Jangan Beri Password ke AI Agent, Ini Risikonya

Verdict Cepat: Jangan Serahkan Password ke AI Agent

Password membuka seluruh akun. Token yang sempit membuka satu tugas. Perbedaan itu menentukan apakah AI agent membantu pekerjaan atau justru mengambil alih akun tanpa rem. Bank of America menyampaikan pesan yang sama kepada nasabah pada akhir Oktober: jangan pernah menyerahkan username dan password kepada orang lain atau layanan luar, termasuk AI agent yang menawarkan diri bertindak atas nama nasabah. Saya merangkum peringatan itu, celah protokol MCP, dan alternatif yang lebih aman, supaya keputusan memakai AI agent untuk urusan uang tidak diambil berdasarkan janji kemudahan semata.

Aturan praktisnya pendek. AI agent boleh membaca ringkasan, menyusun draf, dan menyiapkan langkah. AI agent tidak boleh memegang password bank, email utama, atau marketplace. Akses yang sah selalu punya tiga sifat: terbatas pada satu tugas, bisa dicabut kapan saja, dan tercatat jelas siapa yang memberi izin dan kapan izin itu dipakai. Akses yang tidak punya ketiga sifat itu bukan delegasi. Akses itu penyerahan kunci.

Peringatan Bank yang Memicu Perdebatan Ini

TechCrunch melaporkan pada 27 Oktober bahwa Bank of America mengirim email kepada nasabah dengan judul Protecting your finances in the AI World. Isi email itu meminta nasabah tidak pernah membagikan username dan password kepada orang lain atau layanan luar, termasuk AI agent yang menawarkan diri bertindak atas nama nasabah. Juru bicara bank mengonfirmasi keaslian email tersebut kepada TechCrunch setelah salinannya beredar di media sosial. Kalimat yang paling banyak dikutip berbunyi: bila nasabah membagikan kredensial, nasabah bertanggung jawab atas aktivitas yang timbul dari akses tersebut.

Konteks peringatan itu penting. Axios melaporkan pada 22 Oktober bahwa bank-bank besar Amerika Serikat menemukan AI agent pihak ketiga beroperasi di dalam akun nasabah, sering kali dengan password nasabah sendiri. Reuters melaporkan pada tanggal yang sama bahwa bank-bank besar memblokir AI agent pihak ketiga dari akun nasabah. Charles Schwab, lewat pernyataan CEO-nya yang dikutip Inside Telecom, menyebut perusahaan itu memblokir puluhan upaya AI agent besar untuk menjangkau dana klien. Citi menyatakan tidak mengizinkan AI agent pihak ketiga masuk ke akun nasabah atau bertransaksi langsung di platform perbankan digitalnya.

Wells Fargo melangkah lebih jauh lewat pembaruan perjanjian akses online yang berlaku 24 November. Perjanjian itu menyebut nasabah bertanggung jawab penuh mengawasi AI agent dan memperlakukan transaksi yang dilakukan agent tanpa izin sebagai transaksi yang sah, termasuk transaksi yang tidak diinginkan. Saya mencatat satu nuansa penting di sini: sejumlah laporan menegaskan belum ada putusan pengadilan atau regulator yang menetapkan bagaimana aturan tanggung jawab itu berlaku untuk AI agent. Peringatan bank adalah posisi bank, bukan vonis hukum yang sudah final. Posisi itu tetap cukup kuat untuk dijadikan pegangan praktis, karena bank memegang kendali atas pemulihan akun dan sengketa transaksi.

Bank of America sendiri bukan penolak AI. Asisten konsumen Erica melayani nasabah sejak 2018 dan mencatat miliaran interaksi. Perbedaan Erica dengan agent luar terletak pada kendali. Erica berjalan di dalam sistem bank, dengan izin yang bank tentukan dan bank audit. Agent luar datang tanpa kontrak seperti itu. Agent luar memegang password yang membuka segalanya, karena password memang dirancang sebagai kunci serba bisa, bukan kunci yang bisa dipersempit per tugas.

Password Memberi Akses Penuh, Bukan Akses Terbatas

Password tidak mengenal niat. Sistem login hanya memeriksa kecocokan username dan password, lalu membuka semua menu yang tersedia untuk akun itu. Agent yang memegang password bisa membaca saldo, mengubah data kontak, memindahkan dana, atau membuka produk baru. Sistem tidak bisa membedakan tindakan yang pemilik akun setujui dengan tindakan yang agent putuskan sendiri. Catatan aktivitas akan menampilkan login yang sah, bukan penyusupan. Pemulihan menjadi sulit karena dari sisi sistem tidak ada yang jebol. Pintu dibuka dengan kunci yang benar.

