AI Factory Jadi Target Baru Hacker, Ini Ancaman yang Mengintai

Perkembangan kecerdasan buatan (Artificial Intelligence/AI) mendorong perusahaan mengubah cara mereka membangun dan menjalankan teknologi. Jika sebelumnya perusahaan cukup mengakses layanan AI melalui API cloud, kini sebagian organisasi mulai membangun infrastruktur AI sendiri. Langkah ini dilakukan untuk melindungi kekayaan intelektual, mengendalikan biaya komputasi, serta memenuhi kebutuhan penyimpanan dan pemrosesan data di wilayah tertentu.

Infrastruktur tersebut dikenal sebagai AI Factory atau pabrik AI. Istilah ini menggambarkan lingkungan komputasi yang secara khusus dirancang untuk memproduksi AI dalam skala besar. Di dalamnya terdapat klaster GPU berperforma tinggi, jaringan dengan bandwidth besar, sistem penyimpanan, pipeline data, hingga perangkat lunak orkestrasi yang mengatur bagaimana sumber daya komputasi digunakan.

Namun, membangun AI Factory bukan hanya persoalan menyediakan GPU dalam jumlah besar. Infrastruktur ini juga membawa tantangan keamanan baru. Ketika perusahaan memiliki sendiri perangkat keras, model AI, data pelatihan, serta sistem yang mengatur seluruh prosesnya, tanggung jawab keamanan juga ikut berpindah ke perusahaan.

Ancaman yang dihadapi bahkan tidak lagi sebatas pencurian data atau pembobolan aplikasi. Penyerang dapat menargetkan GPU, firmware, model weights, pipeline data, container, hingga identitas pengguna yang memiliki akses ke lingkungan tersebut.

Apa Itu AI Factory?

Secara sederhana, AI Factory merupakan lingkungan komputasi khusus yang dirancang untuk membangun, melatih, dan menjalankan model AI dalam skala besar.

Konsepnya berbeda dengan pusat data konvensional. Data center pada umumnya menjalankan beragam jenis beban kerja, mulai dari aplikasi bisnis, database, sistem penyimpanan, hingga layanan digital. Sementara itu, AI Factory dioptimalkan secara menyeluruh untuk kebutuhan AI.

Fokus tersebut membuat seluruh komponennya dirancang agar dapat bekerja secara terintegrasi. Komputasi, jaringan, penyimpanan, data, perangkat lunak, serta sistem orkestrasi harus mampu menangani beban kerja AI yang sangat berat.

Salah satu komponen paling penting adalah Graphics Processing Unit (GPU). GPU memiliki kemampuan komputasi paralel yang sangat dibutuhkan untuk melatih model AI berukuran besar.

Dalam AI Factory, GPU tidak bekerja sendiri. Puluhan, ratusan, bahkan ribuan GPU dapat dihubungkan menjadi satu lingkungan komputasi yang sangat besar. Koneksi berkecepatan tinggi seperti NVLink digunakan untuk komunikasi di dalam server, sedangkan InfiniBand dapat digunakan untuk komunikasi antarsServer.

Dengan koneksi tersebut, banyak prosesor dapat bekerja seolah-olah sebagai satu mesin komputasi raksasa. Kemampuan inilah yang membuat AI Factory mampu menangani pelatihan model AI yang membutuhkan sumber daya komputasi sangat besar.

Di atas perangkat keras tersebut terdapat lapisan orkestrasi. Salah satu teknologi yang dapat digunakan adalah Kubernetes. Sistem orkestrasi bertugas mengatur sumber daya, menentukan lokasi beban kerja, menyediakan lingkungan yang diperlukan, serta membantu mengelola pipeline data yang digunakan dalam proses AI.

Karena karakteristik tersebut, AI Factory memiliki kemiripan dengan lingkungan High-Performance Computing (HPC). Keamanan AI Factory pun tidak bisa sepenuhnya disamakan dengan keamanan TI perusahaan biasa.

Mengapa Keamanan AI Factory Berbeda?

Perbedaan paling mendasar terletak pada kepemilikan dan tanggung jawab.

