Sebelum Tim Anda Memasang Skill AI Agent: Membaca OWASP Agentic Skills Top 10 dari Sisi Organisasi

Memasang Skill Itu Sama dengan Memasang Software

Banyak orang mengenal AI pertama kali sebagai tempat bertanya: ketik pertanyaan, baca jawabannya. Sekarang makin banyak tim yang bekerja dengan AI agent, yaitu alat yang bisa membaca file, menjalankan perintah, memanggil layanan lain, dan menyelesaikan tugas sendiri. Supaya agent lebih cakap untuk pekerjaan tertentu, orang menambahkan skill.

Skill adalah paket kecil berisi pengetahuan kerja untuk agent. Bentuk yang umum adalah sebuah folder dengan file SKILL.md: deskripsi singkat, lalu instruksi dalam bahasa biasa tentang cara mengerjakan suatu tugas. Banyak skill juga membawa script atau file referensi. Format ini diperkenalkan oleh Anthropic dan kini dipakai oleh beberapa platform agent. Skill mudah dibuat, mudah dibagikan, dan mudah dipasang, sering kali cukup dengan satu perintah.

Kemudahan itulah yang membuat skill menarik, sekaligus berisiko. Skill bekerja dengan izin milik agent yang memuatnya. Kalau agent bisa membaca file Anda, memakai kredensial Anda, atau menjalankan perintah di komputer Anda, setiap skill yang dipasang juga bisa. Jadi memasang skill lebih mirip memasang software daripada menyimpan bookmark, tetapi jarang diperiksa seteliti software.

Ini juga bukan urusan developer saja. Siapa pun yang memakai agent untuk menyusun dokumen, mengolah data, atau mengotomatiskan pekerjaan rutin bisa memasang skill, biasanya tanpa bertanya ke siapa pun. Kalau organisasi Anda sudah memakai AI agent, ada baiknya dicek apakah itu sudah terjadi. Di artikel sebelumnya kami membahas aplikasi yang dibangun dengan AI dan apa yang perlu dibenahi sebelum dikembangkan. Kali ini kita melihat alat yang dipakai untuk membangun dan menjalankannya.

Apa yang Diterbitkan OWASP

OWASP adalah komunitas terbuka yang paling dikenal lewat OWASP Top 10 untuk risiko aplikasi web. Mereka punya proyek khusus untuk lapisan ini: OWASP Agentic Skills Top 10. Proyek ini memetakan sepuluh risiko khas skill AI agent, dari AST01 sampai AST10, lengkap dengan langkah pencegahannya.

Statusnya perlu disebut dengan tepat. Saat artikel ini ditulis, proyek tersebut menyebut dirinya versi 1.0 edisi 2026 yang masih dalam tahap public review, dan rilis final 1.0 direncanakan pada kuartal keempat 2026. Jadi detailnya masih bisa berubah. Meski begitu, kerangkanya sudah berguna, karena memberi organisasi istilah bersama untuk risiko yang selama ini belum punya nama.

Sepuluh risiko itu terbagi ke dalam empat wilayah:

• Asal skill: apakah skill dan tempat Anda mengambilnya bisa dipercaya.
• Apa yang bisa dilakukan skill saat berjalan: izin dan batas di sekelilingnya.
• Pengelolaan dari waktu ke waktu: pembaruan, pemindaian, dan pengawasan.
• Perpindahan antaralat: apa yang hilang ketika skill dipakai ulang di platform lain.

Sepuluh Risiko dengan Bahasa Sehari-hari

Dokumen OWASP ditulis untuk spesialis keamanan dan pengelola marketplace skill. Berikut cara kami membacanya untuk organisasi yang memakai agent, bukan membuatnya, beserta satu langkah yang bisa diambil untuk tiap risiko.

Asal Skill

AST01, Malicious Skills (skill berbahaya). Ada skill yang memang dibuat untuk mencelakai: tampak berguna, tetapi menyembunyikan instruksi atau kode untuk mencuri kredensial atau membuka jalan masuk ke komputer. Bedanya dengan malware biasa, bagian berbahayanya bisa ditulis dalam bahasa biasa sebagai perintah untuk agent, bukan hanya dalam bentuk kode. Langkah: pasang skill hanya dari sumber yang jelas, dan baca instruksinya, bukan hanya deskripsinya.

AST02, Supply Chain Compromise (rantai pasok yang dibobol). Marketplace skill masih muda, dan banyak yang belum punya pemeriksaan seperti ekosistem paket yang sudah matang. Penyerang bisa mengunggah skill dengan nama mirip, mengambil alih akun penerbit, atau menyisipkan perubahan ke skill yang sudah dipercaya banyak orang. Langkah: utamakan skill dari penerbit yang identitasnya bisa dicek, dan curigai skill baru yang namanya terdengar terlalu populer.

