OpenAI resmi menetapkan standar keamanan baru yang ketat bagi ekosistem kecerdasan buatan (AI). Mulai 1 September mendatang, seluruh anggota individu program Trusted Access for Cyber (TAC) diwajibkan mengaktifkan fitur Advanced Account Security menggunakan passkey berbasis perangkat keras agar tetap bisa mengakses model cyber mutakhir. Kebijakan ini sekaligus menandai pergeseran besar dalam cara perusahaan teknologi raksasa melindungi aset AI mereka dari penyalahgunaan.
Tidak hanya itu, OpenAI juga memperketat batasan akses bagi entitas dan yurisdiksi berisiko tinggi. Langkah ini diambil menyusul pesatnya perkembangan teknologi AI yang dinilai semakin mengubah lanskap keamanan siber global. Peneliti keamanan serta pembela siber membutuhkan perlindungan akun tingkat lanjut yang mampu menahan serangan phishing modern dan rekayasa sosial.
Ancaman terhadap akun pengguna AI frontier kini tidak lagi sebatas pencurian data biasa. Kemampuan model AI yang semakin canggih membuat akses terhadap teknologi tersebut harus berada di tangan pengguna tepercaya. Jika akun peneliti atau pembela siber berhasil dibobol, penyerang dapat memanfaatkan model AI untuk mencari celah kerentanan perangkat lunak secara masif.
Menurut Yubico, perusahaan penyedia solusi autentikasi hardware yang berkolaborasi dengan OpenAI, masa depan keamanan AI sangat bergantung pada jaminan identitas dan autentikator, bukan sekadar keselamatan model itu sendiri. Organisasi tidak lagi bisa hanya mengandalkan kontrol berbasis perangkat lunak atau sistem autentikasi multi-faktor (MFA) warisan. Metode lama tersebut terbukti mudah dikelabui atau dicegat oleh pelaku kejahatan siber.
Keamanan sesungguhnya menuntut akar kepercayaan (root of trust) yang tahan terhadap phishing dan berbasis perangkat keras. Kredensial yang tidak dapat disalin atau disinkronisasi menjadi kunci utama. Dengan mewajibkan passkey fisik, OpenAI secara drastis menaikkan hambatan bagi pelaku ancaman untuk mengeksploitasi akun dalam skala besar.
Dampak langsung dari kebijakan ini adalah terhambatnya ekosistem kriminal yang selama ini mengandalkan pembuatan, validasi, dan penjualan kembali akun yang telah dibobol untuk disalahgunakan. Biaya serta tingkat kesulitan bagi peretas untuk mengakses model AI frontier pun melonjak tajam. Ini menjadi pelajaran berharga bagi industri teknologi secara luas mengenai pentingnya autentikasi fisik.
Di Indonesia, adopsi autentikasi berbasis perangkat keras masih tergolong sangat terbatas. Mayoritas perusahaan lokal dan instansi pemerintah masih mengandalkan MFA berbasis aplikasi atau SMS OTP yang rentan terhadap serangan SIM-swap dan phishing. Kebijakan OpenAI ini dapat menjadi katalis bagi penyedia layanan AI di Tanah Air untuk mulai mengevaluasi standar keamanan identitas yang lebih ketat.
Ketersediaan produk seperti YubiKey sebenarnya sudah merambah pasar Indonesia melalui sejumlah platform e-commerce resmi. Kendati demikian, harga dan kurangnya kesadaran akan ancaman phishing tingkat lanjut menjadi penghalang utama. Badan Siber dan Sandi Negara (BSSN) mungkin perlu mempertimbangkan arahan serupa bagi sektor kritikal yang mulai mengintegrasikan AI generatif ke dalam infrastruktur strategis nasional.
Yubico menegaskan bahwa ketika taruhannya sebesar ini, organisasi tidak boleh lagi bertumpu pada kontrol perangkat lunak. Kemitraan dengan OpenAI memungkinkan anggota TAC meniru postur keamanan identik yang digunakan secara internal oleh OpenAI untuk melindungi infrastruktur dan karyawannya. Transisi ke perlindungan perangkat keras berjalan mulus melalui program Advanced Account Security yang secara sengaja mematikan metode cadangan yang lebih lemah.
Untuk memfasilitasi migrasi tersebut, OpenAI dan Yubico menyediakan paket khusus dua unit YubiKey dengan harga preferensial bagi pemegang akun yang sudah ada. Produk yang ditawarkan mencakup YubiKey C NFC yang cukup ditempelkan (tap) ke ponsel atau tablet untuk autentikasi instan, serta YubiKey C Nano yang dirancang untuk ditancapkan permanen ke port USB-C laptop. Pengguna akan merasakan standar emas keamanan tahan phishing melalui pengalaman sepenuhnya tanpa kata sandi (passwordless).
Ke depan, tren penghapusan kata sandi (passwordless) dan penguatan identitas berbasis perangkat keras diprediksi akan merambah ke layanan AI komersial lainnya. Seiring meningkatnya regulasi global terkait keamanan AI, perusahaan seperti Google, Anthropic, atau Microsoft kemungkinan besar akan mengikuti jejak OpenAI dengan menerapkan mandat serupa bagi pengguna yang mengakses fitur berisiko tinggi.
Batas antara keselamatan model AI dan jaminan identitas pengguna kini semakin kabur. Keamanan siber tidak lagi bersifat opsional bagi siapa pun yang ingin mengakses teknologi mutakhir. Langkah agresif OpenAI ini membuktikan bahwa melindungi akses fisik terhadap kredensial adalah fondasi mutlak sebelum kita bisa memanfaatkan potensi AI secara aman dan bertanggung jawab.