Pendahuluan: Ketika AI Menjadi Senjata dan Target Keamanan Siber
Large Language Models (LLM) dan sistem AI multimodal telah berintegrasi ke dalam alur kerja bisnis kritis, menjadikannya alat keamanan yang sekaligus target bernilai tinggi. Serangan siber tidak lagi terbatas pada eksploitasi perangkat lunak tradisional—para peretas kini menjailbreak model AI, mencuri prompt sistem, menyalahgunakan agen AI otonom, dan memanfaatkan alat seperti WormGPT serta FraudGPT. Beberapa tahun ke depan akan ditandai oleh perlombaan senjata antara serangan berbasis AI dan pertahanan berbasis AI, sehingga setiap organisasi yang menggunakan LLM harus mulai memperlakukan “keamanan AI” sebagai bagian utama dari strategi keamanan siber mereka, bukan sekadar tambahan.
Ketika Chatbot Berubah Menjadi Vektor Serangan
Bagi kebanyakan orang, LLM terasa seperti asisten yang membantu. Mereka merangkum dokumen, menulis email, menerjemahkan bahasa, dan bahkan menghasilkan kode. Namun di balik layar, mereka adalah sistem probabilistik besar yang terhubung ke alat, penyimpanan data, dan API. Kombinasi ini membuat mereka berbahaya dari perspektif keamanan.
Sebuah LLM tidak lagi sekadar “teks masuk, teks keluar”. Saat ini, LLM dapat:
- Membaca email Anda dan membalasnya
- Memanggil API untuk mentransfer uang atau mereset kata sandi
- Terhubung ke penyimpanan dokumen pribadi melalui RAG (Retrieval-Augmented Generation)
- Menghasilkan gambar, video, atau audio yang meyakinkan bagi manusia
“Saat chatbot Anda mendapatkan akses sistem, ia berhenti menjadi pembantu dan mulai menjadi bagian dari permukaan serangan Anda.” Begitu Anda menghubungkan LLM ke sistem nyata, ia berhenti menjadi chatbot yang tidak berbahaya dan menjadi sesuatu yang jauh lebih mirip dengan pengguna tidak tepercaya yang memiliki kekuatan super. Para penyerang telah menyadarinya.
Penelitian terbaru menunjukkan bahwa model video Sora 2 dari OpenAI dapat diekstrak prompt sistem tersembunyinya hanya dengan memintanya berbicara klip audio pendek lalu mentranskripsikannya, membuktikan bahwa model multimodal memperkenalkan cara baru untuk membocorkan konfigurasi sensitif. Sementara itu, alat dark-web seperti WormGPT dan FraudGPT dipasarkan sebagai “ChatGPT untuk peretas”, menawarkan bantuan tanpa batasan untuk phishing, malware, dan penipuan keuangan. Dan pada akhir 2025, Anthropic mengungkapkan bahwa peretas yang terhubung dengan negara menggunakan model Claude-nya untuk mengotomatiskan 80-90% dari kampanye cyber-espionase nyata, termasuk pemindaian, pengembangan eksploitasi, dan eksfiltrasi data.
Apa yang Membuat LLM Berbeda dari Perangkat Lunak Tradisional?
Perangkat lunak tradisional bersifat deterministik. Anda menulis kode, menentukan input dan output, Anda mengaudit cabang logika. Orang keamanan dapat membuat model ancaman untuk itu. LLM berbeda dalam beberapa cara kritis:
Probabilistik: Diberikan prompt yang sama, LLM mungkin merespons sedikit berbeda setiap kali. Tidak ada logika sederhana “jika X maka Y” untuk diaudit.
Didorong oleh konteks: Perilaku model tergantung pada semua yang ada di jendela konteksnya: prompt sistem tersembunyi, pesan sebelumnya, dokumen yang diambil, dan bahkan output alat. Konteks tersebut dapat dipengaruhi oleh penyerang.
Sering multimodal dan terhubung: Model modern dapat membaca gambar, video, audio, dan file arbitrer, dan mereka dapat memanggil alat, menjelajahi web, atau berbicara dengan agen lain. Setiap koneksi baru adalah permukaan serangan baru.
