Pada malam menjelang pengiriman aplikasi ke toko resmi Apple, seorang pengembang perangkat lunak menyadari bahwa sistem backend yang dibangunnya memiliki celah keamanan fatal. Parameter sederhana pada URL memungkinkan siapa saja mengambil atau mengubah data pengguna tanpa perlu login.
Celah tersebut nyaris terbawa hingga ke tahap rilis. Beruntung, proses peninjauan otomatis yang melibatkan kecerdasan buatan sebagai “inspektur” berhasil mengendusnya sepuluh jam sebelum tombol submit ditekan. Aplikasi bernama Baanbok itu akhirnya diajukan ke App Store pada 28 Juni pukul 23.04 waktu setempat, setelah dua perbaikan kritis diunggah tepat pukul 13.18 untuk penegakan otentikasi dan 13.41 untuk pemeriksaan kepemilikan data.
Akar masalah berawal dari hari-hari pertama pengembangan. Saat itu belum ada antarmuka login, dan menguji API server terasa merepotkan karena harus menyertakan token otentikasi. Untuk mempermudah, sang pengembang yang memiliki sembilan tahun pengalaman di industri menambahkan jalan pintas: jika ada parameter ?userId=1 di query string, server otomatis menganggap permintaan berasal dari pengguna tersebut. Tanpa token.
Kode kemudahan itu lazim dipakai saat proses pelatihan atau prototipe. Namun, karena ia menggunakan pendekatan “vibe-coding” bersama pasangan AI yang terus menambal fitur, kebiasaan menunda penghapusan kode berbahaya tersebut mengendap. Pada hari keenam, ia sudah asyik dengan daftar fitur dan lupa bahwa “pintu belakang” masih terbuka lebar.
Ketika akhir pekan sebelum peluncuran tiba, ia menghentikan penambahan fitur dan memberi tugas berbeda kepada AI yang selama ini membantu menulis kode. “Pengguna sungguhan akan menyentuh sistem ini. Tinjau seluruh server dari sisi keamanan, otentikasi, izin, dan kebocoran data. Berpikirlah seperti penyerang,” begitu instruksinya. Hasilnya mencengangkan: server sama sekali tidak memiliki otentikasi nyata, hanya hiasan yang menyerupai keamanan.
Di Indonesia, fenomena serupa makin sering muncul seiring meluasnya praktik coding dengan bantuan AI di kalangan pengembang independen maupun startup rintisan. Sejumlah aplikasi kesehatan lokal yang menawarkan pelacakan makanan, olahraga, dan berat badan berpotensi menghadapi risiko identik jika proses peninjauan keamanan diabaikan. Undang-Undang Pelindungan Data Pribadi yang berlaku tahun ini memperketat kewajiban pengendali data, sehingga kebocoran akibat kelalaian teknis dapat berujung sanksi administratif hingga pidana.
Perbedaan mencolok terletak pada budaya pengembangan. Di perusahaan teknologi mapan di Jakarta atau Bandung, proses code review biasanya melibatkan tim yang saling mengawasi, sehingga kebiasaan sembilan tahun seorang engineer akan langsung memeringatkan adanya fallback berbahaya. Namun, untuk proyek pribadi, rasanya “hapus nanti saja” kerap dianggap wajar. Padahal, kecepatan yang ditawarkan AI tidak mengenal kompromi terhadap keamanan.
Dampaknya tidak hanya menyangkut privasi pengguna, tetapi juga kepercayaan pasar. Pengguna Indonesia yang semakin sadar akan hak digital akan enggan memasang aplikasi yang terbukti lalai mengamankan data. Kejadian ini menjadi pengingat bahwa alat bantu AI tidak mengenal konteks bisnis atau regulasi kecuali dipaksa untuk itu.
“Saya tidak mempercayainya. Saya memverifikasinya. Dan saya membuat AI melakukan verifikasi juga,” tulis pengembang tersebut menanggapi kekhawatiran umum tentang keandalan kode buatan mesin. Ia menekankan bahwa peran harus dibedakan: AI yang memasang batu bata dan AI yang melakukan inspeksi melihat kode sama dengan mata berbeda.
Kesimpulan yang ia ambil setelah begadang semalaman cukup tajam: “Kecepatan dari AI, akuntabilitas di tangan saya.” Tiga tulisan sebelumnya mungkin sekadar slogan, namun insiden ini mengubahnya menjadi pelajaran berdarah secara metafora karena kurang tidur.
Ke depan, metode meminta AI untuk “menyerang” kode yang baru dibuatnya sendiri berpotensi menjadi standar baru dalam siklus pengembangan perangkat lunak solo. Komunitas pengembang di Tanah Air dapat mengadopsi checklist pra-peluncuran yang mewajibkan audit keamanan, baik manual maupun terbantu mesin, sebelum aplikasi menyentuh perangkat pengguna.
Bagi Baanbok, episode perbaikan kilat itu ditutup tanpa korban karena saat itu aplikasi hanya memiliki satu pengguna: sang pembuatnya sendiri. Namun tulisan berikutnya akan bergeser ke pengalaman mencoba aplikasi sendiri, termasuk jebakan JPA yang bahkan bisa menjerat veteran sembilan tahun. Cerita ini bukan sekadar log pembangunan, melainkan cermin bagi setiap developer yang mengandalkan kecerdasan buatan.