Ketika perusahaan menggunakan layanan AI yang dikelola penyedia cloud, terdapat pembagian tanggung jawab keamanan. Penyedia bertanggung jawab terhadap infrastruktur yang mendasarinya, sedangkan pelanggan memiliki tanggung jawab pada bagian tertentu sesuai layanan yang digunakan.

Kondisinya berbeda ketika perusahaan membangun AI Factory sendiri. Perusahaan harus bertanggung jawab terhadap GPU, jaringan, sistem orkestrasi, model AI, data pelatihan, container, pipeline, hingga identitas yang memiliki akses. 

Dengan kata lain, semakin besar kendali perusahaan terhadap infrastruktur AI, semakin besar pula tanggung jawab keamanan yang harus ditangani. Persoalannya, aset penting dalam AI Factory juga berbeda dari pusat data tradisional. Database dan aplikasi memang tetap penting, tetapi ada aset lain yang nilainya sangat tinggi.

GPU menjadi salah satunya. Perangkat tersebut mahal, memiliki kemampuan komputasi besar, dan jumlahnya relatif terbatas. Jika sumber daya GPU dibajak, perusahaan bukan hanya mengalami masalah keamanan, tetapi juga kehilangan kapasitas komputasi yang seharusnya digunakan untuk pekerjaan AI.

Aset penting lainnya adalah model weights. Model weights.merupakan hasil dari investasi waktu, data, tenaga manusia, dan sumber daya komputasi yang besar. Karena itu, pencurian model weights dapat menjadi kerugian besar bagi perusahaan. Data pelatihan juga memiliki nilai tinggi. Data tersebut dapat menentukan bagaimana sebuah model belajar dan menghasilkan respons. Jika data dimanipulasi, perilaku model juga dapat berubah.

Inilah yang membuat keamanan AI Factory memiliki permukaan serangan yang lebih kompleks.

Empat Lapisan Permukaan Serangan AI Factory

Untuk memahami risiko keamanan AI Factory, lingkungan tersebut dapat dilihat melalui empat lapisan utama, yaitu lapisan komputasi, data, model, dan identitas. Keempatnya saling berhubungan sehingga serangan pada satu lapisan berpotensi berdampak pada lapisan lainnya.

1. Lapisan Komputasi
   Lapisan pertama adalah infrastruktur komputasi. Di dalamnya terdapat GPU, Data Processing Unit (DPU), firmware, kartu jaringan, serta berbagai komponen yang memungkinkan proses AI berjalan. GPU menjadi target menarik karena memiliki kemampuan komputasi tinggi. Penyerang dapat mencoba memanfaatkan GPU untuk aktivitas ilegal, termasuk cryptojacking, atau menjadikannya sebagai pintu masuk menuju lingkungan AI.

   DPU juga menjadi komponen penting. Perangkat ini dapat menangani sejumlah fungsi jaringan dan keamanan di luar CPU utama sehingga semakin relevan dalam arsitektur AI modern.

   Selain perangkat keras, firmware juga perlu diperhatikan. Firmware berada pada lapisan yang lebih rendah dibandingkan sistem operasi. Akibatnya, perangkat keamanan tradisional yang berfokus pada sistem operasi dapat memiliki visibilitas terbatas terhadap aktivitas pada lapisan firmware. Jika perangkat keras atau firmware berhasil dikompromikan, proses pemulihannya juga dapat menjadi jauh lebih sulit.

2. Lapisan Data
   AI membutuhkan data dalam jumlah besar. Data tersebut dapat berupa dataset pelatihan, data fine-tuning, maupun sumber data yang digunakan untuk retrieval. Data menjadi komponen penting karena menentukan bagaimana model belajar dan menghasilkan perilaku.

   Karena itu, penyerang tidak selalu harus mencuri data. Mereka juga dapat mencoba mengubahnya. Manipulasi terhadap data pelatihan dikenal sebagai data poisoning. Dalam skenario ini, penyerang sengaja memasukkan atau mengubah data agar model mempelajari pola tertentu yang diinginkan.

