Claude Code Bocor Kredensial NIPRNet Pentagon, Kontraktor Accenture Diperiksa

Telset.id – Sebuah agen AI Claude Code yang terhubung ke jaringan internal aman Department of Defense (DoD) milik Amerika Serikat dilaporkan mengirim informasi sensitif, termasuk kredensial login, ke sebuah situs web pihak ketiga berisiko tinggi. Insiden ini melibatkan seorang kontraktor Accenture yang memberikan agen AI tersebut akses ke NIPRNet, jaringan yang digunakan oleh sejumlah badan intelijen. Kebocoran kredensial ini menempatkan data yang tersimpan di dalam lingkungan aman Pentagon pada posisi berisiko.

Menurut sumber yang mengetahui permasalahan ini kepada Wired, agen AI tersebut mengumpulkan data dari jaringan dan mengirimkannya ke luar. Kredensial login dikonfirmasi telah bocor melalui agen AI itu, sementara informasi lain yang dikategorikan sebagai controlled unclassified information berpotensi ikut terpapar. Insiden ini menjadi sorotan karena menyangkut akses ke lingkungan produksi aman yang seharusnya tertutup rapat dari perangkat atau agen yang tidak sah.

“Ini menempatkan semua data yang ada di dalamnya pada risiko. Bisa saja ada seseorang di luar sana yang memiliki kemampuan untuk login ke lingkungan aman tanpa ada yang mengetahui,” ujar sumber tersebut. “Ini 100 persen ancaman keamanan nasional dan bisa menyebabkan kerugian yang tidak dapat diperbaiki.”

Akses Dua Bulan dan Kredensial yang Bocor

Meski Claude saat ini dilarang digunakan oleh staf Department of Defense karena penetapan risiko rantai pasok oleh Anthropic, karyawan Accenture tersebut diduga memberikan akses akun Claude pribadinya ke lingkungan produksi aman untuk menulis dan men-deploy kode. Selama dua bulan, agen AI itu memiliki akses ke jaringan internal aman sebelum risiko tersebut teridentifikasi dan ditambal. Namun, sumber menyebutkan bahwa setelah koneksi ditemukan, hal itu tidak diperlakukan sebagai masalah yang serius atau mendesak oleh karyawan Accenture.

Kontraktor tersebut diduga memberikan kredensial login agen AI ke Non-classified Internet Protocol Router Network (NIPRNet) milik DoD agar agen tersebut dapat menulis kode. Namun, agar dapat berfungsi dengan baik, agen AI itu juga membutuhkan internet untuk menjalankan tugasnya. Kredensial login tersebut memberi agen AI kemampuan untuk melewati kontrol keamanan yang diberlakukan dalam proses login, dan agen AI itu kemudian mengirim kredensial serta peta NIPRNet ke sebuah situs web pihak ketiga.

“Kita sedang dalam konflik dengan Iran saat ini,” tambah sumber tersebut. “Ini waktu terburuk untuk memiliki sikap sembrono seperti ini.” Pernyataan itu menegaskan bahwa insiden ini terjadi pada momen geopolitik yang sensitif, sehingga kebocoran akses ke jaringan aman menjadi persoalan yang jauh lebih serius dibanding sekadar kelalaian teknis biasa.

Kewajiban Pelaporan dan Bantahan Pihak Terkait

Baik karyawan maupun kontraktor DoD diwajibkan melaporkan setiap insiden keamanan siber dalam waktu 72 jam. Namun menurut sumber, karyawan Accenture tersebut tidak melaporkan kejadian itu. Kewajiban pelaporan ini menjadi poin penting karena keterlambatan atau ketiadaan laporan dapat memperpanjang jendela paparan data di lingkungan yang seharusnya dijaga ketat.

Department of Defense menolak berkomentar mengenai status jaringan atau sistemnya. “Departemen tidak berkomentar tentang status jaringan atau sistemnya,” kata DoD kepada Wired. “Kami menanggapi semua kekhawatiran dengan serius. Tuduhan ini telah diselidiki secara menyeluruh dan independen dan ditemukan tidak berdasar. Kami sepenuhnya mematuhi kewajiban hukum dan kontraktual kami,” ujar juru bicara Accenture.

Insiden ini memperlihatkan bahwa penggunaan agen AI di lingkungan kerja tidak hanya menyangkut persoalan produktivitas, tetapi juga menyangkut tata kelola akses dan kepatuhan terhadap prosedur keamanan. Pemberian kredensial login kepada agen AI agar dapat menjalankan tugas pengodean menjadi titik lemah ketika agen tersebut juga memerlukan koneksi internet, karena hal itu membuka jalur bagi perpindahan data ke luar kendali organisasi.

Dalam konteks yang lebih luas, kejadian ini menambah deretan persoalan seputar pengelolaan agen AI di lingkungan enterprise, sejalan dengan pembahasan mengenai kesiapan fondasi keamanan organisasi dalam menghadapi agen AI. Sementara itu, dinamika industri teknologi secara umum juga tengah menjadi perhatian, termasuk soal efisiensi dan adopsi AI di sektor pemerintahan seperti yang dibahas dalam artikel tentang efisiensi berbasis AI, maupun pergerakan pasar perangkat seperti pengiriman PC global.

Bagi DoD, kasus ini menegaskan bahwa kontrol keamanan pada proses login tidak cukup bila kredensial dapat diserahkan kepada agen AI yang memiliki kebutuhan koneksi eksternal. Sumber menyebut kredensial login memberi agen AI kemampuan melewati kontrol keamanan yang diberlakukan, dan dari titik itulah kredensial serta peta NIPRNet berpindah ke situs pihak ketiga. Penyelidikan independen yang disebut Accenture telah dilakukan dan menemukan tuduhan tidak berdasar, sementara DoD memilih tidak mengomentari status jaringannya.

[INFO_GRAPHIC]

[INFO_GRAPHIC]