Havedev
Akun AI Bisa Diretas, Masalahnya Bukan Hanya Password
The Core Update
Akun di platform AI populer seperti ChatGPT, Claude, dan Perplexity bisa menjadi target peretasan seperti layanan online lainnya.
TechCrunch merangkum cara mengecek apakah ada sesi mencurigakan di akun AI. Intinya sederhana: pengguna perlu melihat perangkat atau sesi aktif, keluar dari sesi yang tidak dikenal, lalu memperkuat akses dengan password unik dan multi-factor authentication jika tersedia.
Di ChatGPT, pengguna bisa membuka menu akun, masuk ke Settings, lalu Security and Login, kemudian melihat Active Sessions. Jika ada perangkat yang tidak dikenal, pengguna bisa mengeluarkan perangkat tersebut atau memilih keluar dari semua sesi. Setelah itu, password bisa diganti lewat alur forgot password.
Di Claude, pengguna bisa membuka Settings, lalu Account, dan melihat Active sessions. Sesi yang tidak dikenal bisa dihentikan satu per satu atau seluruh perangkat bisa dikeluarkan. Claude tidak memakai password biasa. Login dilakukan lewat tautan email, sehingga keamanan email menjadi sangat penting.
Di Perplexity, pengguna tidak melihat daftar lokasi atau perangkat yang sedang login. Jika ada kecurigaan, langkah yang tersedia adalah Sign out of all sessions, lalu login ulang memakai email dan kode enam digit.
Saran dasarnya masih sama: gunakan password unik, simpan di password manager, dan aktifkan MFA jika platform mendukungnya. ChatGPT dan Perplexity menyediakan MFA. Claude belum memakai MFA karena model login-nya berbasis email link.
The Reality Check
Banyak orang masih memperlakukan akun AI seperti akun eksperimen. Dipakai untuk mencoba prompt, merangkum dokumen, menulis email, membaca kontrak, membuat ide campaign, atau membantu pekerjaan teknis. Karena terlihat seperti alat bantu pribadi, risikonya sering dianggap lebih kecil daripada email, CRM, atau dashboard internal.
Padahal akun AI sering menyimpan konteks kerja yang sensitif.
Riwayat percakapan bisa berisi nama client, strategi harga, draft proposal, data operasional, potongan kode, insight customer, bahkan masalah internal yang belum siap dibagikan. Jika akun disusupi, yang bocor bukan hanya akses ke aplikasi. Yang ikut terbuka adalah cara bisnis berpikir, bekerja, dan mengambil keputusan.
Masalahnya tidak selalu terlihat dramatis. Tidak selalu ada notifikasi besar bahwa akun sudah diambil alih. Kadang tandanya hanya sesi asing, riwayat chat yang terasa aneh, penggunaan yang tidak dikenali, atau akses dari perangkat yang tidak pernah dipakai.
Di sinilah banyak bisnis terlalu santai.
Mereka sudah mulai memakai AI untuk pekerjaan harian, tetapi belum menaikkan standar keamanan akun AI ke level yang sama dengan tool kerja lain. Password masih dipakai ulang. MFA belum aktif. Email login tidak dilindungi dengan baik. Akses mantan karyawan tidak segera dicabut. Riwayat chat dibiarkan menumpuk tanpa kebijakan yang jelas.
Tool AI memang memudahkan kerja. Tetapi kemudahan itu membuat batas antara eksperimen pribadi dan sistem kerja bisnis menjadi kabur.
Kalau AI sudah dipakai untuk pekerjaan client, sales, support, engineering, HR, atau finance, maka akun AI bukan lagi mainan produktivitas. Ia sudah menjadi bagian dari permukaan risiko digital bisnis.
The Havedev Way
Dari sudut pandang Havedev, isu ini bukan hanya tentang apakah ChatGPT, Claude, atau Perplexity punya tombol logout semua sesi. Itu penting, tetapi masih di permukaan.
Pertanyaan yang lebih sehat untuk bisnis adalah: akun AI dipakai untuk pekerjaan apa, oleh siapa, dan data apa yang boleh masuk ke sana?
Sebelum menambah banyak automation berbasis AI, bisnis perlu punya kebiasaan keamanan dasar yang jelas.
Mulai dari hal sederhana:
- pakai password unik untuk akun AI yang mendukung password
- aktifkan MFA jika tersedia
- lindungi email utama karena banyak platform memakai email sebagai pintu login
- cek active sessions secara berkala
- logout dari semua sesi saat ada kecurigaan
- cabut akses orang yang sudah tidak bekerja di alur tersebut
- jangan masukkan data sensitif tanpa aturan internal
Untuk bisnis kecil, ini tidak harus menjadi dokumen keamanan yang rumit. Yang penting adalah ada bahasa kerja yang sama.
Misalnya, tim perlu tahu data apa yang boleh dimasukkan ke AI, data apa yang harus disamarkan, siapa yang boleh memakai akun tertentu, dan apa yang harus dilakukan jika muncul aktivitas mencurigakan.
Tanpa aturan ini, AI akan menyebar lewat kebiasaan masing-masing orang. Satu orang memakai akun pribadi untuk pekerjaan client. Orang lain memakai akun tim tanpa MFA. Ada yang mengunggah dokumen mentah karena ingin cepat. Ada yang menyimpan semua histori karena merasa nanti berguna.
Di awal, semua terasa praktis. Saat ada insiden, baru terlihat bahwa bisnis tidak tahu akun mana yang menyimpan konteks apa.
Pendekatan yang lebih rapi bukan berarti melarang AI. Justru sebaliknya. Bisnis yang ingin memakai AI dengan serius perlu membuat fondasi aksesnya lebih sehat.
Untuk tahap awal, audit kecil sudah cukup:
- platform AI apa saja yang dipakai tim?
- akun mana yang memakai email pribadi dan email kantor?
- apakah MFA sudah aktif?
- siapa yang masih punya akses?
- data apa yang pernah dimasukkan ke prompt?
- apakah ada sesi aktif dari perangkat yang tidak dikenal?
- apa prosedur kalau akun dicurigai disusupi?
Jawaban dari pertanyaan ini membantu bisnis membedakan antara penggunaan AI yang produktif dan penggunaan AI yang berisiko.
AI tidak harus ditakuti. Tetapi akun AI juga tidak boleh diperlakukan seperti catatan pribadi biasa.
Semakin sering AI dipakai untuk membaca, menulis, menganalisis, dan mengambil keputusan kerja, semakin penting bisnis memastikan aksesnya bersih, sesi login-nya jelas, dan datanya tidak masuk tanpa kontrol.
Sebelum membangun automation AI yang lebih jauh, cek dulu hal yang paling dasar: apakah akun AI yang dipakai tim sudah aman, bisa diaudit, dan tidak bergantung pada kebiasaan masing-masing orang?
Kalau jawabannya belum jelas, mulai dari sana.
Dapatkan Audit Teknis Gratis untuk meninjau penggunaan AI, alur akses, dan risiko data sebelum bisnis Anda menambah automation baru.
Sumber referensi berita: TechCrunch