Baca juga:

Opera WebAI: AI Lokal di Browser Tanpa Cloud

Risiko kedua adalah rantai penyimpanan. Agent bukan satu program tunggal. Agent terdiri atas model, plugin, ekstensi browser, jalur logging, dan tim dukungan. Setiap mata rantai menyimpan, menyalin, atau mencatat kredensial dengan caranya sendiri. Satu celah di satu mata rantai cukup untuk membocorkan password ke pihak yang tidak berhak. Risiko ketiga adalah masa berlaku. Password tetap berlaku sampai pemilik akun mengubahnya. Agent yang sudah tidak dipakai tetap bisa masuk selama password belum diganti dan sesi belum dicabut. Data yang sudah agent baca juga tidak bisa ditarik kembali hanya dengan mengganti password.

Risiko keempat menyentuh pekerjaan kreatif dan bisnis kecil. Desainer dan pemilik UMKM sering memakai satu email untuk bank, marketplace, akun iklan, dan penyimpanan file. Satu password yang bocor dari agent keuangan bisa membuka akun iklan yang saldonya berjalan harian, atau akun marketplace yang terhubung ke rekening. Kerugian tidak berhenti di satu layanan. Kerugian menyebar lewat akun yang saling terhubung. Pemisahan akun dan pemisahan izin menjadi pertahanan pertama sebelum alat keamanan apa pun dipasang.

Satu contoh konkret memperjelas bedanya. Agent yang diminta merangkum mutasi rekening tidak membutuhkan kemampuan transfer. Agent yang diminta membayar tagihan tidak membutuhkan akses mengubah nomor telepon atau alamat email pemulihan. Password memberikan semua kemampuan itu sekaligus. Token yang sempit memberikan kemampuan yang diminta saja, untuk waktu yang ditentukan saja. Pilihan antara keduanya bukan soal percaya atau tidak percaya pada teknologi. Pilihan itu soal membatasi kerusakan bila sesuatu berjalan salah.

MCP dan Jalur Baru Kebocoran Kredensial

Model Context Protocol, atau MCP, adalah protokol yang menghubungkan asisten AI dengan tool dan sumber data luar. Protokol ini membuat agent bisa membaca file, memanggil API, dan menjalankan perintah lewat server yang terpasang. Kemudahan itu datang dengan permukaan serangan baru. Panduan keamanan MCP dari Toolstile merangkum risiko utamanya: prompt injection, tool poisoning, definisi tool yang diubah, akses yang terlalu luas, token yang diteruskan ke pihak lain, pencurian kredensial, dan jejak audit yang hilang.

Prompt injection bekerja lewat konten yang tidak terlihat sebagai perintah. Instruksi jahat bisa bersembunyi di dalam dokumen, email, atau hasil yang dikembalikan sebuah tool. Model membaca konten itu sebagai bagian dari konteks kerja, lalu menjalankan tool yang sebenarnya tidak pemilik akun setujui. Tool poisoning bekerja lebih halus lagi. Penyerang mengubah deskripsi sebuah tool sehingga model memahami tool itu secara keliru dan memakai tool itu untuk tujuan yang berbeda. Studi dari MDPI tentang threat modeling MCP menemukan tool poisoning sebagai kerentanan sisi klien yang paling berdampak, dan menemukan sebagian besar klien yang diuji tidak memvalidasi metadata tool secara ketat.

Kasus nyata mempertegas urgensi itu. Laporan GBHackers tentang eksploitasi MCP mencatat penyerang memburu layanan MCP yang terekspos, menyalahgunakan celah autentikasi di fungsi MCP LiteLLM, dan mencuri kredensial dari memori proses. Artikel DEV Community tentang MCP mencatat pemindaian Trend Micro yang menemukan 1.467 server MCP terekspos ke internet, hampir tiga kali lipat dari pemindaian awal yang menemukan 492 server, dan sebagian server itu berjalan tanpa autentikasi klien dan tanpa enkripsi trafik. Angka itu menggambarkan server yang salah konfigurasi, bukan bukti bahwa setiap instalasi MCP pasti bocor. Pesan yang bisa diambil tetap sama: setiap tool baru yang dipasang ke agent menambah pintu. Pintu yang tidak diaudit adalah pintu yang tidak terkendali.

Implikasi praktis untuk pengguna harian cukup jelas. Pasang tool MCP dari sumber yang dikenal saja. Periksa file konfigurasi sebelum mengaktifkan server baru. Cabut server yang sudah tidak dipakai. Batasi tool yang boleh berjalan tanpa konfirmasi untuk tindakan yang mengubah data atau memindahkan uang. Saya menilai langkah-langkah itu membosankan, dan justru karena membosankan langkah itu sering dilewati. Keamanan agent tidak ditentukan oleh satu pengaturan canggih. Keamanan agent ditentukan oleh daftar tool yang pendek, izin yang sempit, dan kebiasaan mencabut akses yang sudah selesai dipakai.

Baca juga:

Model AI GoTo 27 Miliar Parameter untuk Bahasa Indonesia

Password vs Token vs Kunci Akses: Tabel Perbandingan

Tabel berikut membandingkan empat cara memberi akses kepada agent. Perbandingan ini membantu memilih cara yang sesuai dengan tugas, bukan cara yang paling cepat dipasang.