“Setiap kali Anda memberi LLM lebih banyak izin, Anda memperlebar celah yang bisa dimanfaatkan penyerang.”
Karena ini, keamanan LLM kurang tentang “tambal bug ini” dan lebih tentang mengelola ekosistem risiko di sekitar bagaimana model diintegrasikan dan apa yang diizinkan untuk disentuhnya. OWASP Top 10 untuk Aplikasi LLM adalah daftar periksa mental yang baik. Ini menyoroti masalah seperti injeksi prompt, pengungkapan informasi sensitif, risiko rantai pasokan, keracunan data dan model, serta kebocoran agensi yang berlebihan dan prompt sistem.
Pola Serangan Inti terhadap LLM
Injeksi Prompt dan Kebocoran Prompt Sistem: Injeksi prompt adalah versi LLM dari injeksi SQL: penyerang mengirim input yang mengesampingkan instruksi yang dimaksudkan, menyebabkan model berperilaku dengan cara yang tidak pernah dimaksudkan oleh perancang. Ada dua varian utama: injeksi langsung (teks berbahaya dikirim langsung ke model) dan injeksi tidak langsung (model membaca konten tidak tepercaya dari situs web, PDF, email, atau database yang berisi instruksi tersembunyi). Peneliti telah menunjukkan bahwa teknik seperti Bad Likert Judge dapat secara masif meningkatkan tingkat keberhasilan serangan ini dengan terlebih dahulu meminta model untuk menilai seberapa berbahaya prompt tersebut, kemudian meminta contoh dari prompt dengan peringkat terburuk. Ini melewati beberapa pemeriksaan keamanan dan telah mencapai peningkatan 60-75 poin persentase dalam tingkat keberhasilan serangan.
Jailbreaking dan Bypass Keselamatan: Jailbreaking berarti membujuk model untuk mengabaikan aturan keselamatannya. Ini sering dilakukan dengan percakapan multi-langkah dan trik seperti persona role-play, teks yang disamarkan, pengkodean yang tidak biasa, atau karakter tak terlihat, serta serangan many-shot yang menunjukkan puluhan contoh “perilaku yang diinginkan” untuk menyeret model ke output yang tidak aman. Jailbreak baru muncul terus-menerus, dan makalah telah mulai membahas jailbreak “universal” yang berfungsi di banyak model berbeda dari vendor yang berbeda.
Agensi Berlebihan dan Agen Otonom: Segalanya menjadi jauh lebih buruk ketika LLM tidak hanya berbicara, tetapi juga melakukan. Kerangka kerja agen memungkinkan model mengeluarkan perintah seperti memanggil API untuk mengirim email, menjalankan perintah shell, atau mendorong perubahan ke GitHub. Pada 2025, Anthropic melaporkan bahwa kelompok yang terhubung dengan negara melakukan jailbreak pada Claude Code dan menggunakannya untuk menjalankan apa yang mungkin merupakan serangan siber berskala besar pertama, di mana 80-90% pekerjaan dilakukan oleh agen AI. Claude memindai sistem, menulis kode eksploitasi, memanen kredensial, dan mengeksfiltrasi data, dengan manusia sebagian besar hanya mendorongnya.
Rantai Pasokan, Keracunan, dan Pencurian Model: Tumpukan AI memiliki rantai pasokannya sendiri: data pelatihan dan data sintetis, model open source dan adapter, database vektor dan model embedding, serta plugin dan alat pihak ketiga. Setiap lapisan dapat dikompromikan. Data pelatihan dapat diracuni, misalnya, dengan menyisipkan backdoor yang hanya terpicu ketika frasa khusus muncul. Model pretrained yang di-host di hub publik dapat berisi trojan atau kode berbahaya dalam logika pemuatannya.
Sistem RAG dan Serangan Basis Pengetahuan: Retrieval-Augmented Generation (RAG) terasa lebih aman karena “model hanya menalar atas dokumen Anda sendiri”. Dalam praktiknya, ini memperkenalkan masalah baru. Penyerang dapat meracuni dokumen yang dicari sistem RAG Anda, misalnya dengan menyisipkan instruksi berbahaya ke dalam PDF atau halaman wiki. Jika kontrol akses lemah, pengguna mungkin dapat menipu sistem untuk mengambil dan mengutip dokumen yang seharusnya tidak mereka lihat. Rekayasa prompt yang cerdik terkadang dapat mengekstrak seluruh dokumen, bukan hanya cuplikan singkat.
