Telset.id – Perusahaan perlu memperluas kerangka tata kelola dan keamanan yang ada untuk mengatur agen AI otonom, bukan membangun lingkungan kontrol yang sepenuhnya baru. Hal itu disampaikan Umashankar Lakshmipathy, EVP and Head of Cloud, Infrastructure, and Security Services, EMEA, Infosys, saat membahas tantangan tata kelola agen AI yang mampu mengakses sistem perusahaan, mengambil keputusan, dan berinteraksi dengan agen AI lain. Menurutnya, kemampuan agen AI otonom yang semakin besar membuat setiap agen wajib memiliki tujuan bisnis yang jelas, pemilik yang bertanggung jawab, serta batasan tegas atas data, sistem, dan tindakan yang boleh diaksesnya.
Pernyataan Infosys ini muncul ketika tata kelola agen AI dan identitas non-manusia (non-human identities) diprediksi menjadi salah satu tantangan paling signifikan yang akan dihadapi organisasi dalam beberapa tahun ke depan. Berbeda dengan asisten AI yang umumnya menghasilkan informasi atau rekomendasi, agen AI dapat mengakses data perusahaan, menggunakan aplikasi dan alat, berkomunikasi dengan agen lain, serta bertindak atas nama orang atau proses bisnis.
Lakshmipathy menjelaskan, otonomi yang lebih besar itu meningkatkan potensi dampak bisnis dari sebuah kesalahan, manipulasi, atau kompromi keamanan. Sebuah agen bisa saja memiliki identitas yang valid dan akses sistem yang sah, tetapi tetap mengambil tindakan di luar tujuan yang dimaksudkan. Risiko ini membesar ketika agen beroperasi lintas sistem, karena satu keputusan yang salah dapat memicu rangkaian tindakan yang sulit dideteksi, dijelaskan, atau dibalik.
Identitas Non-Manusia dan Rantai Kepercayaan Antaragen
Infosys menilai identitas non-manusia menjadi isu penting karena semakin besar porsi aktivitas digital yang dilakukan oleh aplikasi, API, service account, otomasi, dan agen AI, bukan oleh karyawan. Agen AI meningkatkan signifikansi identitas tersebut karena mereka dapat menafsirkan informasi, mengambil keputusan, dan memulai tindakan, tidak sekadar menjalankan instruksi yang telah ditetapkan sebelumnya.
Karena itu, visibilitas, kepemilikan, dan manajemen akses menjadi hal esensial. Organisasi membutuhkan inventaris yang akurat atas identitas non-manusia yang beroperasi di lingkungan mereka, disertai pemahaman yang jelas tentang tujuan bisnis, pemilik yang bertanggung jawab, serta akses ke sistem dan data. Tanpa fondasi ini, izin berlebihan, kredensial berumur panjang, dan identitas yang tetap aktif setelah tujuan awalnya berakhir akan menciptakan eksposur keamanan yang material.
Komunikasi antaragen juga membuka peluang bisnis yang signifikan. Agen khusus dapat bekerja sama mengotomasi proses kompleks di layanan pelanggan, operasional, rekayasa perangkat lunak, dan pertahanan siber. Proses yang sebelumnya membutuhkan beberapa tim dan sistem berpotensi dikoordinasikan oleh sekelompok agen dengan kecepatan yang jauh lebih tinggi.
Namun, kolaborasi agen-ke-agen turut menciptakan rantai dependensi dan kepercayaan. Agen yang terkompromi atau dikelola dengan buruk dapat meneruskan informasi tidak akurat dalam alur kerja, memengaruhi keputusan agen lain, atau mencoba memakai agen dengan hak istimewa lebih tinggi untuk melakukan tindakan yang tidak bisa dijalankannya secara langsung. Risiko ini dapat berlipat ketika organisasi tidak mampu menetapkan agen mana yang memulai suatu tindakan atau atas otoritas siapa tindakan itu dilakukan.
Baca Juga:
Karena itu, Infosys menekankan agar organisasi mengaktifkan kolaborasi agen dalam batas bisnis dan keamanan yang jelas. Identitas, otoritas, dan tujuan setiap agen harus dievaluasi secara independen, bukan membiarkan kepercayaan atau hak akses berpindah otomatis dari satu agen ke agen lain. Pendekatan ini memungkinkan perusahaan memperoleh manfaat otomasi multiagen sekaligus menjaga kontrol dan akuntabilitas di sepanjang proses bisnis.
