Apa Itu Serangan AI Adversarial? Ini Cara Kerja dan Risikonya

Kecerdasan buatan atau Artificial Intelligence (AI) kini telah menjadi bagian penting dalam kehidupan sehari-hari. Teknologi ini digunakan untuk mengenali wajah pada smartphone, menyaring email spam, mendeteksi penipuan transaksi perbankan, membantu diagnosis penyakit, hingga mengendalikan kendaraan tanpa pengemudi. Di balik berbagai kemudahan tersebut, AI ternyata memiliki kelemahan yang dapat dimanfaatkan oleh pelaku kejahatan siber. Salah satu ancaman yang saat ini menjadi perhatian para peneliti keamanan adalah serangan AI adversarial (Adversarial AI Attack).

Berbeda dengan serangan siber konvensional yang mengeksploitasi celah perangkat lunak atau kesalahan pengguna, serangan AI adversarial secara khusus menargetkan model machine learning agar mengambil keputusan yang keliru. Menariknya, serangan ini sering kali dilakukan hanya dengan mengubah sebagian kecil data masukan yang bahkan tidak dapat dibedakan oleh mata manusia.

Lalu, apa sebenarnya serangan AI adversarial? Bagaimana cara kerjanya, apa saja jenis-jenisnya, dan bagaimana organisasi dapat melindungi sistem AI dari ancaman tersebut? Berikut penjelasan lengkapnya.

Apa Itu Serangan AI Adversarial?

Serangan AI adversarial adalah teknik serangan yang dirancang untuk menipu model machine learning dengan memberikan data masukan yang telah dimanipulasi secara sengaja. Tujuan utamanya adalah membuat sistem AI menghasilkan prediksi atau keputusan yang salah, meskipun data tersebut tampak normal bagi manusia.

Serangan ini memanfaatkan kelemahan alami yang dimiliki algoritma machine learning dalam mengenali pola. Dengan menambahkan perubahan yang sangat kecil pada data, penyerang dapat mengubah hasil prediksi AI secara signifikan.

Sebagai ilustrasi, bayangkan sebuah mobil tanpa pengemudi yang menggunakan kamera dan AI untuk mengenali rambu lalu lintas. Penyerang hanya perlu menambahkan beberapa titik atau pola kecil pada gambar rambu berhenti (stop sign). Perubahan tersebut hampir tidak terlihat oleh manusia, tetapi AI dapat salah mengenalinya sebagai rambu batas kecepatan. Kesalahan sekecil ini tentu berpotensi menimbulkan kecelakaan yang membahayakan.

Inilah alasan mengapa serangan adversarial dianggap sebagai salah satu ancaman terbesar terhadap sistem AI modern.

Mengapa Serangan AI Adversarial Berbahaya?

Semakin banyak organisasi yang mengandalkan AI dalam proses bisnis, semakin besar pula dampak yang dapat ditimbulkan apabila sistem tersebut berhasil dimanipulasi. Saat ini AI digunakan di berbagai sektor, antara lain:

• sistem deteksi penipuan pada layanan keuangan;
• keamanan jaringan perusahaan;
• autentikasi biometrik;
• diagnosis penyakit di bidang kesehatan;
• kendaraan otonom;
• sistem pengawasan berbasis kamera;
• analisis risiko bisnis.

Apabila model AI berhasil ditipu, dampaknya bukan hanya berupa kesalahan prediksi sesaat. Dalam banyak kasus, konsekuensinya dapat berupa kerugian finansial yang besar, kebocoran data sensitif, gangguan operasional, bahkan ancaman terhadap keselamatan manusia.

Yang membuat serangan ini semakin berbahaya adalah sifatnya yang sangat sulit dikenali. Data yang dikirimkan kepada AI terlihat normal sehingga mekanisme keamanan tradisional seperti firewall atau antivirus umumnya tidak mampu mendeteksinya.

Memahami Adversarial Examples

Salah satu konsep terpenting dalam serangan AI adversarial adalah adversarial examples. Adversarial examples merupakan data yang telah dimodifikasi secara sengaja agar dapat mengecoh model AI, tetapi tetap terlihat wajar bagi manusia.