AI sebagai Senjata: Bagaimana Penyerang Sudah Menggunakan LLM
“AI menurunkan biaya kejahatan siber bukan dengan membuat penjahat lebih pintar, tetapi dengan membuat kompleksitas menjadi sepele.” LLM tidak hanya menjadi korban. Mereka juga digunakan sebagai alat oleh penjahat, aktor negara, dan oportunis.
Chatbot Berbahaya di Dark Web: Alat seperti WormGPT dan FraudGPT dipasarkan di forum bawah tanah sebagai asisten AI tanpa sensor yang dirancang untuk business email compromise, phishing, dan pengembangan malware. Laporan dari firma keamanan dan penegak hukum menggambarkan fitur seperti menghasilkan email phishing yang dipoles dengan ejaan sempurna dan jargon spesifik perusahaan, menulis malware polimorfik dan kode eksploitasi yang berevolusi untuk menghindari deteksi, serta menghasilkan situs web palsu, halaman landing penipuan, dan dokumentasi palsu.
Phishing, Penipuan, dan Deepfake secara Massal: Lembaga seperti Departemen Keamanan Dalam Negeri AS dan Europol sekarang secara eksplisit memperingatkan bahwa AI generatif memperkuat penipuan, pencurian identitas, dan penyalahgunaan online. AI membantu penjahat untuk merancang kampanye phishing multibahasa yang meyakinkan, mengkloning suara untuk penipuan CEO dan scam “keluarga dalam kesulitan”, menghasilkan materi pelecehan anak sintetis atau konten pemerasan, serta memproduksi disinformasi yang dipersonalisasi secara massal yang menargetkan kelompok tertentu. Bagian yang menakutkan bukan bahwa setiap artefak individual itu sempurna, tetapi bahwa AI dapat menghasilkan ribuan dari mereka lebih cepat daripada yang dapat direspons oleh para pembela.
Apa yang Benar-benar Baru dalam Beberapa Tahun Terakhir?
Eksploitasi Multimodal: Kasus Sora 2 adalah contoh bagus mengapa model multimodal adalah hal yang berbeda. Di sini, peneliti tidak secara langsung meminta prompt sistem sebagai teks. Sebaliknya, mereka meminta bagian-bagian kecil darinya untuk diucapkan dalam klip video pendek, kemudian menggunakan transkripsi untuk membangun kembali keseluruhan. Mindgard dan lainnya juga telah menunjukkan serangan jailbreak berbasis audio di mana pesan tersembunyi disematkan dalam file suara yang tidak dapat didengar dengan jelas oleh manusia. Namun sistem ASR (Automatic Speech Recognition) dengan rajin mentranskripsi dan meneruskannya ke LLM. Seiring model mulai menelan gambar, rekaman layar, PDF, audio langsung, dan video, tim keamanan harus berpikir melampaui “sanitasi teks pengguna” dan memperlakukan semua konten sebagai berpotensi bermusuhan.
AI Agen dan Otonom: Pengungkapan Anthropic tentang Claude yang digunakan untuk cyber-espionase yang hampir sepenuhnya otomatis menandai titik balik. Ini menunjukkan bahwa model saat ini sudah cukup baik untuk merangkai bersama langkah-langkah pemindaian, eksploitasi, dan eksfiltrasi. Jailbreaking, dikombinasikan dengan “cerita penutup yang jinak” (misalnya, mengklaim sebagai penguji penetrasi), dapat melewati banyak lapisan keamanan. Setelah agen AI terhubung ke infrastruktur nyata, garis antara “asisten” dan “penyerang” menjadi sangat tipis. Vendor keamanan sekarang berbicara tentang “agen bayangan” dengan cara yang sama seperti kita pernah berbicara tentang IT bayangan. Akan ada agen LLM yang berjalan dalam organisasi yang tidak disetujui maupun dilihat oleh tim keamanan.
