yang dibangun menggunakan platform seperti Lovable, Base44, Replit, serta Netlify. Sekitar 5.000 aset atau 1,3 persen di antaranya memuat informasi korporat yang sensitif.

Ancaman ini juga mulai menjadi perhatian para eksekutif teknologi. Survei Retool terhadap CTO, CIO, dan CISO menunjukkan bahwa 93 persen responden mengkhawatirkan aplikasi hasil vibe coding yang berjalan di lingkungan produksi. Sebanyak 38 persen bahkan menyebutnya sebagai salah satu risiko operasional tertinggi.

Namun, kekhawatiran tersebut belum diikuti kemampuan pemantauan yang memadai. Sebanyak 59 persen responden mengaku tidak dapat memastikan apakah perusahaan mereka pernah mengalami insiden yang disebabkan AI. Sementara itu, hanya 19 persen yang dapat memastikan belum pernah mengalami insiden berkat sistem pemantauan yang dimiliki.

Kesenjangan ini memperlihatkan persoalan mendasar: perusahaan mulai menyadari risikonya, tetapi belum tentu memiliki visibilitas yang cukup untuk mengetahui aplikasi apa saja yang telah dibangun dan digunakan pegawainya.

Mengapa Sistem Keamanan Konvensional Sulit Mendeteksinya?

Salah satu tantangan terbesar dalam menghadapi Shadow AI adalah keterbatasan perangkat keamanan konvensional. Sistem yang selama ini digunakan untuk mengendalikan Shadow IT belum tentu mampu mengenali pola baru dari aplikasi yang dibangun menggunakan AI.

Cloud Access Security Broker (CASB), misalnya, awalnya dirancang untuk mengidentifikasi dan mengendalikan penggunaan layanan Software as a Service (SaaS) yang tidak disetujui perusahaan. Namun, perangkat ini dapat kesulitan membedakan aplikasi khusus yang dihosting pada subdomain platform vibe coding dengan platform induknya.

Akibatnya, berbagai aplikasi yang sebenarnya dibuat dan dikelola secara mandiri oleh pegawai berpotensi tercatat sebagai bagian dari satu penyedia SaaS yang telah disetujui perusahaan.

Keterbatasan serupa juga muncul pada Endpoint Detection and Response (EDR). Bagi sistem pemantauan perangkat, aktivitas pegawai yang menggunakan platform vibe coding dapat terlihat seperti aktivitas peramban biasa. Polanya tidak selalu berbeda dari seseorang yang sedang membaca berita atau mengakses situs lain.

Kemampuan deteksi juga bergantung pada cakupan perangkat yang dikelola perusahaan. Laptop pribadi, perangkat milik kontraktor, dan aktivitas melalui tab peramban pribadi dapat berada di luar jangkauan pemantauan jika tidak tercakup dalam sistem keamanan organisasi.

Situasi tersebut membuat perusahaan menghadapi tantangan baru. Pengawasan tidak cukup hanya dilakukan terhadap aplikasi yang diakses pegawai. Organisasi juga perlu mengetahui aplikasi apa yang dibuat, bagaimana aplikasi tersebut terhubung dengan sistem internal, serta data apa saja yang dapat diaksesnya.

Industri Mulai Mengembangkan Pendekatan Keamanan Baru

Menghadapi perkembangan tersebut, perusahaan teknologi mulai mengembangkan pendekatan untuk memperkuat pengujian keamanan aplikasi berbasis AI.

Baca Juga Meta AI Picu Polemik, Transparansi Platform Dipertanyakan

Pada Oktober 2026, Cloudflare merilis security-audit-skill, sebuah perangkat gratis berlisensi MIT untuk agen pengodean AI. Alat ini dirancang untuk menjalankan proses audit keamanan melalui enam fase, yaitu pengintaian, pencarian kerentanan, validasi temuan, penyusunan keluaran terstruktur, verifikasi independen, dan pelaporan.

Repository perangkat tersebut telah melewati 33.000 bintang di GitHub.

Salah satu prinsip utama yang diterapkan adalah memisahkan agen yang menemukan kerentanan dari agen yang memverifikasi temuan tersebut. Dengan cara ini, proses pemeriksaan tidak hanya bergantung pada penilaian sistem yang sama terhadap hasil pekerjaannya sendiri.

