Para peneliti keamanan siber baru-baru ini mengungkap rincian mendalam mengenai tiga insiden peretasan yang menyasar berbagai organisasi di Jepang, di mana teknologi kecerdasan buatan (AI) memegang peran kunci, baik sebagai pengendali penuh sistem penyerangan maupun sebagai instrumen pendukung bagi operator manusia.
TrendAI, yang menjalankan penyelidikan forensik terhadap tiga lingkungan server terbuka milik kelompok penyerang untuk melangsungkan serbuan siber berbahaya tersebut, memaparkan bahwa temuan ini sangat berbeda dari insiden-insiden yang telah dipublikasikan terdahulu. Pada kasus-kasus terdahulu, para peretas diketahui mengandalkan platform uji penetrasi otonom berbasis kecerdasan buatan bernama ARTEX guna membidik sasaran spesifik di kawasan Korea Selatan dan Jepang.
"Lingkungan-lingkungan yang terungkap ini menyimpan seperangkat alat pengintaian dan instrumen penyerangan, kode skrip terprogram, susunan daftar target yang diincar, hasil peretasan, catatan aktivitas sistem, hingga histori eksekusi perintah digital," tegas dua pakar keamanan siber, Bakuei Matsukawa dan Joseph C Chen. "Bentuk infrastruktur yang diamati sangat bervariasi, mulai dari stasiun kerja digital yang sebagian besar dikendalikan langsung oleh tangan operator berpengalaman, hingga platform multi-agen AI canggih yang mampu mengotomatisasi seluruh alur kerja serangan secara mandiri, termasuk fungsi kendali jarak jauh atau command and control."
Dari ketiga rangkaian serangan yang terdeteksi, operasi pertama terpantau menyalahgunakan CyberStrikeAI, sebuah perangkat lunak uji penetrasi bersumber terbuka (open-source) yang sebelumnya tercatat sempat dimanfaatkan dalam rentetan serangan terhadap peranti jaringan Fortinet FortiGate. Kegiatan ofensif terencana ini terjadi dalam interval waktu yang sangat singkat dan terkonsentrasi pada bulan Oktober 2026.
Aktivitas yang dipandu oleh kecerdasan buatan tersebut memaksimalkan utilitas keamanan ofensif guna mengotomatisasi setiap fase dalam siklus serangan menjadi satu alur kerja yang rapi dan dapat diulang kembali secara berkelanjutan. Alur kerja serangan ini dimulai dari tahap pengintaian awal, penemuan dan validasi kerentanan perangkat lunak, eksekusi eksploitasi celah keamanan, pengoperasian pusat komando dan kendali (C2), pembentukan persistensi akses tersembunyi, penyelundupan data curian keluar jaringan internal, sampai pada proses pembuatan laporan akhir yang dihasilkan secara serba otomatis.
Mekanisme penyerangan ini diatur dengan membagi penugasan secara terperinci kepada 44 agen otonom guna menuntaskan beragam spesifikasi teknis dari rangkaian aksi tersebut. Pada saat yang bersamaan, sistem kecerdasan buatan ini juga difungsikan untuk memproduksi dokumen formulir palsu dan laman masuk (login) tiruan berkualitas tinggi yang menggunakan tata bahasa Jepang secara sempurna.
"Dalam kurun waktu yang terbilang singkat, sekurang-kurangnya 19 entitas organisasi yang teridentifikasi, termasuk sedikitnya 16 lembaga penting yang berlokasi di Jepang, telah dijadikan target uji coba validasi eksploitasi celah keamanan," ungkap perwakilan divisi keamanan korporasi dari Trend Micro. "Masing-masing entitas sasaran memiliki berkas laporan dengan format penulisan yang sepenuhnya seragam dan dilengkapi indeks kompilasi barang bukti teknis. Berkas-berkas dokumentasi tersebut merupakan hasil terstruktur yang diproduksi otomatis oleh platform sistem, alih-alih catatan personal sementara yang disusun manual oleh tangan seorang operator."
Kasus kedua yang diidentifikasi oleh peneliti diklasifikasikan sebagai serangan siber yang dipimpin langsung oleh manusia namun memperoleh sokongan kecerdasan buatan berupa model bahasa besar (large language model atau LLM). Teknologi LLM tersebut difungsikan untuk mempercepat tahapan perancangan strategi penyerangan serta mempermudah pengembangan perkakas kode eksploitasi khusus. Pengamatan komprehensif terhadap arsitektur infrastruktur dan peninggalan artefak digital menunjukkan bahwa kampanye intrusi ini juga sengaja dirancang untuk menyerbu platform alur kerja kecerdasan buatan serta fasilitas layanan inferensi publik, dengan niat utama memperoleh kapasitas komputasi inferensi berskala masif dengan anggaran serendah mungkin.