Misalnya, sebuah gambar kucing diberi perubahan kecil pada beberapa piksel. Mata manusia masih melihat gambar tersebut sebagai seekor kucing. Namun, sistem AI justru menganggap gambar itu sebagai seekor anjing atau bahkan benda lain.

Fenomena tersebut terjadi karena model machine learning membuat keputusan berdasarkan pola matematika yang sangat kompleks. Perubahan kecil yang tampaknya tidak berarti bagi manusia ternyata mampu menggeser batas keputusan (decision boundary) model sehingga menghasilkan klasifikasi yang salah. Karena AI kini digunakan dalam berbagai sistem penting, adversarial examples dapat menyebabkan berbagai masalah, seperti:

• sistem keamanan memberikan akses kepada pengguna yang tidak berhak;
• sistem anti-penipuan gagal mengenali transaksi mencurigakan;
• kendaraan otonom salah membaca rambu lalu lintas;
• sistem pengenal wajah gagal mengidentifikasi seseorang dengan benar.

Dengan kata lain, adversarial examples bukan sekadar data yang memiliki gangguan (noise), melainkan serangan yang dirancang secara khusus untuk mengeksploitasi kelemahan model AI.

Perbedaan Serangan Adversarial dan Serangan Siber Tradisional

Sekilas, serangan AI adversarial mungkin terlihat sama dengan serangan siber biasa. Namun sebenarnya keduanya memiliki karakteristik yang sangat berbeda.

Pada serangan siber tradisional, target utama adalah perangkat lunak, sistem operasi, jaringan, atau pengguna. Penyerang biasanya memanfaatkan kerentanan aplikasi, konfigurasi yang salah, atau teknik rekayasa sosial (social engineering) untuk mendapatkan akses ilegal.

Sebaliknya, serangan adversarial menargetkan logika pengambilan keputusan AI. Penyerang tidak harus meretas server ataupun mencuri akun pengguna. Mereka cukup memanipulasi data yang diproses oleh model machine learning sehingga AI mengambil keputusan yang salah.

Perbedaan lainnya terletak pada proses deteksi. Serangan konvensional biasanya meninggalkan jejak yang relatif mudah dikenali, seperti malware, aktivitas login mencurigakan, atau lalu lintas jaringan yang tidak normal. Sementara itu, serangan adversarial dapat berlangsung tanpa menimbulkan tanda-tanda yang jelas. Input yang dikirimkan tampak sepenuhnya sah sehingga sistem keamanan tradisional tidak menganggapnya sebagai ancaman.

Dari sisi dampak, serangan siber biasa umumnya menyebabkan kerusakan yang langsung terlihat, misalnya pencurian data atau gangguan layanan. Sebaliknya, serangan adversarial sering kali menurunkan akurasi model AI secara perlahan sehingga kesalahan baru diketahui setelah menimbulkan kerugian yang besar.

Bagaimana Cara Kerja Serangan AI Adversarial?

Meskipun terlihat rumit, sebagian besar serangan adversarial mengikuti empat tahapan utama.

1. Mempelajari Sistem Target
   Tahap pertama adalah mengumpulkan informasi mengenai sistem AI yang menjadi sasaran. Penyerang mencoba memahami algoritma yang digunakan, jenis data yang diproses, serta bagaimana model mengambil keputusan.

   Pada beberapa kasus, mereka menggunakan teknik reverse engineering untuk memperkirakan cara kerja model. Semakin banyak informasi yang diperoleh, semakin mudah bagi penyerang menemukan kelemahan model.

2. Membuat Adversarial Input
   Setelah memahami karakteristik model, penyerang mulai membuat data masukan yang telah dimanipulasi. Manipulasi tersebut dapat berupa perubahan kecil pada gambar, suara, teks, maupun data numerik. Perubahan ini sengaja dirancang agar menghasilkan prediksi yang berbeda, tetapi tetap tampak normal bagi manusia.

   Sebagai contoh, penyerang dapat menambahkan sedikit perubahan pada dokumen sehingga sistem AI salah mengklasifikasikan isinya, atau memodifikasi suara agar sistem pengenal suara salah mengenali perintah.