   Dampaknya bisa berupa munculnya bias, titik buta, atau pemicu tertentu yang menyebabkan model berperilaku berbeda ketika menghadapi kondisi tertentu. Yang membuat data poisoning berbahaya adalah manipulasi dapat terjadi sebelum model selesai dilatih. Ketika model sudah digunakan, penyebab perubahan perilaku tidak selalu mudah diketahui hanya dengan memeriksa model.

   Karena itu, keamanan data tidak cukup hanya dengan mengontrol siapa yang dapat membaca atau menulis data. Perusahaan juga perlu mengetahui asal-usul data dan memastikan data yang masuk ke pipeline berasal dari sumber yang dapat dipercaya.

3. Lapisan Model
   Model AI merupakan aset penting dalam AI Factory, terutama ketika model tersebut dikembangkan secara internal. Model weights dapat mencerminkan hasil investasi besar perusahaan dalam bentuk data, komputasi, penelitian, dan pengembangan.

   Jika model weights dicuri, pihak lain berpotensi memperoleh hasil kerja yang seharusnya menjadi kekayaan intelektual perusahaan.

   Pencurian dapat terjadi secara langsung apabila kontrol akses tidak cukup kuat. Namun, model juga dapat menjadi target serangan yang berupaya merekonstruksi perilakunya.

   Dua istilah yang muncul dalam konteks ini adalah model extraction dan model inversion. Model extraction berupaya memperoleh representasi atau perilaku model melalui interaksi terhadap model yang telah diterapkan. Sementara itu, model inversion dapat digunakan untuk mencoba memperoleh informasi mengenai data atau karakteristik yang digunakan model.

   Artinya, melindungi model tidak cukup dengan mengamankan server tempat model disimpan. Model yang sudah digunakan juga perlu mendapatkan perlindungan.

4. Lapisan Identitas
   Lapisan keempat adalah identitas. AI Factory dapat digunakan oleh banyak pihak, mulai dari peneliti, engineer, administrator, pipeline otomatis, hingga akun layanan. Tidak semua identitas tersebut merupakan manusia. Banyak proses otomatis membutuhkan akun non-manusia untuk menjalankan pekerjaan tertentu.

   Kondisi ini membuat pengelolaan identitas menjadi semakin kompleks. Semakin banyak identitas yang memiliki akses, semakin besar pula kemungkinan terjadi penyalahgunaan hak akses atau kredensial yang dikompromikan.

   Karena itu, prinsip least privilege menjadi penting. Setiap pengguna atau sistem seharusnya hanya mendapatkan hak akses yang diperlukan untuk menjalankan pekerjaannya.

Dilema Kepercayaan Tiga Arah

AI Factory juga memiliki persoalan unik ketika infrastrukturnya digunakan oleh beberapa pihak. Situasi ini dapat menciptakan dilema kepercayaan tiga arah yang melibatkan pemilik infrastruktur, pemilik model, dan pemilik data.

Pemilik infrastruktur bertanggung jawab menjalankan perangkat keras. Pemilik model membawa model weights yang bersifat eksklusif. Sementara pemilik data menyediakan data pelatihan atau data inferensi yang mungkin bersifat sensitif.

Ketiganya perlu menggunakan lingkungan yang sama, tetapi masing-masing memiliki kepentingan untuk menjaga asetnya. Pemilik model tidak ingin model weights bocor. Pemilik data tidak ingin data sensitif terbuka. Pemilik infrastruktur juga harus memastikan perangkat keras dan lingkungan komputasi tetap aman. Masalahnya, tidak satu pun pihak selalu memiliki visibilitas penuh terhadap keseluruhan sistem.

Di sinilah kebutuhan terhadap mekanisme verifikasi dan isolasi menjadi semakin penting. Kepercayaan saja tidak cukup ketika beberapa aset bernilai tinggi berada pada infrastruktur yang sama.

Ancaman dengan Dampak Paling Besar

Tidak semua ancaman terhadap AI Factory memiliki dampak yang sama. Perusahaan perlu menentukan prioritas berdasarkan blast radius, yaitu seberapa luas dampak yang dapat ditimbulkan apabila serangan berhasil. Ancaman dengan blast radius besar perlu mendapatkan perhatian lebih tinggi karena kompromi pada satu komponen dapat berdampak pada banyak beban kerja sekaligus.

