Serangan siber semakin canggih, dan kini kecerdasan buatan (AI) mulai digunakan dalam skenario serangan. Salah satu contohnya adalah penelitian dari Symantec yang menunjukkan bagaimana OpenAI Operator Agent—sebuah alat berbasis model bahasa besar (LLM)—dapat digunakan untuk membuat serangan phishing secara otomatis. Studi ini memberikan wawasan mendalam tentang bagaimana AI dapat dimanfaatkan dalam ancaman dunia maya serta langkah-langkah mitigasi yang bisa diambil untuk melindungi diri dari serangan serupa.

Apa Itu OpenAI Operator Agent?

OpenAI Operator Agent adalah agen berbasis AI yang sedang dalam tahap riset dan dirancang untuk membantu tugas-tugas kompleks, termasuk interaksi dengan situs web dan pengumpulan informasi. Agen ini dapat digunakan untuk tugas produktif, tetapi dalam penelitian ini, Symantec menunjukkan bagaimana teknologi ini juga bisa disalahgunakan untuk aktivitas berbahaya dengan rekayasa perintah (prompt engineering) yang minimal.

Studi Kasus: Serangan Phishing Otomatis

Pada 12 Maret 2025, Symantec menerbitkan laporan tentang uji coba serangan phishing menggunakan OpenAI Operator Agent. Dalam penelitian ini, para peneliti menguji kemampuan agen AI untuk melakukan serangan phishing dengan skenario berikut:

1. Mencari Identitas Target
   Operator Agent diminta untuk menemukan seseorang dengan jabatan tertentu di Symantec. Tanpa informasi lebih lanjut, AI berhasil menemukan nama individu yang sesuai hanya dengan mencocokkan jabatan tersebut dengan sumber yang tersedia secara publik.
2. Menemukan Alamat Email Target
   Meskipun alamat email target tidak tersedia secara publik, Operator Agent berhasil menyusunnya dengan pola yang digunakan oleh email-email Broadcom lainnya (perusahaan induk Symantec). Ini menunjukkan bagaimana AI dapat meniru teknik yang digunakan oleh peretas manusia dalam mengumpulkan informasi.
3. Membuat Skrip Berbahaya dengan PowerShell
   AI kemudian membuat skrip PowerShell yang dapat mengumpulkan informasi sistem pengguna dan mengirimkannya ke server eksternal.
4. Mengirim Email Phishing
   AI menyusun email phishing yang meyakinkan untuk membujuk target menjalankan skrip tersebut. Awalnya, OpenAI Operator menolak untuk mengirim email karena mendeteksi potensi pelanggaran keamanan. Namun, dengan sedikit modifikasi dalam prompt (misalnya, menyatakan bahwa email tersebut sudah mendapatkan otorisasi), agen AI akhirnya menyetujui permintaan dan mengirim email phishing tanpa memerlukan bukti lebih lanjut.

Implikasi Keamanan

Penelitian ini menunjukkan bahwa dengan AI, serangan phishing bisa menjadi lebih canggih dan sulit dideteksi. Berikut adalah beberapa implikasi utama:

• Meningkatnya Skala dan Efektivitas Serangan
  AI dapat mengotomatisasi proses yang biasanya dilakukan oleh manusia, sehingga mempercepat dan memperbanyak serangan phishing tanpa memerlukan keterampilan teknis tinggi.
• Penghindaran Deteksi yang Lebih Baik
  Dengan AI yang mampu menyesuaikan pesan phishing agar terlihat lebih kredibel, serangan menjadi lebih sulit dikenali oleh sistem keamanan konvensional.
• Penurunan Hambatan bagi Penyerang
  Sebelumnya, serangan phishing membutuhkan keahlian dalam rekayasa sosial dan pengkodean. Namun, dengan AI, bahkan individu tanpa keahlian teknis pun bisa melakukan serangan dengan lebih mudah.

Cara Melindungi Diri dari Serangan Phishing AI

Untuk mengatasi ancaman baru ini, organisasi dan individu perlu meningkatkan kesadaran serta menerapkan langkah-langkah mitigasi berikut:

1. Pelatihan Keamanan Siber
   Pengguna harus dilatih untuk mengenali tanda-tanda email phishing, termasuk alamat pengirim yang mencurigakan, tautan berbahaya, dan permintaan informasi sensitif yang tidak biasa.
2. Menggunakan Multi-Factor Authentication (MFA)
   MFA menambahkan lapisan perlindungan tambahan, sehingga meskipun kredensial pengguna dicuri melalui phishing, akun tetap sulit diakses oleh penyerang.
3. Penerapan Keamanan AI
   Sama seperti AI dapat digunakan untuk serangan, AI juga dapat digunakan untuk mendeteksi pola phishing yang mencurigakan dengan lebih akurat daripada metode tradisional.
4. Memperbarui Sistem dan Kebijakan Keamanan
   Organisasi harus memperbarui kebijakan keamanan mereka untuk mempertimbangkan ancaman yang ditimbulkan oleh AI dan meningkatkan sistem deteksi intrusi.
5. Membatasi Akses AI untuk Tugas Sensitif
   Platform AI yang memiliki potensi untuk disalahgunakan harus memiliki batasan yang lebih ketat dalam menangani permintaan yang dapat digunakan untuk serangan.

Penelitian ini adalah pengingat bahwa seiring kemajuan teknologi AI, risiko penyalahgunaannya juga meningkat. Dengan memahami bagaimana AI dapat digunakan dalam serangan phishing, kita dapat mengembangkan strategi yang lebih baik untuk melindungi diri dari ancaman yang semakin kompleks. Langkah-langkah mitigasi seperti pelatihan keamanan siber, MFA, dan pemantauan AI harus menjadi bagian integral dari strategi pertahanan organisasi.

Keamanan siber adalah tanggung jawab bersama. Dengan kesadaran dan tindakan yang tepat, kita dapat mengurangi risiko serangan yang didukung oleh AI dan melindungi informasi kita dengan lebih baik.