3. Menjalankan Serangan
   Input yang telah dimodifikasi kemudian dikirimkan ke sistem AI. Pada tahap ini, AI mulai menghasilkan keputusan yang tidak sesuai harapan. Misalnya, sistem keamanan gagal mengenali ancaman, kendaraan otonom salah membaca rambu, atau sistem deteksi penipuan menganggap transaksi ilegal sebagai transaksi normal.

   Untuk membuat serangan lebih efektif, penyerang sering memanfaatkan gradien (gradient) model guna mengetahui perubahan apa yang paling memengaruhi hasil prediksi.

4. Dampak Setelah Serangan
   Apabila serangan berhasil, konsekuensinya dapat sangat beragam. Dalam aplikasi sederhana, AI mungkin hanya salah mengklasifikasikan gambar atau teks. Namun pada sistem yang bersifat kritis, dampaknya bisa jauh lebih serius.

   Misalnya, AI di rumah sakit salah mengidentifikasi hasil pemeriksaan medis sehingga memengaruhi keputusan dokter. Pada kendaraan tanpa pengemudi, kesalahan mengenali rambu lalu lintas dapat memicu kecelakaan.

   Karena itulah, pengembangan AI modern harus mempertimbangkan aspek keamanan sejak awal, bukan hanya mengejar tingkat akurasi model.

Jenis-Jenis Serangan AI Adversarial

Serangan adversarial terhadap machine learning memiliki berbagai metode yang disesuaikan dengan tujuan penyerang. Ada serangan yang dilakukan saat model masih dalam proses pelatihan, ada pula yang dilakukan setelah model digunakan di lingkungan produksi. Masing-masing memiliki teknik dan dampak yang berbeda terhadap sistem AI. Berikut adalah jenis-jenis serangan adversarial yang paling umum.

1. Poisoning Attack
   Poisoning attack merupakan serangan yang dilakukan pada tahap pelatihan (training) model machine learning. Dalam metode ini, penyerang menyisipkan data yang telah dimanipulasi ke dalam dataset pelatihan sehingga model AI belajar dari informasi yang salah.

   Karena machine learning bergantung pada kualitas data yang digunakan untuk belajar, keberadaan data palsu atau data yang sengaja diberi label keliru dapat memengaruhi kemampuan model dalam membuat prediksi di masa mendatang.

   Sebagai contoh, penyerang memasukkan ribuan email spam ke dalam dataset pelatihan tetapi memberi label sebagai email normal. Setelah proses pelatihan selesai, model AI akan menganggap sebagian email spam sebagai email yang sah sehingga tingkat akurasi sistem penyaring spam menurun drastis.

   Contoh lain dapat terjadi pada sistem pengenal wajah. Jika data wajah seseorang sengaja diberi identitas yang salah selama proses pelatihan, AI berpotensi salah mengenali identitas pengguna ketika sistem digunakan.

   Poisoning attack termasuk salah satu jenis serangan yang paling berbahaya karena dapat merusak fondasi pembelajaran model sejak awal. Kesalahan tersebut sering kali sulit dideteksi karena model tampak bekerja normal, padahal kualitas keputusan yang dihasilkan telah menurun.

2. Evasion Attack
   Evasion attack dilakukan setelah model machine learning selesai dilatih dan mulai digunakan. Berbeda dengan poisoning attack, serangan ini tidak mengubah model AI maupun dataset pelatihannya. Sebaliknya, penyerang memanipulasi data masukan (input) agar AI memberikan prediksi yang salah.

   Teknik ini merupakan bentuk serangan adversarial yang paling banyak diteliti karena relatif mudah diterapkan dan dapat berdampak besar pada sistem AI.

   Misalnya, penyerang menambahkan perubahan kecil pada gambar rambu berhenti (stop sign). Bagi manusia, rambu tersebut tetap terlihat seperti rambu berhenti. Namun, sistem AI pada mobil tanpa pengemudi dapat salah mengenalinya sebagai rambu batas kecepatan sehingga berpotensi menyebabkan kecelakaan.Evasion attack dibagi menjadi dua kategori utama.