Otonomi Proporsional dan Evolusi Kerangka Keamanan
Terkait keseimbangan antara otonomi dan pengawasan, Lakshmipathy menyatakan tingkat otonomi yang tepat bagi agen AI harus ditentukan oleh dampak bisnis dari aktivitasnya, sensitivitas informasi yang terlibat, dan seberapa mudah tindakannya dibalik. Menerapkan tingkat pengawasan yang sama pada setiap agen hanya akan menciptakan hambatan yang tidak perlu atau justru membiarkan aktivitas berisiko tinggi kurang terkendali.
Contohnya, agen yang menganalisis informasi publik atau menyusun ringkasan internal dapat beroperasi dengan pengawasan yang relatif ringan. Sebaliknya, agen yang mengakses informasi pelanggan, mengubah infrastruktur produksi, mengambil keputusan regulasi, atau memulai transaksi keuangan membutuhkan batasan yang jauh lebih ketat. Organisasi pun disarankan memperkenalkan otonomi secara bertahap, mulai dari agen yang tetap bersifat asistif, agen yang menyiapkan tindakan untuk disetujui manusia, hingga agen yang beroperasi mandiri dalam batas yang disetujui.
Keterlibatan manusia tetap penting, tetapi mewajibkan persetujuan untuk setiap tindakan akan melemahkan efisiensi yang ingin dihadirkan agen AI. Infosys menyebut kondisi itu dapat memicu approval fatigue, ketika peninjauan menjadi rutin dan memberikan perlindungan yang minim. Keterlibatan manusia paling bernilai untuk tindakan yang signifikan secara finansial, sensitif secara hukum, sulit dibalik, atau berada di luar batas operasional agen.
Soal kerangka kerja, Infosys menegaskan kerangka keamanan siber, identitas, dan tata kelola yang ada sudah menjadi fondasi kuat bagi agen AI, tetapi belum memadai tanpa adaptasi lebih lanjut. Organisasi tidak perlu mengganti kemampuan yang sudah mapan seperti Zero Trust, tata kelola identitas, privileged access management, dan manajemen risiko AI. Namun, kemampuan tersebut perlu diterapkan secara lebih dinamis pada agen yang dapat mengambil keputusan dan bertindak dengan kecepatan mesin.
Banyak kontrol tradisional dirancang untuk memberikan akses kepada orang, aplikasi, atau layanan dan meninjau akses itu secara berkala. Agen AI menghadirkan model operasi yang lebih dinamis karena satu agen dapat mengakses beberapa sumber data, memanggil berbagai alat, berinteraksi dengan agen lain, dan mengambil banyak keputusan dalam satu proses bisnis. Autentikasi saja tidak cukup untuk memastikan apakah setiap tindakan berikutnya masih sesuai.
Karena itu, Infosys menjabarkan sejumlah perluasan praktis. Setiap agen harus memiliki identitas unik, tujuan bisnis yang disetujui, pemilik yang bertanggung jawab, dan siklus hidup yang terkelola. Otoritasnya dibatasi pada tugas yang sedang dijalankan dan tidak boleh tetap aktif lebih lama dari yang diperlukan. Pengamanan yang lebih kuat harus berlaku ketika agen mengakses informasi sensitif, memakai alat dengan hak istimewa, atau mencoba tindakan berdampak bisnis signifikan.
Organisasi juga harus mampu merekonstruksi bagaimana suatu hasil dihasilkan. Artinya, perlu ada catatan jelas yang menghubungkan orang atau proses bisnis yang memulai dengan agen yang terlibat, data dan alat yang digunakan, tindakan yang diambil, serta hasil akhirnya. Visibilitas ini penting untuk pengawasan, investigasi, jaminan regulasi, dan intervensi cepat ketika terjadi masalah.
Dengan memperluas kerangka yang sudah ada untuk mengatur identitas, otoritas, dan tindakan agen secara berkelanjutan, organisasi dapat menskalakan agen AI sambil mempertahankan kontrol perusahaan yang koheren. Pendekatan yang dibutuhkan, menurut Infosys, adalah evolusi keamanan dan tata kelola yang ada, bukan pembuatan lingkungan kontrol terpisah untuk agen AI.
Bagi pelaku industri, kerangka tata kelola yang lebih ketat ini menjadi prasyarat sebelum adopsi agen AI otonom diperluas. Perusahaan yang ingin memanfaatkan otomasi multiagen perlu lebih dulu memastikan setiap agen memiliki pemilik, batas akses, dan jejak audit yang dapat ditelusuri.
[ META_DESCRIPTION]
Infosys sebut tata kelola agen AI otonom dan identitas non-manusia jadi tantangan utama. Setiap agen wajib punya pemilik dan batas akses jelas.
Komentar
Belum ada komentar.