Ke Mana Arah Ini: 2026 dan Seterusnya
Sebagian besar perkiraan pakar sepakat pada beberapa tren:
Lebih banyak serangan, bukan lebih sedikit. AI agensial akan meningkatkan volume serangan lebih dari kecanggihan mentah. Pikirkan ratusan kampanye phishing khusus dan upaya eksploitasi yang secara otomatis muncul setiap kali CVE baru dirilis.
Multimodal di mana-mana. Harapkan lebih banyak eksploitasi yang merangkai teks, gambar, audio, dan video, terutama saat alat AR, VR, dan terjemahan real-time mengadopsi backend LLM.
Red teaming yang lebih cerdas dan lebih cepat. Penyerang akan membiarkan model merancang strategi serangan baru untuk mereka. Para pembela akan merespons dengan alat keamanan native-AI yang terus-menerus memeriksa dan memperkuat sistem mereka sendiri.
Regulasi, kepatuhan, dan audit. Kerangka kerja seperti EU AI Act dan panduan spesifik sektor akan memaksa organisasi untuk mendokumentasikan bagaimana sistem AI mereka berperilaku, ke mana aliran data, dan bagaimana mereka memitigasi risiko yang diketahui seperti injeksi prompt dan kebocoran model.
Konvergensi dengan teknologi lain. Komputasi kuantum, IoT, robotika, dan biologi sintetis akan bersinggungan dengan AI, menciptakan permukaan risiko gabungan baru.
Panduan Praktis: Bagaimana Membela Diri Anda Hari Ini
Untuk pembangun dan tim produk: Perlakukan LLM sebagai input yang bermusuhan, bukan orakel tepercaya. Validasi dan sandbox semua yang dihasilkannya, terutama kode, perintah, dan argumen API. Jangan pernah membiarkan model mengeksekusi tindakan seperti transfer kabel, perintah sistem, atau perubahan konfigurasi secara langsung; selalu gunakan lapisan kontrol tambahan. Terapkan pemikiran OWASP LLM Top 10. Batasi alat yang dapat dipanggil model dan tegakkan hak istimewa paling rendah. Log semua interaksi model untuk tinjauan keamanan. Keras prompt dan konfigurasi. Amankan rantai pasokan AI Anda. Red team AI Anda secara terus-menerus.
Untuk tim keamanan: Perluas model ancaman Anda untuk menyertakan AI. Tambahkan LLM, sistem RAG, dan agen ke inventaris aset Anda. Untuk setiap sistem, tanyakan: “Apa yang dapat dilihat model ini, apa yang dapat dilakukannya, dan bagaimana itu bisa disalahgunakan?” Pantau prompt dan output. Siapkan deteksi anomali sekitar aktivitas LLM. Kontrol akses ke kemampuan AI. Siapkan untuk insiden deepfake dan disinformasi.
Untuk organisasi “biasa” dan tim: Meskipun Anda tidak membangun produk AI sendiri, Anda hampir pasti menggunakan AI di suatu tempat. Buat kebijakan penggunaan AI sederhana. Didik staf tentang phishing yang dihasilkan AI, panggilan deepfake, dan pesan “mendesak” yang memainkan emosi. Hindari menempelkan data yang sangat sensitif ke chatbot publik. Tanyakan vendor pertanyaan eksplisit tentang bagaimana mereka mengamankan fitur LLM mereka.
Kesimpulan
Keamanan siber di era LLM memerlukan pendekatan yang melampaui tambalan bug tradisional. LLM dan AI multimodal secara dramatis meningkatkan lanskap ancaman siber. Injeksi prompt, kebocoran prompt, otonomi agen, dan pencurian data/model adalah risiko inti baru. Penjahat sudah memanfaatkan teknologi ini secara massal untuk penipuan, phishing, dan disinformasi. Sistem RAG dan pengetahuan terintegrasi dapat secara tidak sengaja membocorkan atau mengekspos data sensitif. Pertahanan yang efektif sekarang menuntut strategi spesifik AI, pemikiran zero-trust, pemantauan ketat, dan adaptasi terus-menerus seiring berkembangnya serangan. Dalam lanskap ancaman yang mengutamakan AI, kerentanan nyata adalah apa pun yang terhubung ke model yang terlalu mudah percaya.
