Havedev
AI Agent Tidak Cukup Pintar, Ia Juga Harus Bisa Diawasi
Cyera dikabarkan sepakat mengakuisisi Oasis Security dengan nilai sekitar $1 miliar. Oasis fokus pada non-human identity, terutama AI agent, sementara Cyera dikenal sebagai perusahaan data security yang baru saja menggalang $600 juta pada valuasi $12 miliar.
Di permukaan, ini terlihat seperti berita besar lain dari pasar cybersecurity. Perusahaan keamanan membeli perusahaan keamanan lain. Investor besar terlibat. Valuasi tinggi. AI menjadi kata kunci utama.
Tetapi ada sinyal yang lebih penting: perusahaan mulai sadar bahwa AI agent bukan hanya fitur produktivitas. AI agent adalah aktor baru di dalam sistem kerja.
Ia bisa membaca data. Mengambil keputusan. Memanggil API. Mengakses aplikasi lain. Menjalankan instruksi. Kadang bekerja lebih cepat daripada manusia yang mengawasinya.
Kalau aktor seperti ini tidak punya identitas yang jelas, bisnis sedang menambah automation tanpa tahu siapa yang sebenarnya melakukan apa.
The Core Update
Cyera menandatangani letter of intent untuk membeli Oasis Security sekitar $1 miliar. Sebagian besar pembayaran disebut akan memakai cash, sisanya memakai saham Cyera.
Oasis berdiri pada 2022 dan telah mengumpulkan pendanaan sekitar $195 juta dari Accel, Craft Ventures, Cyberstarts, dan investor lain. Fokusnya ada pada non-human identities, termasuk AI agent yang semakin banyak dipakai di lingkungan enterprise.
Masalah yang ingin dijawab cukup jelas. Ketika AI agent bertambah, perusahaan perlu tahu agent mana yang aktif, apa tugasnya, sistem mana yang bisa diakses, data apa yang boleh dibaca, dan perilaku apa yang harus dianggap tidak normal.
Cyera sendiri sedang bergerak agresif. Sebelum Oasis, perusahaan ini juga membeli Ryft dan Genie Security. Setelah akuisisi Oasis, Cyera berencana menggabungkan teknologi Oasis ke dalam platform identity dan data security yang lebih terpadu.
Langkah ini masuk akal secara strategi. Data security tanpa identity control akan semakin lemah di era AI agent. Sebaliknya, identity security tanpa pemahaman konteks data juga mudah menjadi terlalu teknis dan sulit dipakai untuk keputusan bisnis.
Jika digabung dengan benar, platform seperti ini bisa membantu perusahaan menjawab pertanyaan yang lebih operasional:
- AI agent mana yang punya akses ke data sensitif?
- akses itu masih dibutuhkan atau sudah berlebihan?
- agent mana yang berperilaku di luar pola normal?
- siapa pemilik bisnis dari agent tersebut?
- kapan akses harus dikurangi, dihentikan, atau diaudit?
Ini bukan pertanyaan futuristik. Untuk perusahaan yang mulai memakai AI di sales, support, finance, engineering, legal, atau operasi internal, pertanyaan ini akan muncul lebih cepat dari yang diperkirakan.
The Reality Check
Kabar akuisisi besar sering membuat pasar terlihat seolah semua perusahaan harus segera membeli platform keamanan AI yang lengkap. Kenyataannya tidak sesederhana itu.
Banyak bisnis bahkan belum punya daftar yang jelas tentang automation apa saja yang sedang berjalan. Bot WhatsApp, workflow Zapier, script internal, API key, plugin CRM, webhook, integration token, dan akun service sering tumbuh sedikit demi sedikit tanpa dokumentasi yang rapi.
AI agent hanya membuat masalah lama menjadi lebih tajam.
Dulu, risiko identitas non-manusia sering terbatas pada service account, API token, atau scheduled job. Sekarang, AI agent bisa diberi instruksi yang lebih fleksibel. Ia tidak hanya menjalankan satu tugas tetap. Ia bisa memilih langkah berdasarkan konteks.
Di sinilah masalahnya. Fleksibilitas yang membuat AI agent berguna juga membuatnya lebih sulit diawasi.
Kalau tim tidak tahu batas kerja agent, sulit menentukan apakah perilakunya benar atau berbahaya. Kalau tidak ada pemilik yang jelas, sulit tahu siapa yang harus memperbaiki ketika agent salah akses data. Kalau permission terlalu luas, kesalahan kecil bisa berubah menjadi kebocoran besar.
Tool keamanan memang penting. Tetapi tool tidak bisa menggantikan disiplin dasar.
Sebelum perusahaan bicara tentang AI security platform, ada pertanyaan yang lebih sederhana:
- agent apa saja yang sudah dipakai?