Salah satu aksi pembobolan dalam kampanye ini dilaporkan berhasil menyusup ke dalam server sistem informasi geografis (GIS) yang terekspos ke ruang publik dengan masih menerapkan pengaturan kredensial awal pabrik (default credentials). Kelalaian keamanan mendasar ini berujung fatal pada pencurian data-data penting berupa rekaman kadaster pertanahan dan arsip komersial, berkas kredensial sistem operasi Windows, serta arsip surat elektronik perusahaan. Seluruh rangkaian operasi kedua ini terdeteksi berjalan aktif selama rentang waktu 24 hari, tepatnya pada kurun waktu bulan Agustus hingga September 2026.
Sementara itu, pada insiden ketiga, keterlibatan teknologi kecerdasan buatan terpantau lebih terbatas, di mana fungsinya hanya dikhususkan untuk merancang serta menyempurnakan skrip otomatis dan perkakas bantu yang dipakai oleh peretas. Kondisi ini mencerminkan peran parsial kecerdasan buatan dalam rangkaian kampanye penyusupan yang secara konsisten membidik berbagai peranti keras perimeter jaringan yang diproduksi oleh Cisco, Citrix, F5, serta Yamaha. Serangan tersebut memanfaatkan kerentanan publik yang sudah terdaftar, menyalahgunakan fungsi antarmuka manajemen sistem, atau mengekstraksi data kredensial penting yang tersimpan secara tidak aman di dalam file konfigurasi perangkat.
Kelompok peretas di balik insiden ketiga ini diperkirakan telah melancarkan sedikitnya enam kali kampanye siber agresif dalam periode Januari hingga Oktober 2026, dengan memanfaatkan peluang kerentanan secara oportunistis pada deretan perangkat VPN publik dan sistem server WebLogic yang dibiarkan terbuka tanpa proteksi memadai. "Operator penyerang menunjukkan tingkat pengalaman yang sangat tinggi, memiliki standar baku yang matang dalam implementasi otomatisasi proses serta penataan barang bukti digital hasil peretasan," tutur tim peneliti keamanan.
Hingga saat ini, belum ditemukan adanya korelasi bukti forensik nyata yang membuktikan bahwa ketiga kasus pembobolan tersebut digerakkan oleh satu aktor pengendali yang sama. Selain itu, belum dapat dipastikan secara menyeluruh apakah serangan-serangan tersebut juga menjangkau target di wilayah regional lain di luar area pantauan, serta varian model kecerdasan buatan mana saja yang telah dimanfaatkan untuk mengeksekusi operasi tersebut.
Meski demikian, jangkauan operasi yang melibatkan para peretas ini tidak melulu terkonsentrasi di Jepang maupun negara-negara tetangga seperti Korea Selatan. Aktor jahat di balik insiden pertama dilaporkan telah membidik sejumlah entitas di Taiwan dan Hong Kong. Di sisi lain, penyelidikan terhadap berkas daftar pemindaian WebLogic pada insiden ketiga mengungkap adanya penargetan terhadap organisasi yang tersebar di Inggris, Prancis, Italia, Qatar, hingga Kolombia.
"Kecerdasan buatan memang telah melipatgandakan jumlah tenaga kerja digital bagi para pelaku kejahatan, namun hakikat dari pekerjaan mereka tetaplah mencari pintu-pintu sistem yang lupa dikunci," tegas TrendAI dalam penjelasannya. "Ragam bentuk pintu akses dan jenis celah kelemahan yang membuatnya tetap terbuka pada dasarnya tidak pernah berubah. Hal mendasar yang kini bertransformasi adalah keleluasaan pelaku untuk menguji ribuan pintu secara serentak, menyelaraskan diri dengan karakter bahasa di negara tujuan, dan mengeksekusi aksi tanpa mengenal rasa lelah."
Temuan ini beriringan erat dengan terbongkarnya sejumlah kampanye siber lain, di mana berbagai aktor kejahatan dengan motif beraneka ragam telah mengintegrasikan AI berbasis agen ke dalam alur kerja keamanan ofensif mereka. Pemanfaatan teknologi otonom ini memicu akselerasi luar biasa pada proses riset eksploitasi celah, penyusunan kode berbahaya (malware), perekayasaan sosial (social engineering), serta aspek-aspek penyerangan penting lainnya.
Situasi ini kian mengkhawatirkan karena kecerdasan buatan semakin jamak dimanfaatkan untuk melipatgandakan kecepatan pengintaian sistem, memprogram keputusan teknis otomatis, serta memproduksi rekayasa sosial secara massal layaknya industri modern, yang berdampak pada kian sempitnya rentang waktu antara penemuan celah keamanan hingga terjadinya eksploitasi aktif. Merujuk pada laporan tahunan Microsoft 2026 Digital Defense Report, pemanfaatan kecerdasan buatan telah memangkas nilai tengah (median) jeda waktu antara penemuan sebuah kerentanan hingga berhasil dijadikan senjata peretasan menjadi berada jauh di bawah tempo 24 jam.
Pengadopsian kecerdasan buatan oleh para peretas telah memangkas alokasi waktu, menekan tuntutan kemahiran teknis, dan menghemat biaya yang diperlukan dalam mendeteksi sekaligus mengeksploitasi celah keamanan. Namun demikian, Microsoft menambahkan bahwa transformasi teknologi ini di sisi lain juga membuka peluang bagi pihak penyerang maupun tim pertahanan keamanan untuk beroperasi dengan tingkat kecepatan, skala jangkauan, dan otonomi sistem yang jauh lebih superior.