AST04, Insecure Metadata (metadata yang menyesatkan). Deskripsi, nama pembuat, dan izin yang dicantumkan sebuah skill ditulis sendiri oleh penerbitnya. Skill bisa mengaku berasal dari merek terkenal, atau mengecilkan apa yang sebenarnya ia lakukan. Langkah: jangan percaya pada apa yang dikatakan skill tentang dirinya sendiri. Periksa isinya.

Apa yang Bisa Dilakukan Skill Saat Berjalan

AST03, Over-Privileged Skills (izin berlebihan). Skill sering mendapat akses jauh melebihi kebutuhannya, entah karena platformnya tidak bisa membatasi, atau karena pengguna menyetujui semua permintaan izin. Skill yang hanya perlu membaca laporan tidak semestinya bisa menghapus database. Langkah: berikan akses sekecil mungkin yang masih memungkinkan agent bekerja, dan jauhkan kredensial produksi.

AST05, Untrusted External Instructions (instruksi dari luar). Banyak skill menyuruh agent membaca dokumentasi dari sebuah alamat web saat dijalankan. Isi itu pada praktiknya menjadi bagian dari skill, tetapi berbeda dengan skill-nya sendiri, isinya bisa berubah kapan saja, setelah siapa pun selesai memeriksanya. Langkah: perhatikan skill yang merujuk ke konten luar, dan tanyakan siapa yang mengendalikan konten itu.

AST06, Weak Isolation (isolasi lemah). Di banyak pengaturan, skill berjalan dengan akses yang sama dengan agent: seluruh file, shell, dan jaringan. Tidak ada yang membatasi skill yang berulah. Langkah: kalau alat Anda mendukung, jalankan agent di lingkungan terbatas atau sandbox, terutama saat mencoba skill baru.

Pengelolaan dari Waktu ke Waktu

AST07, Update Drift (pembaruan yang lepas kendali). Skill dipasang lalu dilupakan. Entah perbaikannya tidak pernah diterapkan, atau pembaruan masuk otomatis tanpa ada yang mengecek perubahannya. Keduanya berisiko, karena versi yang dulu diperiksa bukan lagi versi yang sekarang berjalan. Langkah: kunci skill di versi yang sudah diperiksa, dan tinjau perubahannya sebelum menerima pembaruan.

AST08, Poor Scanning (pemindaian yang tidak memadai). Pemindai keamanan tradisional mencari pola yang sudah dikenal di dalam kode. Skill mencampur kode, metadata, dan instruksi bahasa biasa, sehingga niat jahat yang ditulis sebagai kalimat biasa bisa lolos dari pemindai yang hanya membaca kode. Langkah: anggap hasil pemindaian otomatis sebagai satu masukan, bukan persetujuan. Tetap harus ada orang yang membaca skill-nya.

AST09, No Governance (tanpa tata kelola). Di kebanyakan organisasi, skill dipasang oleh perorangan tanpa daftar, tanpa persetujuan, dan tanpa cara mencabutnya ketika orangnya keluar. Tim keamanan tidak bisa melihatnya; proyek OWASP menyebutnya lapisan "shadow AI". Langkah: catat skill apa saja yang terpasang, siapa yang memasang, dan untuk apa.

Perpindahan Antaralat

AST10, Cross-Platform Reuse (dipakai ulang lintas platform). Skill makin sering disalin dari satu platform agent ke platform lain. Informasi keamanan yang dipahami satu platform, misalnya daftar izin yang dideklarasikan, bisa saja hilang di platform berikutnya. Langkah: ketika skill dipakai di alat yang berbeda, periksa ulang seolah-olah skill itu baru.

Delapan Pertanyaan Sebelum Ada yang Memasang Skill

Sebagian besar dari sepuluh risiko di atas bisa dikurangi dengan beberapa pertanyaan yang diajukan pada saat yang tepat, yaitu sebelum skill dipasang, bukan setelah ada insiden.

1. Siapa pembuatnya? Apakah penerbitnya orang atau organisasi yang bisa dikenali, dan apakah ini akun aslinya?
2. Apa isinya sebenarnya? Sudahkah ada yang membaca instruksi di SKILL.md dan script-nya, bukan hanya deskripsinya?
3. Apa kata peringatan saat instalasi? Banyak alat agent menampilkan pemberitahuan tentang apa yang bisa dilakukan sebuah skill atau plugin saat dipasang. Adakah yang membacanya?
4. Apa saja yang bisa dijangkaunya? File, perintah, kredensial, dan akses jaringan apa yang ia dapat lewat agent?
5. Apakah ia mengambil sesuatu dari luar? Kalau ia membaca instruksi dari alamat web, siapa yang mengendalikan alamat itu?
6. Bagaimana pembaruannya? Otomatis, atau hanya setelah ada yang meninjau perubahannya?
7. Siapa yang menyetujui? Adakah catatan bahwa orang yang bertanggung jawab sudah setuju?
8. Bagaimana mencabutnya? Kalau skill bermasalah, atau pemasangnya keluar dari organisasi, bisakah skill itu cepat ditemukan dan dihapus?

