Bayangkan tim keamanan siber sebuah fintech Jakarta sedang menggelar simulasi serangan pada sistem internal mereka. Mereka memasukkan kode aplikasi ke GitHub dengan pengaturan 'public'—tanpa sadar menyertakan file konfigurasi berisi kunci API dan kredensial database. Lima belas menit kemudian, laporan otomatis muncul: sebuah model bahasa besar telah mengidentifikasi dan mengekstrak semua kredensial itu—bukan manusia, bukan scanner tradisional, tapi Gemini.
Apa yang Sebenarnya Dilakukan Gemini dalam Uji Keamanan?
Dilansir TechInAsia, Google tidak menggunakan Gemini sebagai asisten biasa dalam uji keamanan internal—melainkan sebagai 'penyusup terlatih'. Dalam dua skenario terpisah, model ini diberi akses ke repositori kode publik (seperti GitHub atau GitLab) dan diminta mencari pola kebocoran sensitif: kunci API, token OAuth, password hardcoded, atau credential database. Hasilnya? Gemini berhasil mengenali dan mengekstrak kredensial dari tiga perusahaan berbeda—dua di antaranya adalah startup berbasis di Asia Tenggara, termasuk satu yang beroperasi di Indonesia.
Tidak ada eksploitasi aktif atau akses ke sistem produksi. Tapi temuan itu cukup untuk memicu audit ulang kebijakan DevSecOps di ketiga perusahaan tersebut. Yang mengejutkan bukan hanya akurasinya—tapi kecepatan dan ketepatan deteksinya dibandingkan alat SAST/DAST konvensional. Gemini tidak hanya mengandalkan regex atau signature; ia memahami konteks struktur kode, nama variabel, dan pola penggunaan kredensial dalam berbagai bahasa pemrograman—termasuk Go, Python, dan TypeScript.
Baca juga: LG Uplus dan OptAI Uji Token AI untuk Efisiensi Layanan
Bukan Bug, Tapi Fitur Tersembunyi yang Mengubah Permainan
Inilah inti yang jarang diungkap: kemampuan Gemini mendeteksi kebocoran bukan fitur resmi yang dipromosikan Google. Ia muncul secara organik dari kapasitas pemahaman konteks tingkat tinggi—dan justru menjadi senjata ganda. Di satu sisi, bisa dipakai oleh tim keamanan untuk proactive scanning. Jika jatuh ke tangan pelaku, sama artinya dengan memberi mereka asisten AI yang mampu menjelajahi ribuan repositori publik dalam hitungan detik, lalu menyaring hanya yang bernilai tinggi.
Menurut TechInAsia, salah satu startup yang terdeteksi sempat mengabaikan peringatan GitHub tentang 'secrets scanning' karena menganggapnya false positive—padahal Gemini menemukan kredensial valid yang sudah aktif selama 117 hari. Ini mengungkap celah kritis: alat otomatis yang tersedia memang ada, tapi adopsinya masih rendah di kalangan startup Indonesia. Survei APJII 2023 menunjukkan hanya 28% UMKM digital yang menerapkan kebijakan manajemen secret secara formal—sisanya mengandalkan praktik manual atau tidak punya kebijakan sama sekali.
Baca juga: Bolttech dan Bold Penguin Bentuk Aliansi Asuransi Global Berbasis AI
Yang lebih penting: Gemini tidak membutuhkan akses khusus ke server atau infrastruktur. Cukup dengan kode yang tersedia di ruang publik—dan itu banyak. Data GitHub menyebut lebih dari 4,2 juta repositori publik di-hosting di platform itu pada Q1 2024, dengan rata-rata 12% mengandung setidaknya satu jenis credential yang terbocorkan. Di Indonesia, jumlah repositori publik bertumbuh 63% year-on-year—tapi tingkat pembersihan secret-nya belum diimbangi.
Ini bukan soal kecerdasan buatan yang 'terlalu pintar', melainkan soal ketimpangan antara kecepatan inovasi teknis dan kelambanan adopsi praktik keamanan dasar. Startup tidak perlu menunggu AI untuk mengingatkan—mereka bisa mulai hari ini dengan langkah konkret: mengaktifkan GitHub Advanced Security, memasang pre-commit hook untuk deteksi secret, dan melatih developer lewat simulasi seperti 'Git Leak Challenge' yang dikembangkan oleh Komunitas Keamanan Siber Indonesia (KKS-ID).
Rangkuman dampak langsung dari temuan ini jelas: kredensial yang dulu bisa 'bersembunyi' di balik kompleksitas kode kini terlihat jelas oleh mesin yang tidak lelah, tidak bosan, dan tidak butuh bayaran. Bagi startup, ini bukan ancaman abstrak—melainkan panggilan nyata untuk mengganti mindset dari 'kita aman karena tidak terlihat' menjadi 'kita aman karena tidak meninggalkan jejak'. Dan bagi regulator, ini harus jadi dasar revisi pedoman keamanan siber bagi pelaku usaha digital—bukan hanya soal enkripsi, tapi juga soal disiplin publikasi kode.