Pendekatan tersebut berangkat dari persoalan dalam proses audit berbasis AI: sistem yang diminta menilai hasil temuannya sendiri berisiko terlalu mudah mengonfirmasi temuan yang sebenarnya belum valid.

Cloudflare juga membagikan gambaran dari proses internalnya. Dari 20.799 kandidat mentah yang dihasilkan alat penemuan, sekitar 12.057 lolos validasi. Sementara itu, 5.442 dari 13.841 temuan diketahui merupakan duplikasi yang membutuhkan proses penalaran tersendiri untuk disaring.

Angka tersebut menunjukkan bahwa penggunaan AI dalam audit keamanan tetap membutuhkan proses validasi. Kecepatan menghasilkan temuan tidak otomatis menjamin ketepatan hasilnya. Pemeriksaan independen diperlukan untuk membedakan kerentanan yang benar-benar dapat dieksploitasi dari temuan yang keliru atau berulang.

Dampak Shadow AI bagi Pengelolaan Risiko Perusahaan

Fenomena Shadow AI tidak hanya menjadi persoalan teknis bagi tim keamanan informasi. Aplikasi yang dibangun tanpa pengawasan juga dapat memengaruhi tata kelola data, kepatuhan, dan reputasi perusahaan.

Aplikasi internal yang terhubung dengan data pelanggan, misalnya, dapat membuka risiko kebocoran apabila pengaturan akses dan penyimpanan tidak dilakukan dengan benar. Risiko serupa dapat muncul ketika pegawai memasukkan informasi perusahaan ke layanan AI atau menghubungkan aplikasi buatan mereka dengan sistem produksi tanpa melalui pemeriksaan keamanan.

Dari sisi tata kelola, perusahaan perlu memastikan bahwa penggunaan teknologi baru tetap berada dalam batas kebijakan organisasi. Hal ini mencakup pengaturan akses, klasifikasi data, proses persetujuan aplikasi, hingga tanggung jawab ketika terjadi insiden.

Tim IT dan keamanan informasi juga perlu membangun mekanisme yang memungkinkan inovasi tetap berjalan tanpa mengabaikan pengendalian risiko. Larangan penggunaan AI secara menyeluruh belum tentu menyelesaikan persoalan jika pegawai tetap dapat mengakses berbagai platform dari perangkat pribadi.

Bagi fungsi komunikasi korporat dan pengelolaan reputasi, perkembangan ini juga patut diperhatikan. Insiden kebocoran data atau gangguan layanan akibat aplikasi yang tidak terpantau dapat berkembang menjadi persoalan kepercayaan publik. Karena itu, pemantauan risiko teknologi perlu terhubung dengan kesiapan komunikasi ketika perusahaan menghadapi insiden.

Perubahan teknologi juga memperluas ruang lingkup pemantauan organisasi. Sebagaimana media monitoring tidak sekadar menghitung jumlah pemberitaan, tetapi juga membaca perkembangan isu dan dampaknya, perusahaan perlu memahami ekosistem digital internal yang kini semakin mudah dibangun oleh pegawai. Hal ini sejalan dengan pembahasan mengenai strategi komunikasi digital yang tidak cukup hanya memilih kanal.

Kecepatan pengembangan aplikasi melalui AI telah mengubah cara perusahaan berinovasi. Namun, kecepatan yang sama juga dapat mempercepat munculnya celah keamanan apabila tidak diimbangi pengawasan dan pengujian yang memadai.

Cloudflare menyinggung kebutuhan tim keamanan untuk mempercepat respons, termasuk target waktu dua jam sejak publikasi CVE hingga penerapan patch di lingkungan produksi. Dalam situasi ketika teknologi dapat menghasilkan aplikasi dalam waktu singkat, kemampuan mendeteksi dan memperbaiki kerentanan menjadi semakin penting.

Pada akhirnya, persoalan Shadow AI bukan semata-mata tentang boleh atau tidaknya pegawai menggunakan AI untuk membangun aplikasi. Tantangan sebenarnya adalah memastikan setiap inovasi yang masuk ke lingkungan perusahaan tetap dapat diawasi, diuji, dan dipertanggungjawabkan. Ketika batas antara pengguna teknologi dan pengembang semakin tipis, tata kelola keamanan harus bergerak dengan kecepatan yang sama.