Kalau tidak ada yang bisa menjawab pertanyaan-pertanyaan ini, pemasangan skill sebaiknya ditunda.

Cara Kami Memperlakukan Skill di qadrtech

Kami juga memakai AI agent dalam pekerjaan sehari-hari, termasuk skill. Ada beberapa kebiasaan yang kami pegang.

• Untuk pekerjaan berulang, kami menulis skill sendiri. Misalnya alur menulis dan menerbitkan artikel seperti yang sedang Anda baca. Dengan begitu kami tahu persis apa yang diperintahkan kepada agent.
• Skill kami disimpan di version control. Letaknya di repository yang sama dengan kode yang dilayaninya, sehingga setiap perubahan terlihat, bisa ditinjau, dan bisa dibatalkan.
• Skill pihak ketiga kami periksa sebelum dipasang. Kami membaca instruksi SKILL.md dan script yang menyertainya. Skill yang belum kami baca tidak kami pasang.
• Pemeriksaan kami mulai dari peringatan saat instalasi. Alat agent biasanya menampilkan pemberitahuan risiko ketika skill atau plugin dipasang, dan pemberitahuan itu sering dilewati begitu saja. Kami membacanya lebih dulu, karena di situ terangkum apa saja yang bisa dilakukan skill tersebut dan bagian mana yang perlu diperiksa paling teliti.
• Izin agent kami batasi. Agent bekerja dengan izin terbatas, tindakan berisiko perlu persetujuan eksplisit, dan kredensial produksi tidak diserahkan kepadanya.

Semua ini tidak memerlukan alat khusus. Yang diperlukan hanya kesadaran bahwa skill adalah software yang bekerja dengan akses sungguhan.

Kebijakan Skill Sederhana untuk Tim Kecil

Proyek OWASP menjabarkan kontrol yang cocok untuk perusahaan besar, seperti registry yang ditandatangani secara kriptografis, pipeline pemindaian terpusat, dan integrasi dengan sistem pemantauan keamanan. UMKM atau unit IT kampus bisa mendapatkan sebagian besar perlindungannya dengan kebijakan yang muat dalam satu halaman.

• Buat daftar skill. Spreadsheet bersama sudah cukup: nama skill, sumber, versi, siapa yang memasang, di komputer atau agent mana, dan untuk apa.
• Wajibkan persetujuan. Satu orang yang ditunjuk harus setuju sebelum skill baru dipasang di agent yang menyentuh data organisasi.
• Baca sebelum memasang. Peringatan instalasi, instruksi, dan script-nya. Kalau terlalu panjang untuk dibaca, berarti terlalu besar untuk dipercaya begitu saja.
• Berikan akses seminimal mungkin. Agent bekerja di folder atau lingkungan terbatas, tanpa kredensial produksi, dan meminta izin sebelum menjalankan perintah berisiko.
• Kunci versi dan tinjau pembaruan. Tetap di versi yang sudah diperiksa sampai ada yang mengecek perubahannya.
• Utamakan skill buatan sendiri untuk pekerjaan inti. Untuk tugas yang menyentuh data atau sistem sensitif, skill pendek buatan tim sendiri sering kali lebih aman daripada skill populer dari marketplace.
• Cabut skill saat offboarding. Ketika seseorang keluar, skill yang ia pasang beserta akses di baliknya ikut menjadi bagian serah terima.

Tinjau daftar skill setiap beberapa bulan, dan hapus yang sudah tidak dipakai.

Penutup

Skill untuk AI agent memang bermanfaat, dan kebiasaan mengemas pengetahuan kerja untuk agent akan makin umum. OWASP Agentic Skills Top 10 mengingatkan bahwa kemudahan ini membawa tanggung jawab yang sama dengan software lain: tahu dari mana asalnya, tahu apa yang bisa dijangkaunya, dan tahu siapa yang menyetujuinya.

Kalau tim Anda mulai memakai AI agent dan butuh bantuan menetapkan batas yang masuk akal, mulai dari memeriksa skill yang sudah terpasang sampai menulis skill yang Anda butuhkan, hubungi kami. Kami akan mulai dari apa yang sudah dipakai tim Anda sekarang.