Ancaman AI Factory dapat dikelompokkan menjadi tiga tingkat.

Tier 1: Kompromi Infrastruktur dan Model
Tingkat pertama merupakan ancaman dengan dampak paling besar karena menyerang fondasi AI Factory. Salah satunya adalah GPU-targeted malware dan cryptojacking.

Dalam serangan ini, malware dapat memanfaatkan sumber daya GPU untuk aktivitas yang tidak berkaitan dengan pekerjaan perusahaan. GPU yang seharusnya digunakan untuk melatih atau menjalankan model AI justru digunakan oleh pihak lain.

Masalahnya, aktivitas GPU tidak selalu terlihat oleh perangkat keamanan endpoint tradisional. Akibatnya, penyalahgunaan dapat berlangsung cukup lama. Selain cryptojacking, penyerang dapat memanfaatkan GPU yang kurang dipantau sebagai pijakan untuk masuk lebih jauh ke lingkungan AI Factory.

• Side-Channel Attack
  Ancaman berikutnya adalah side-channel attack. Serangan ini tidak selalu membutuhkan pembobolan langsung terhadap sistem target. Penyerang dapat mencoba mengamati karakteristik fisik atau perilaku sistem, seperti waktu pemrosesan, konsumsi daya, maupun pola akses memori.

  Dalam lingkungan multi-tenant, aktivitas satu beban kerja dapat memberikan informasi mengenai beban kerja lain yang berjalan pada perangkat keras yang sama.

  Jika isolasi tidak cukup kuat, informasi tersebut dapat dimanfaatkan untuk memperoleh potongan data atau informasi mengenai model milik tenant lain.

• Kerentanan Firmware dan Hardware
  Firmware menjadi target yang sangat penting karena bekerja pada lapisan yang lebih rendah daripada sistem operasi. Perangkat keamanan yang hanya berfokus pada host dapat mengalami kesulitan melihat apa yang terjadi pada firmware.

  Kompromi pada tingkat firmware juga berpotensi sulit dipulihkan. Menginstal ulang sistem operasi belum tentu menghilangkan masalah jika sumber kompromi berada pada lapisan yang lebih rendah.

  Karena itu, keamanan perangkat keras dan firmware perlu menjadi bagian dari strategi keamanan AI Factory.

• Pencurian Model
  Model weights merupakan salah satu aset paling bernilai dalam AI Factory. Perusahaan dapat menghabiskan waktu dan sumber daya besar untuk menghasilkan model yang sesuai dengan kebutuhan bisnis. Jika model tersebut berhasil dicuri, pihak lain dapat memperoleh hasil kerja tersebut tanpa melakukan investasi yang sama.

  Pencurian dapat dilakukan melalui akses langsung atau melalui metode yang berupaya merekonstruksi model dari interaksi dengan sistem yang telah diterapkan.

Tier 2: Rantai Pasok dan Integritas Data
Ancaman tingkat kedua berasal dari komponen dan dependensi yang digunakan untuk membangun AI. Model modern jarang dibuat sepenuhnya dari nol. Pengembang dapat menggunakan framework open source, model dasar yang sudah dilatih, dataset publik, container image, dan berbagai komponen perangkat lunak.

Setiap komponen tersebut dapat menjadi titik masuk serangan. Jika sebuah komponen yang dipercaya ternyata telah disusupi, ancaman dapat ikut masuk ke lingkungan AI Factory.

• Serangan Rantai Pasok AI
  Serangan rantai pasok memanfaatkan hubungan kepercayaan antara organisasi dan pemasok atau proyek yang digunakan.Misalnya, sebuah framework atau container image dianggap aman karena berasal dari sumber yang dipercaya. Namun, jika komponen tersebut telah dimodifikasi dan mengandung backdoor, masalah tersebut dapat terbawa ke lingkungan produksi.

  Inilah alasan mengapa perusahaan perlu mengetahui komponen apa saja yang digunakan dalam proses pembangunan dan deployment model.

• Data Poisoning
  Data poisoning juga termasuk ancaman rantai pasok karena data merupakan salah satu bahan utama dalam pembangunan model AI. Penyerang dapat mencoba memasukkan data yang telah dimanipulasi ke dalam dataset pelatihan atau fine-tuning.

