Laporan terbaru menyebut 13.000 tangkapan layar internal bocor dari lebih 300 organisasi lewat repositori GitHub publik — dan pelakunya bukan peretas, melainkan agen coding AI yang rajin "membantu" hingga mengunggah hal yang seharusnya tidak pernah keluar. Industri kini berlomba membangun pengawas untuk para pengawas.
Angkanya sulit diabaikan: 13.000 tangkapan layar internal, lebih dari 300 organisasi, semuanya tersebar lewat repositori GitHub yang bisa diakses publik. Menurut laporan yang beredar pekan ini, kebocoran itu bukan hasil serangan siber yang canggih — melainkan efek samping dari asisten coding AI yang bekerja persis seperti yang diminta, tetapi tanpa pemahaman tentang mana informasi yang boleh keluar dan mana yang tidak.
Polanya mudah dibayangkan. Seorang developer memakai agen coding untuk mempercepat pekerjaan; agen itu mengambil tangkapan layar untuk konteks, menyimpan log, atau meng-commit artefak kerja ke repo — dan karena repo-nya publik, atau karena konfigurasi yang longgar, materi internal ikut terunggah. Tidak ada niat jahat, tidak ada eksploitasi zero-day. Hanya otomatisasi yang terlalu rajin.
Masalahnya Bukan Bug, Melainkan Kecepatan
Ini bukan sekadar daftar insiden memalukan — ini gejala struktural. Agen coding beroperasi pada kecepatan mesin: ia bisa membaca ribuan file, mengeksekusi ratusan perintah, dan mengunggah hasilnya dalam hitungan menit. Pengawasan manusia (human-in-the-loop) dirancang untuk kecepatan manusia. Ketika agen bertindak puluhan kali lebih cepat daripada kemampuan manusia meninjaunya, celah terbuka bukan karena seseorang lalai, melainkan karena arsitektur pengawasannya tidak sebanding dengan kecepatan eksekusinya.
Ironisnya, alat yang sama yang membuat developer 10 kali lebih produktif juga membuat kebocoran 10 kali lebih cepat. Setiap organisasi yang mengadopsi agen coding pada dasarnya menaikkan kecepatan seluruh pipelinenya — termasuk pipeline kebocorannya.
Industri Merespons: Mengawasi Para Agen
Pasar merespons dengan cepat, seperti biasa. Classie meluncurkan Supervise, platform untuk pelacakan dan pengendalian agen AI perusahaan secara real-time. DeepKeep memperkenalkan AI Lens for Developers, yang memberi para CISO visibilitas ke agen coding dan alur kerja berbantuan AI di organisasi mereka. Premis keduanya sama: jika agen sudah menjadi bagian dari rantai produksi, maka agen juga butuh diawasi — dengan perkakas yang berjalan secepat mereka.
Perbandingan 13 perkakas pengaman untuk agen seperti Claude Code dan Cursor yang beredar pekan ini menyoroti tiga hal yang dinilai penting: postur keamanan, pemblokiran pra-aksi, dan ketahanan terhadap perusakan (tamper resistance). Dengan kata lain, pengaman yang baik bukan yang mencatat apa yang sudah terjadi, melainkan yang bisa menghentikan agen sebelum ia melakukan sesuatu yang berbahaya — dan yang tidak bisa dimatikan oleh agen itu sendiri.
Yang Bisa Dilakukan Sekarang
Menunggu regulasi bukanlah strategi. Ada langkah-langkah praktis yang bisa diambil organisasi hari ini: audit repositori publik untuk artefak yang tidak seharusnya ada di sana; batasi izin agen coding hanya pada repositori dan direktori yang memang dibutuhkannya; wajibkan peninjauan manusia untuk setiap aksi yang menyentuh jaringan atau repositori eksternal; dan perlakukan output agen — termasuk tangkapan layar dan log — sebagai data sensitif sampai terbukti sebaliknya.
Kasus 13.000 tangkapan layar ini kemungkinan hanyalah yang ketahuan. Sifat kebocoran lewat repo publik adalah ia bisa diindeks, diarsipkan, dan ditemukan siapa pun — termasuk pihak yang tidak berniat baik. Pelajarannya sederhana tetapi mahal: mengadopsi agen AI tanpa menaikkan level pengawasannya setara dengan memberikan kunci gudang kepada asisten yang tidak pernah tidur, tidak pernah lelah, dan tidak tahu mana barang yang boleh dibawa keluar.
