Lebih dari 100 perusahaan memperingatkan serangan siber berbasis AI

Lebih dari 100 perusahaan dan organisasi pada 27 Agustus 2026 menerbitkan seruan bersama yang memperingatkan bahwa serangan siber berbasis AI dapat segera menjadi lebih luas dan canggih. OpenAI, Anthropic, AWS, Microsoft, dan Google termasuk dalam koalisi lintas sektor tersebut; laporan Reuters mengonfirmasi tanggal penerbitan, susunan penandatangan, serta desakan agar pemerintah dan industri mempercepat pertahanan.

Dokumen itu bukan laporan tentang satu serangan tertentu, melainkan penilaian risiko dan seruan untuk bertindak. Para penandatangan meminta pemerintah memperluas akses tepercaya ke kemampuan AI defensif, sementara organisasi diminta menjadikan pertahanan siber sebagai prioritas pimpinan—terutama untuk melindungi rumah sakit, instalasi pengolahan air, pemerintah daerah, dan infrastruktur internet.

Ancaman yang diperingatkan koalisi

Para penandatangan menilai ada jendela waktu terbatas sebelum peningkatan kemampuan model membuat serangan berbasis AI lebih mudah dilakukan dalam skala besar. Pernyataan itu tetap berupa proyeksi kolektif: dokumen tidak menentukan tanggal datangnya gelombang serangan dan tidak menyatakan bahwa semua model saat ini mampu menjalankan serangan canggih secara mandiri.

Risiko baru tersebut diperkirakan memperbesar kelemahan lama, termasuk perangkat lunak yang belum ditambal, autentikasi lemah, izin akses berlebihan, kesalahan konfigurasi, dan utang teknis pada sistem warisan. Bagi operator layanan esensial, masalahnya lebih rumit karena penghentian sistem untuk perbaikan dapat mengganggu layanan, sementara tim keamanan sering kekurangan staf atau anggaran.

AI ditempatkan dalam dua peran. Kemampuannya dapat menurunkan biaya dan waktu yang dibutuhkan penyerang untuk mencari celah, tetapi juga dapat membantu pembela memperluas pemeriksaan, menemukan kelemahan, dan memverifikasi perbaikan. Karena itu, inti seruan tersebut bukan menghentikan penggunaan AI, melainkan mempercepat penyediaan kemampuan defensif kepada pihak yang memiliki otorisasi dan kebutuhan operasional.

Matriks tuntutan bagi pemerintah dan industri

Surat terbuka dan daftar resmi penandatangan memuat OpenAI, Anthropic, AWS, Microsoft, Google, CrowdStrike, Okta, Fortinet, Cloudflare, Mastercard, Visa, Capital One, IBM, Oracle, Cisco, serta perusahaan keamanan, keuangan, telekomunikasi, dan infrastruktur lainnya. Pembagian berikut merangkum rekomendasi dokumen menurut pihak yang diminta bertindak; ini bukan daftar kewajiban yang telah disepakati.

• Pemerintah — rekomendasi: mengoordinasikan pertahanan dan pemulihan pada tingkat lokal, nasional, dan internasional; memperkuat pertukaran intelijen ancaman; mendanai layanan esensial yang kekurangan sumber daya; serta mempercepat program akses tepercaya. Rumah sakit, perusahaan air, dan pemerintah daerah juga diusulkan memperoleh AI defensif, pengujian berizin, dan bantuan teknis melalui mitra keamanan tepercaya.
• Operator infrastruktur kritis — rekomendasi: memperbaiki kelemahan dengan risiko tertinggi, memverifikasi hasil tanpa mengganggu layanan, memperkuat autentikasi dan hak akses minimum, serta menggunakan kontrol pengganti ketika sistem belum dapat ditambal. Operator merupakan penerima prioritas alat, pendanaan, dan dukungan, tetapi surat tidak menetapkan jadwal penerapan untuk setiap sektor.
• Pemasok teknologi dan keamanan — rekomendasi: menguji pertahanan secara berkelanjutan terhadap kemampuan siber model terdepan, menambahkan AI ke perangkat keamanan, membantu penerapan serta verifikasi perbaikan, dan berbagi intelijen ancaman maupun panduan yang telah diuji. Perusahaan AI terdepan juga diminta menyediakan akses model secara bertanggung jawab, pendanaan, pelatihan, pemantauan, dan identitas agen yang dapat ditelusuri.
• Organisasi umum — rekomendasi: menempatkan pertahanan siber sebagai prioritas pimpinan, memperbaiki celah paling berbahaya, serta menaikkan standar keamanan untuk teknologi yang dibeli, dibangun, dan diterapkan, termasuk kode buatan AI. Dokumen juga mendorong pertahanan berlapis dan penggantian sistem yang tidak lagi memadai.

Dokumen menyebut tiga arah pengukuran bagi pemasok: berapa banyak organisasi yang dilindungi, seberapa cepat serangan dapat dibatasi, dan apakah perbaikan bekerja. Namun, indikator itu belum dilengkapi angka awal, target hasil, periode evaluasi, atau tata cara pelaporan bersama.

Belum ada komitmen, tenggat, atau investasi tertentu

Batas terpenting seruan ini adalah perbedaan antara rekomendasi dan komitmen. Axios mencatat bahwa para penandatangan tidak menetapkan komitmen, tenggat, ataupun investasi tertentu dalam surat tersebut. Kehadiran sebuah perusahaan dalam daftar karena itu belum membuktikan bahwa perusahaan tersebut telah mengalokasikan dana, membuka akses model, atau menyelesaikan perbaikan keamanan.

Seruan itu juga tidak menunjuk sekretariat, auditor independen, pemilik anggaran, atau pihak yang wajib menerbitkan kemajuan. Ungkapan seperti pendanaan signifikan, akses yang bertanggung jawab, dan tindakan segera tidak diberi definisi operasional yang seragam. Dokumen tersebut dengan demikian merupakan kerangka sukarela untuk membagi peran, bukan kesepakatan pelaksanaan yang mengikat atau standar kepatuhan baru.

Relevansinya bagi Indonesia terletak pada jenis layanan yang disebut dan sifat ancaman yang melintasi batas negara. Meski demikian, surat global itu tidak memuat rencana khusus untuk Indonesia, tidak menugaskan lembaga nasional tertentu, dan tidak menjanjikan jalur pendanaan atau akses model bagi operator di negara tertentu.

Nilai nyata seruan ini baru dapat dinilai jika para penandatangan menerbitkan tindak lanjut: siapa yang membiayai program, kapan akses defensif diperluas, organisasi mana yang menerima bantuan, bagaimana perbaikan diverifikasi, dan apakah hasilnya diumumkan secara berkala. Untuk saat ini, koalisi telah menyepakati gambaran ancaman dan arah tindakan, tetapi belum menyediakan tolok ukur bersama untuk menguji pelaksanaannya.