  Tujuannya bukan sekadar merusak data, tetapi mengubah perilaku model. Model yang sudah selesai dilatih mungkin tetap terlihat normal dalam banyak kondisi. Namun, ketika menghadapi pola tertentu, model dapat menghasilkan perilaku yang tidak diharapkan.Karena perubahan berasal dari data, mendeteksi masalah tersebut hanya dengan memeriksa model menjadi lebih sulit.

• Integritas Model dan Container
  Model dan container image juga perlu dipastikan tidak berubah tanpa izin. Jika sebuah container image dimodifikasi ketika dikirim atau disimpan, sistem produksi dapat menjalankan versi yang telah disusupi tanpa diketahui operator.

  Verifikasi integritas dari tahap pembangunan hingga deployment menjadi penting untuk memastikan artefak yang dijalankan benar-benar sama dengan yang telah diperiksa.

Tier 3: Shadow AI dan Ancaman Orang Dalam
Tingkat ketiga berhubungan dengan bagaimana manusia dan proses menggunakan AI Factory. Salah satu masalahnya adalah Shadow AI. Shadow AI terjadi ketika tim menggunakan model, pipeline, atau sumber daya GPU tanpa melalui tata kelola resmi organisasi.

Pada kondisi seperti ini, tim keamanan mungkin tidak mengetahui bahwa aset tersebut sedang digunakan. Akibatnya, aset tidak tercatat dalam inventaris, tidak dipantau, dan mungkin tidak mendapatkan pembaruan keamanan. Satu aset yang tidak dikelola dapat menjadi titik lemah yang dimanfaatkan penyerang untuk memasuki lingkungan yang lebih besar. 

Selain Shadow AI, perusahaan juga perlu memperhatikan ancaman orang dalam. Peneliti, engineer, dan administrator dapat memiliki akses istimewa terhadap model serta data. Penyalahgunaan dapat terjadi karena niat jahat, akun yang telah dikompromikan, maupun kesalahan manusia. Dampaknya dapat berupa pencurian model weights, kebocoran data, hingga kesalahan konfigurasi keamanan.

Tantangan Multi-Tenancy

Penggunaan infrastruktur GPU bersama dapat meningkatkan efisiensi karena perangkat keras mahal dapat digunakan oleh beberapa tim atau pelanggan. Namun, efisiensi tersebut membawa konsekuensi keamanan.

Beberapa workload yang berbeda dapat berjalan pada infrastruktur fisik yang sama. Ketika memori dan koneksi antarkomponen digunakan bersama, pemisahan antar-tenant menjadi semakin penting. Isolasi yang lemah dapat menyebabkan data atau bagian model berpindah melewati batas yang seharusnya.

Selain kebocoran informasi, workload yang terlalu berat juga dapat memengaruhi pengguna lain. Workload berbahaya atau tidak terkendali dapat menggunakan sumber daya secara berlebihan dan mengurangi kinerja lingkungan lainnya.

Karena itu, prinsip least privilege tidak cukup diterapkan pada aplikasi atau akun pengguna saja. Prinsip tersebut perlu diterapkan pada tingkat infrastruktur.

Arsitektur Keamanan Berbasis Zona
Salah satu pendekatan yang dapat digunakan untuk mengelola kompleksitas lingkungan AI Factory adalah arsitektur keamanan berbasis zona. Panduan NIST untuk keamanan High-Performance Computing membagi lingkungan menjadi beberapa zona fungsional, seperti zona akses, manajemen, komputasi, dan penyimpanan data.

Setiap zona memiliki kebutuhan keamanan yang berbeda. Pendekatan ini lebih terstruktur dibandingkan menempatkan seluruh komponen dalam satu jaringan datar. Jika satu bagian mengalami kompromi, pemisahan antarzona dapat membantu membatasi pergerakan penyerang.

Dalam konteks AI Factory, pendekatan tersebut dapat membantu perusahaan menentukan siapa yang boleh mengakses lingkungan tertentu, jenis komunikasi apa yang diperbolehkan, serta bagaimana data dan beban kerja dipisahkan.