   • Nontargeted Attack
     Pada nontargeted attack, tujuan penyerang hanya membuat AI menghasilkan prediksi yang salah tanpa menentukan hasil akhir tertentu.

     Sebagai contoh, AI yang seharusnya mengenali seekor kucing justru menganggapnya sebagai objek lain. Penyerang tidak peduli objek tersebut diklasifikasikan sebagai apa, yang penting hasilnya salah.

   • Targeted Attack
     Berbeda dengan nontargeted attack, targeted attack bertujuan memaksa AI menghasilkan prediksi yang telah ditentukan sebelumnya.

     Sebagai contoh, penyerang ingin sistem keamanan menganggap seseorang yang tidak dikenal sebagai pengguna yang sah, atau memaksa AI mengklasifikasikan malware sebagai file yang aman. Serangan jenis ini biasanya lebih sulit dilakukan karena membutuhkan pemahaman yang lebih mendalam mengenai cara kerja model.

3. Model Extraction Attack
   Model extraction attack merupakan upaya penyerang untuk menyalin kemampuan sebuah model AI tanpa memiliki akses terhadap kode sumber maupun parameter internalnya.

   Teknik ini dilakukan dengan cara mengirimkan ribuan hingga jutaan permintaan (query) kepada model AI, kemudian menganalisis setiap jawaban yang diberikan. Dari pola respons tersebut, penyerang dapat membangun model baru yang memiliki kemampuan dan perilaku yang sangat mirip dengan model asli.

   Sebagai ilustrasi, sebuah perusahaan mengembangkan model AI untuk mendeteksi penipuan transaksi dan menyediakan layanan tersebut melalui API. Penyerang dapat terus mengirimkan berbagai jenis data ke API tersebut, mencatat seluruh hasil prediksi, lalu menggunakan data tersebut untuk melatih model tiruan.

   Selain menimbulkan risiko keamanan, model extraction attack juga dapat menyebabkan kerugian bisnis karena mencuri hasil riset, algoritma, dan kekayaan intelektual yang membutuhkan biaya besar untuk dikembangkan.

4. Inference-Related Attack
   Inference-related attack adalah serangan yang memanfaatkan keluaran (output) model AI untuk memperoleh informasi sensitif mengenai data pelatihan maupun pengguna. Alih-alih menyerang model secara langsung, penyerang menganalisis jawaban yang diberikan AI untuk menyimpulkan informasi yang seharusnya bersifat rahasia. Dua teknik yang paling dikenal dalam kategori ini adalah:

   • Model inversion, yaitu teknik untuk merekonstruksi atau memperkirakan kembali data asli berdasarkan keluaran model AI. Sebagai contoh, penyerang berusaha membangun kembali gambar wajah seseorang dari hasil prediksi sistem pengenal wajah.
   • Membership inference, yaitu teknik untuk mengetahui apakah suatu data tertentu pernah digunakan selama proses pelatihan model. Serangan ini dapat mengungkap bahwa data pribadi seseorang merupakan bagian dari dataset pelatihan, meskipun data tersebut seharusnya bersifat rahasia.
   • Inference-related attack menjadi perhatian serius karena dapat membocorkan informasi pribadi tanpa harus meretas server atau mencuri database secara langsung. Hal ini sangat berisiko bagi sistem AI yang digunakan di sektor kesehatan, keuangan, maupun layanan publik yang mengelola data sensitif.

5. Transfer Attack
   Transfer attack memanfaatkan fenomena yang dikenal sebagai transferability, yaitu kemampuan satu adversarial example untuk menipu lebih dari satu model AI.Dalam praktiknya, penyerang tidak harus menyerang model target secara langsung. Mereka cukup membuat adversarial example pada model lain yang memiliki karakteristik serupa, kemudian menggunakan contoh tersebut untuk menyerang model target.

   Sebagai contoh, penyerang melatih sebuah model AI sendiri yang memiliki arsitektur mirip dengan model milik perusahaan. Setelah berhasil menemukan input yang dapat mengecoh model miliknya, input tersebut digunakan untuk menyerang sistem AI perusahaan. Dalam banyak kasus, model target juga dapat tertipu meskipun tidak pernah dianalisis secara langsung.