Pola dari tabel itu konsisten. Semakin sempit akses, semakin kecil kerusakan bila akses itu bocor. Semakin mudah akses dicabut, semakin cepat pemilik akun menghentikan masalah. Kecepatan pemasangan berbanding terbalik dengan kendali. Password paling cepat dipasang dan paling sulit dikendalikan. Token sempit membutuhkan langkah persetujuan di awal, tetapi memberi kendali penuh setelahnya.

Cara Aman Memakai AI Agent untuk Urusan Uang

Langkah pertama adalah memisahkan akun. Buat rekening atau dompet khusus dengan saldo terbatas untuk transaksi yang melibatkan agent. Pisahkan email keuangan dari email kerja harian. Pemisahan ini membatasi jangkauan kerusakan bila satu akun bermasalah. Langkah kedua adalah memakai koneksi resmi berbasis persetujuan, bukan password. Bank of America sendiri mengarahkan nasabah ke mekanisme berbagi data berbasis persetujuan, di mana nasabah masuk langsung ke bank untuk menyetujui akses data tanpa menyerahkan password kepada pihak ketiga. Mekanisme serupa tersedia di banyak layanan lewat tombol hubungkan akun dan halaman izin aplikasi. Periksa daftar izin itu secara berkala dan cabut aplikasi yang sudah tidak dipakai.

Langkah ketiga adalah meminta persetujuan untuk setiap pembayaran. Agent boleh menyiapkan draf pembayaran, tetapi pemilik akun menekan tombol kirim. Aturan ini menutup celah agent yang menafsirkan instruksi secara keliru atau menjalankan instruksi yang disisipkan dari konten luar. Langkah keempat adalah memakai kartu virtual berbatas untuk belanja lewat agent. Tetapkan limit per transaksi dan masa berlaku pendek. Kartu virtual yang bocor merugikan jauh lebih kecil daripada kartu utama yang terhubung ke rekening penuh.

Langkah kelima menyentuh sisi developer dan freelancer yang memasang tool AI di mesin kerja. Simpan API key di pengelola rahasia, bukan di file konfigurasi yang ikut tersalin ke repositori. Buat key terpisah per proyek dan per agent, dengan izin minimal. Putar key secara berkala dan hapus key proyek yang sudah selesai. Periksa daftar tool MCP yang aktif sebelum memulai sesi kerja yang menyentuh data klien. Kebiasaan ini terdengar administratif, tetapi kebiasaan ini yang membedakan mesin kerja yang aman dari mesin kerja yang menjadi gudang kredensial.

Baca juga panduan terkait di Grafisify: Agen AI Bisa Login Tanpa Tahu Password menjelaskan pola login tanpa password yang lebih aman. Checklist Vibe Coding Aman membantu memeriksa kode hasil AI sebelum naik produksi. Opera WebAI membahas AI lokal di browser yang menjaga data tetap di perangkat. Retak di Balik Booming Belanja AI mengulas sisi biaya dari gelombang belanja infrastruktur AI. Keempat artikel itu melengkapi topik ini dari sisi login, kode, privasi perangkat, dan ekonomi AI.

Sumber eksternal yang mendasari artikel ini: laporan TechCrunch tentang email Bank of America, liputan Inside Telecom tentang bank dan AI agent, laporan awal ZDNet tentang peringatan bank, panduan keamanan MCP dari Toolstile, dan panduan OAuth untuk AI agent dari Apidog. Saya menyarankan pembaca membuka sumber primer itu bila membutuhkan kutipan persis atau detail perjanjian yang berlaku di bank masing-masing.

Kesimpulan Akhir dan CTA

AI agent layak dipakai untuk pekerjaan uang, dengan satu syarat yang tidak bisa ditawar: agent tidak memegang password. Password membuka seluruh akun, bertahan sampai diganti, dan menyamarkan tindakan agent sebagai tindakan pemilik akun. Token sempit, koneksi berbasis persetujuan, kartu virtual berbatas, dan persetujuan per transaksi memberi hasil yang sama dengan risiko yang jauh lebih kecil. Peringatan Bank of America, pemblokiran oleh bank-bank besar, dan celah di ekosistem MCP mengarah ke kesimpulan yang sama dari tiga arah berbeda.

Mulai dari satu audit kecil minggu ini. Buka halaman izin aplikasi di bank, email, dan marketplace. Cabut akses agent dan aplikasi yang sudah tidak dipakai. Ganti password akun yang pernah dibagikan ke tool apa pun. Buat rekening khusus bersaldo terbatas untuk transaksi yang melibatkan agent. Setelah itu, agent boleh kembali membantu: membaca ringkasan, menyusun draf, dan menyiapkan langkah, sementara tombol kirim tetap berada di tangan pemilik akun.