NIST Special Publication 800-223 disebut sebagai referensi untuk arsitektur berbasis zona tersebut, sedangkan NIST Special Publication 800-234 menyediakan lapisan kontrol keamanan untuk lingkungan HPC.

Mengamankan Supply Chain AI

Supply Chain AI membutuhkan perhatian khusus karena AI Factory bergantung pada banyak komponen dari berbagai sumber. Setidaknya terdapat tiga kelompok utama yang perlu diperhatikan, yaitu dataset, model dan framework open source, serta perangkat lunak dan container image. Perusahaan perlu mengetahui apa saja yang digunakan, dari mana asalnya, serta bagaimana komponen tersebut masuk ke lingkungan produksi.

Salah satu langkah penting adalah melindungi model weights. Model weights harus diperlakukan sebagai kekayaan intelektual bernilai tinggi. Data tersebut perlu dienkripsi ketika disimpan maupun ketika dikirim. Akses juga harus dibatasi dan aktivitas penyalinan atau pemindahan yang tidak sah perlu dipantau.

Perusahaan juga perlu memverifikasi integritas container image. Setiap image perlu dipindai dan diverifikasi secara kriptografis sebelum dijalankan. Verifikasi juga perlu dilakukan selama pipeline berlangsung untuk memastikan artefak yang digunakan tidak berubah.

Pendekatan lain adalah menggunakan AI Bill of Materials (AI-BOM). AI-BOM dapat digunakan untuk menyimpan inventaris mengenai model, dataset, framework, dan komponen yang digunakan dalam lingkungan AI. Dengan inventaris tersebut, organisasi lebih mudah mengetahui komponen mana yang terdampak ketika ditemukan kerentanan atau backdoor pada dependensi tertentu.

Asal-usul data juga harus diperhatikan. Data pelatihan dan fine-tuning perlu dilacak sumbernya dan divalidasi sebelum masuk ke pipeline. Semakin jelas provenance data, semakin mudah organisasi mendeteksi sumber masalah ketika terjadi perubahan perilaku model.

Mengapa Keamanan Runtime Perlu Berubah?

Perangkat keamanan tradisional umumnya dirancang untuk berjalan pada CPU host. Pendekatan ini menghadapi masalah ketika diterapkan pada AI Factory. Lingkungan AI sangat sensitif terhadap performa, sehingga tambahan beban dari agen keamanan dapat menjadi persoalan.

Selain itu, agen berbasis host tidak selalu memiliki visibilitas yang cukup terhadap aktivitas GPU dan firmware. Jika host telah dikompromikan, penyerang juga berpotensi menonaktifkan atau memanipulasi agen keamanan tersebut. Karena itu, pendekatan keamanan AI Factory mulai bergerak lebih dekat ke lapisan infrastruktur.

Salah satu komponen yang mendapat perhatian adalah Data Processing Unit (DPU). DPU merupakan kartu jaringan pintar yang berada di antara host dan jaringan. Dengan menempatkan telemetri keamanan pada tingkat DPU, organisasi dapat memantau node komputasi tanpa menggunakan sumber daya GPU.

Pendekatan tersebut juga mengurangi ketergantungan terhadap sistem operasi host. Dalam materi sumber, pendekatan deteksi runtime berbasis DPU pada perangkat keras NVIDIA BlueField disebut sebagai salah satu contoh arah perkembangan keamanan AI yang lebih dekat dengan infrastruktur.

Menghubungkan Deteksi dengan Respons

Pemantauan saja tidak cukup. Ketika sistem menemukan aktivitas mencurigakan, informasi tersebut harus dapat diteruskan ke sistem keamanan perusahaan agar dapat dianalisis dan ditindaklanjuti.

Telemetri dari AI Factory dapat diintegrasikan dengan beberapa teknologi keamanan yang sudah digunakan perusahaan, termasuk Security Information and Event Management (SIEM), Security Orchestration, Automation, and Response (SOAR), serta Extended Detection and Response (XDR). Integrasi tersebut memungkinkan informasi dari infrastruktur AI menjadi bagian dari operasi keamanan yang lebih luas. Selain sistem pemantauan, perusahaan perlu menyiapkan playbook untuk menghadapi insiden khusus AI.