- siapa pemilik tiap agent?
- data apa yang boleh diakses?
- sistem apa yang boleh dipanggil?
- tindakan apa yang boleh dilakukan otomatis?
- kapan manusia harus menyetujui keputusan?
- log apa yang wajib disimpan?
Tanpa jawaban ini, platform keamanan hanya akan menampilkan kebingungan dalam dashboard yang lebih mahal.
Ada juga sisi bisnis yang perlu dibaca dengan sehat. Cyera sudah melewati $150 juta ARR, tetapi dilaporkan masih jauh dari profit. Perusahaan ini telah mengumpulkan sekitar $2,3 miliar pendanaan. Artinya, pasar sedang bertaruh besar pada keamanan data dan identity di era AI, tetapi model ekonominya tetap harus dibuktikan.
Bagi enterprise besar, akuisisi seperti ini bisa menjadi sinyal untuk mempercepat program identity governance. Bagi bisnis menengah, sinyalnya berbeda: jangan tunggu sampai lingkungan automation terlalu liar baru mulai menata akses.
AI agent tidak perlu menjadi banyak dulu untuk menjadi risiko. Satu agent dengan akses terlalu luas sudah cukup untuk membuat masalah.
The Havedev Way
Dari sudut pandang Havedev, pelajaran utama dari akuisisi ini bukan bahwa semua bisnis harus membeli tool cybersecurity baru.
Pelajaran utamanya adalah: setiap automation harus punya identitas, batas, dan pemilik.
AI agent sebaiknya tidak diperlakukan seperti fitur tambahan yang bebas bergerak di belakang layar. Ia perlu masuk ke struktur operasional yang bisa dibaca. Sama seperti lead butuh status, order butuh tahap, dan support butuh owner, AI agent juga butuh status kerja yang jelas.
Untuk bisnis yang mulai memakai AI atau automation, langkah awal bisa dibuat sederhana.
Pertama, inventarisasi semua automation yang sudah aktif. Tidak perlu mulai dari platform besar. Mulai dari spreadsheet yang berisi nama automation, fungsi, pemilik, sistem yang diakses, credential yang dipakai, dan risiko jika automation salah jalan.
Kedua, batasi akses berdasarkan kebutuhan nyata. Agent untuk merangkum tiket support tidak otomatis perlu akses ke invoice. Bot untuk menjawab pertanyaan produk tidak otomatis perlu akses ke seluruh database pelanggan. Workflow untuk membuat draft email tidak otomatis perlu izin mengirim email tanpa review manusia.
Ketiga, pisahkan tindakan baca dan tindakan eksekusi. Membaca data, membuat rekomendasi, mengubah data, mengirim pesan, dan memicu pembayaran adalah tingkat risiko yang berbeda. Semuanya tidak boleh diberi permission yang sama.
Keempat, simpan log yang bisa diperiksa manusia. Jika agent mengambil keputusan, bisnis perlu tahu input apa yang dipakai, output apa yang dibuat, dan tindakan apa yang dijalankan. Tanpa log, masalah hanya bisa ditebak setelah dampaknya muncul.
Kelima, tentukan kapan manusia harus masuk. Tidak semua hal perlu approval manual. Tetapi untuk data sensitif, transaksi bernilai besar, perubahan permission, atau komunikasi penting ke pelanggan, human review sering masih menjadi pagar yang sehat.
Pendekatan seperti ini tidak glamor. Tetapi ia lebih berguna daripada langsung menambah tool tanpa tahu peta risikonya.
Untuk banyak bisnis, keamanan AI tidak dimulai dari membeli sistem besar. Ia dimulai dari pertanyaan yang sangat praktis: automation mana yang sudah bekerja atas nama perusahaan, dan apakah kita tahu batasnya?
Cyera membeli Oasis karena pasar enterprise mulai melihat bahwa data security dan identity security akan semakin sulit dipisahkan. AI agent mempercepat kebutuhan itu.
Tetapi bagi bisnis yang sedang membangun sistem digital, pesan praktisnya lebih dekat: jangan hanya membuat automation yang bisa bekerja. Buat automation yang bisa diawasi.
Karena ketika AI agent mulai mengakses data, mengirim pesan, membuat keputusan, dan menjalankan proses, masalahnya bukan lagi sekadar apakah agent itu pintar.
Masalahnya adalah apakah bisnis tahu siapa yang memberinya izin, apa batasnya, dan siapa yang bertanggung jawab ketika ia salah bergerak.
Dapatkan Audit Teknis Gratis untuk meninjau automation, integrasi, dan alur data yang mulai sulit diawasi sebelum bisnis Anda menambah AI agent baru.
Sumber referensi berita: TechCrunch