"Permasalahan utamanya bukanlah sekadar apakah seorang pelaku kejahatan memegang akses terhadap model AI paling mutakhir," tutur pihak Trend Micro. "Kepemilikan akses pada model-model AI yang andal saat ini telah sanggup menghadirkan keuntungan operasional yang nyata. Namun demikian, kedalaman ekosistem pendukunglah yang pada akhirnya menentukan seberapa konsisten, mandiri, dan masif kapabilitas serangan tersebut sanggup dipertahankan dalam jangka panjang."
"Kecerdasan buatan kini tidak lagi diposisikan sebagai sekadar instrumen eksperimental bagi kelompok Advanced Persistent Threat (APT); teknologi ini telah bertransformasi menjadi komponen operasional inti yang ditanamkan secara langsung ke dalam kampanye serangan nyata."
Lonjakan minat terhadap aplikasi kecerdasan buatan di kalangan kelompok kriminal dunia maya turut melahirkan ladang monetisasi ilegal baru, seperti maraknya transaksi gelap token sesi penyedia AI curian dan peredaran perkakas AI penyerang khusus seperti APEX AI, MessiahGPT, serta DarkGPT. Praktik komersialisasi ini semakin menormalkan kejahatan siber serta meruntuhkan dinding pembatas bagi pihak amatir untuk mengeksekusi serangan yang persisten, rumit, dan berdaya kelit tinggi.
Pekan lalu, Microsoft secara terbuka mengumumkan bahwa sebuah sindikat peretas yang berafiliasi dengan negara Tiongkok berhasil menyusup ke dalam aplikasi pencadangan awan ConnectWise, lalu mengoperasikan kerangka kerja ARTEX guna masuk tanpa hak ke lebih dari 2.250 penyewa layanan Microsoft 365. Operasi siber berskala besar ini diatribusikan kepada kelompok peretas berkode Storm-0940, yang diidentifikasi telah memanfaatkan framework ARTEX sekurang-kurangnya sejak awal September 2026 demi mengotomatisasi taktik password-spraying terhadap ratusan instansi.
"Kendati mayoritas target serangan berhasil menepis upaya penyusupan, Storm-0940 sukses memperoleh akses persistensi tingkat tinggi di lingkungan cloud milik banyak entitas hanya dalam tempo singkat," jelas pihak Microsoft. "Manuver yang dijalankan oleh kelompok Storm-0940 mencerminkan bagaimana pelaku kejahatan dengan target serbuan yang luas mampu mendayagunakan platform AI berbasis agen serta instrumen otentikasi istimewa untuk mencoba meretas banyak organisasi dalam hitungan detik."
Berdasarkan pemberitaan media lokal di Korea Selatan, aparat penegak hukum setempat telah mengidentifikasi tujuh orang tersangka yang terikat dengan sindikat kejahatan siber yang berhasil merangsek masuk ke dalam lebih dari 90 organisasi di seantero negeri, yang sebagian besar modusnya melibatkan penerapan ARTEX. Sosok otak kejahatan berusia 32 tahun di balik rentetan peretasan ini disinyalir pernah berkarier di sebuah perusahaan keamanan siber profesional antara tahun 2019 sampai 2022, di mana ia mengumpulkan keahlian teknis mendalam perihal pengujian penetrasi sistem.
Dalam 38 peristiwa pembobolan yang terjadi, sindikat kejahatan tersebut menuntut pembayaran tebusan dengan nilai akumulatif mencapai 360 juta won (setara 270.000 dolar AS) sebagai syarat penjaminan agar berkas curian tidak disebarluaskan ke publik. Tidak kurang dari 8,2 juta data sensitif diperkirakan telah sukses dijarah dari berbagai sistem organisasi yang menjadi korban peretasan.
Beberapa kampanye serangan siber lainnya yang mengintegrasikan kapabilitas kecerdasan buatan yang sukses didokumentasikan oleh para peneliti dalam beberapa pekan terakhir terangkum pada uraian berikut –
"Kecerdasan buatan saat ini bertindak sebagai pengganda kekuatan penyerang sekaligus memperluas bidang permukaan ancaman baru secara simultan," papar perwakilan Rapid7. "Teknologi generative AI secara masif mengakselerasi metode-metode peretasan konvensional dengan memangkas kebutuhan waktu pengerjaan, tuntutan keterampilan teknis tingkat tinggi, serta kerumitan koordinasi manusia yang sebelumnya diwajibkan untuk mengeksekusi operasi siber berskala masif."
"Alih-alih melahirkan kelompok metode eksploitasi celah yang sama sekali baru, para peretas memilih menyatukan teknologi AI ke dalam alur kerja penyerangan mereka guna memproduksi penipuan phishing skala industri, mengotomatisasi pengintaian sasaran, dan memoles ketajaman skrip serangan berbahaya dengan kecepatan dan presisi yang jauh lebih mengerikan."