Misalnya, ketika sebuah node terindikasi telah dikompromikan, tim keamanan perlu mengetahui langkah yang harus dilakukan untuk mengisolasinya. Begitu pula ketika terdapat tenant yang mencurigakan, proses pencabutan akses harus dapat dilakukan dengan cepat.

Dengan playbook yang sudah disiapkan sebelumnya, respons tidak perlu dirancang dari awal ketika insiden terjadi.

Kontrol Keamanan untuk AI Factory

Mengamankan AI Factory membutuhkan pendekatan defense-in-depth, yaitu penggunaan beberapa lapisan perlindungan sekaligus. Tidak ada satu teknologi yang mampu menangani seluruh risiko AI Factory. Perlindungan harus mencakup infrastruktur, identitas, model, data, container, jaringan, serta proses operasional.

Salah satu kontrol yang penting adalah Zero Trust Architecture. Zero Trust tidak menganggap komponen, tenant, atau identitas tertentu sebagai pihak yang otomatis dipercaya. Setiap permintaan akses harus melalui autentikasi dan otorisasi. Pendekatan ini membantu mengurangi risiko pergerakan lateral, peningkatan hak akses, serta masalah isolasi dalam lingkungan multi-tenancy.

Kontrol berikutnya adalah Trusted Execution Environment (TEE) dan isolasi berbasis perangkat keras. Teknologi tersebut memungkinkan model dan data diproses dalam lingkungan yang terlindungi. Tujuannya adalah menjaga aset tetap aman meskipun host mengalami kompromi atau terdapat tenant lain yang berbahaya.

Cryptographic attestation juga berperan penting. Mekanisme ini digunakan untuk memverifikasi bahwa perangkat keras, firmware, dan perangkat lunak berada dalam kondisi yang diketahui aman sebelum beban kerja dijalankan. 

Di sisi identitas, perusahaan perlu menerapkan Identity and Access Management (IAM) dengan prinsip least privilege. Setiap identitas, baik manusia maupun mesin, hanya boleh memperoleh akses minimum yang diperlukan. Kredensial juga harus dikelola sepanjang siklus hidupnya.

Container juga harus diperkuat. Beban kerja sebaiknya dijalankan menggunakan konfigurasi keamanan yang ketat, hak akses minimum, dan permukaan serangan yang lebih kecil. Dengan pendekatan tersebut, kompromi terhadap satu workload dapat dibatasi sehingga tidak langsung menyebar ke lingkungan lainnya.

Terakhir, perusahaan perlu melakukan continuous vulnerability scanning. Pemindaian tidak seharusnya dilakukan hanya satu kali sebelum deployment. Image, dependensi, dan komponen lainnya perlu diperiksa secara berkelanjutan karena kerentanan baru dapat muncul kapan saja.

Audit logging juga perlu diterapkan secara komprehensif. Aktivitas dalam AI Factory harus dicatat menggunakan sistem yang tahan terhadap manipulasi agar dapat digunakan untuk mendeteksi ancaman, menyelidiki insiden, dan memenuhi kebutuhan kepatuhan.

Pada tahap berikutnya, keamanan AI Factory dapat diarahkan lebih jauh pada bagaimana perusahaan membangun strategi perlindungan menyeluruh, termasuk penerapan kontrol keamanan pada infrastruktur, model, data, identitas, rantai pasok, serta sistem AI yang semakin otonom.

Kesimpulan

AI Factory menghadirkan kemampuan komputasi besar untuk membangun dan menjalankan AI dalam skala luas, tetapi sekaligus menciptakan permukaan serangan baru. GPU, data, model weights, firmware, pipeline, hingga identitas pengguna kini menjadi aset yang harus dilindungi.

Karena itu, keamanan AI Factory membutuhkan pendekatan berlapis yang mencakup Zero Trust, isolasi perangkat keras, pengelolaan akses, perlindungan rantai pasok, pemantauan runtime, serta deteksi dan respons terhadap ancaman. Semakin besar ketergantungan perusahaan pada AI Factory, semakin penting pula keamanan dirancang sejak awal sebagai bagian dari infrastrukturnya.