   Transfer attack menjadi ancaman serius karena memungkinkan penyerang melancarkan black-box attack, yaitu serangan terhadap model AI tanpa mengetahui arsitektur, parameter, maupun kode sumbernya. Selama model target memiliki karakteristik yang serupa, peluang keberhasilan serangan tetap cukup tinggi.

   Kemampuan transfer inilah yang membuat pengembangan sistem AI modern harus memperhatikan aspek keamanan sejak tahap perancangan, bukan hanya berfokus pada peningkatan akurasi model.

Cara Melindungi AI dari Serangan Adversarial

Menghadapi ancaman AI adversarial membutuhkan strategi keamanan yang lebih kompleks dibandingkan sistem TI konvensional. Beberapa langkah yang dapat diterapkan antara lain sebagai berikut.

• Adversarial Training
  Model AI dilatih menggunakan data normal sekaligus data adversarial. Dengan demikian, model menjadi lebih terbiasa mengenali pola manipulasi sehingga lebih tahan terhadap serangan. Walaupun efektif, metode ini membutuhkan sumber daya komputasi yang besar dan waktu pelatihan yang lebih lama.

• Validasi dan Transformasi Input
  Setiap data yang masuk sebaiknya diperiksa terlebih dahulu sebelum diproses oleh AI. Teknik seperti mengubah ukuran gambar, mengurangi variasi nilai piksel, hingga menyaring noise dapat membantu mengurangi efektivitas serangan.

• Ensemble Learning
  Menggunakan beberapa model AI secara bersamaan akan meningkatkan ketahanan sistem. Jika satu model berhasil ditipu, model lain masih dapat memberikan prediksi yang benar sehingga keputusan akhir menjadi lebih akurat.

• Monitoring dan Deteksi Anomali
  Organisasi perlu memantau performa AI secara terus-menerus. Beberapa indikator yang harus diperhatikan antara lain penurunan akurasi secara mendadak, keluaran yang tidak lazim, serta skor kepercayaan model yang berubah drastis. Pemantauan secara berkelanjutan memungkinkan serangan terdeteksi lebih cepat sehingga proses mitigasi dapat segera dilakukan.

• Secure Development Lifecycle
  Keamanan AI tidak boleh hanya diterapkan ketika sistem selesai dibangun, melainkan harus menjadi bagian dari seluruh siklus pengembangan machine learning. Mulai dari pengumpulan data, proses pelatihan model, pengujian, hingga implementasi di lingkungan produksi, seluruh tahapan harus menerapkan prinsip keamanan seperti least privilege, threat modeling, validasi dataset, audit keamanan, serta pengujian berkala terhadap kemungkinan munculnya adversarial examples.

Kesimpulan

Perkembangan kecerdasan buatan telah membuka peluang besar bagi berbagai sektor industri, mulai dari kesehatan, keuangan, manufaktur, hingga transportasi. Namun, semakin luas penerapan AI, semakin besar pula tantangan keamanannya. Serangan AI adversarial membuktikan bahwa model machine learning dapat dimanipulasi hanya melalui perubahan kecil pada data masukan yang hampir tidak terlihat oleh manusia.

Berbeda dengan serangan siber konvensional, ancaman ini menargetkan logika pengambilan keputusan AI sehingga jauh lebih sulit dideteksi menggunakan solusi keamanan tradisional. Dampaknya pun dapat sangat serius, mulai dari penurunan akurasi model, kebocoran informasi, kerugian finansial, hingga risiko terhadap keselamatan manusia.

Oleh karena itu, organisasi yang mengembangkan maupun memanfaatkan AI perlu menerapkan pendekatan keamanan yang komprehensif. Adversarial training, validasi input, penggunaan beberapa model AI, pemantauan berkelanjutan, serta penerapan Secure Development Lifecycle menjadi langkah penting untuk meningkatkan ketahanan sistem. Dengan memahami cara kerja dan karakteristik serangan AI adversarial sejak dini, organisasi dapat membangun solusi AI yang tidak hanya cerdas, tetapi juga aman, andal, dan siap menghadapi ancaman keamanan siber di masa depan.