DECISION BRIEF 28

Tata Kelola Identitas AI Agent: Batasi Wewenang Sebelum Otonomi

Tata kelola identitas AI agent berarti setiap agent harus memiliki identitas yang unik dan dapat diverifikasi, wewenang terbatas pada tugas tertentu, serta jalur akuntabilitas yang utuh kepada manusia atau institusi. CEO sebaiknya tidak menyetujui otonomi yang lebih luas sebelum organisasi mampu mengenali agent yang bertindak, membuktikan siapa yang memberinya mandat, menegakkan izin di luar model, merekonstruksi rantai delegasi, dan mencabut akses seketika.

Implikasi kepemimpinannya jelas: agent bukan sekadar software yang memakai login. Ia adalah aktor non-human yang dapat menafsirkan tujuan, memilih tools, membuat sub-agent, melintasi security boundary, dan bertindak dengan kecepatan mesin.

Read the English version

Executive deck

Asumsi konvensionalnya adalah credential karyawan, service account, dan role-based access control yang ada cukup diperluas untuk AI agent. Asumsi ini menjadi berbahaya ketika agent mewarisi izin pengguna yang terlalu luas, memecah tugas secara tidak terduga, atau mendelegasikan pekerjaan lintas sistem dan provider.

AI mengubah persoalan identitas dalam enam hal: agent dapat bersifat sementara; authorization harus mengikuti tugas, bukan jabatan; izin dapat menumpuk sepanjang rantai; sistem lintas domain dapat menafsirkan scope secara berbeda; reasoning model bersifat probabilistik; dan manusia yang bertanggung jawab dapat hilang dari execution record.

Yang dapat diotomatisasi mencakup penerbitan identitas, task-bound token, policy check, scope attenuation, credential expiry, behavioral monitoring, evidence capture, dan revocation. Yang tetap menjadi judgment CEO adalah tindakan apa yang boleh didelegasikan, konsekuensi mana yang wajib diputuskan manusia, seberapa besar wewenang agent, siapa yang tetap bertanggung jawab, dan kapan otonomi harus dihentikan.

Evidence signal

Bukti mengarah pada satu kesimpulan control plane: identitas dan authorization harus dievaluasi pada saat tindakan akan dilakukan, bukan disimpulkan dari prompt atau dipinjam dari sesi pengguna.

Sinyal	Implikasi kepemimpinan	Cakupan dan keterbatasan
NIST menerima lebih dari 600 respons atas concept paper 2026 dan menemukan hampir semua pihak sepakat bahwa agent membutuhkan identitas non-human yang unik dan dapat diverifikasi, walau belum ada satu pendekatan teknis yang disepakati.	Masalahnya sudah cukup matang untuk tindakan eksekutif, tetapi belum cukup matang untuk satu jawaban vendor. Gunakan prinsip yang tahan lama dan uji interoperability.	Ringkasan NIST NCCoE, 29 September 2026. Dokumen ini merangkum komentar publik dan rencana demonstrasi; bukan standar final.
Ringkasan NIST menyatakan credential tugas harus kedaluwarsa, makin sempit ketika wewenang bergerak ke rantai delegasi berikutnya, dan dapat dicabut tanpa mengganggu workflow lain.	Long-lived user key dan inherited entitlement menciptakan blast radius yang tidak perlu. Wewenang harus sementara, spesifik, dan mengecil di setiap hop.	Konsensus stakeholder NIST, bukan implementation profile yang mengikat.
Threat model OpenID Foundation pada 12 Oktober mengidentifikasi kegagalan lintas boundary: identitas agent palsu, asumsi trust yang tidak sama, perluasan izin, akses yang bertahan setelah tugas selesai, dan credential curian yang dapat dipakai ulang.	Token yang valid di satu domain tidak membuktikan domain lain menafsirkan identitas, scope, atau consent secara benar. Translation adalah keputusan keamanan.	Threat model yang protocol-agnostic. Dokumen ini memetakan ancaman dan tindakan, bukan solusi lengkap.
Agent Control Standard OWASP mensyaratkan agent dapat diinspeksi, ditelusuri, diinstrumentasi, dan dikendalikan saat runtime. Sintesis insiden Q3 menunjukkan kasus ketika reachability dianggap sebagai authorization dan credential berlebih memperluas dampak.	Instruksi di prompt bukan access-control boundary. Penegakan policy harus berada di luar model dan mengendalikan penggunaan tool, data, network, dan credential yang sesungguhnya.	OWASP, 1 September dan 8 Oktober 2026. Pemetaan insiden bersifat analitis; beberapa kasus berasal dari evaluation environment.
Expanded ASEAN Guide on AI Governance and Ethics melengkapi panduan regional 2024 dengan pertimbangan generative AI.	Perusahaan Asia Tenggara perlu menghubungkan kontrol identitas agent dengan risk-based governance, accountability, privacy, security, dan human oversight yang sudah ada, bukan menunggu regulasi khusus agent.	ASEAN, Januari 2025. Panduan regional bersifat sukarela; kewajiban negara dan sektor tetap berlaku.

Sinyal tersebut tidak membuktikan satu protokol identitas akan menang. Namun semuanya menunjukkan bahwa wewenang agent tidak boleh menjadi properti implisit dari user account, API key, prompt, atau platform vendor.

Pertanyaan keputusan

Pertanyaannya bukan “Apakah agent dapat melakukan authentication?” Pertanyaannya adalah “Dapatkah perusahaan membuktikan agent mana yang bertindak, untuk tugas apa, berdasarkan mandat siapa, dengan izin apa, dan apakah izin itu masih valid tepat ketika tindakan dilakukan?”

Perbedaan ini mencegah enam kegagalan umum:

User impersonation. Agent bertindak memakai seluruh wewenang akun karyawan sehingga tindakan manusia dan mesin tidak dapat dibedakan.
Ambient privilege. Service account yang berumur panjang membuka akses yang tidak berkaitan dengan tugas saat ini.
Delegation expansion. Sub-agent menerima wewenang lebih besar daripada parent agent atau kehilangan batasan awal.
Cross-boundary ambiguity. Dua provider menafsirkan role, scope, atau consent yang sama secara berbeda.
Model-controlled authorization. Model memutuskan sendiri apakah tindakan yang diusulkannya boleh dilakukan.
Orphaned access. Tugas selesai, tetapi credential, sesi, atau background agent tetap aktif.

Asumsi konvensional yang perlu ditantang

Pola lama melakukan authorization terhadap seseorang saat login, memberinya role, lalu membiarkan aplikasi mewarisi konteks tersebut. Pola ini mengasumsikan aktornya stabil, resource yang diminta sudah diketahui, dan authorization policy bersifat deterministik.

AI agent mematahkan ketiga asumsi itu. Agent dapat membuat sub-agent sementara, menemukan tool baru, menafsirkan ulang tujuan, berhadapan dengan konten tidak tepercaya, atau menyeberang boundary organisasi setelah login awal. Mengizinkan pengguna satu kali bukan berarti mengizinkan setiap tindakan yang kemudian diciptakan agent.

Operating model karena itu membutuhkan dua plane yang terpisah. Reasoning plane mengusulkan tindakan. Control plane yang deterministik memutuskan apakah agent teridentifikasi boleh melakukannya saat itu, merekam keputusan, serta dapat menolak atau mencabut tindakan.

Point of view

Default yang direkomendasikan adalah identity before access, authority before action, dan evidence before scale. Setiap production agent harus diperlakukan sebagai identitas non-human yang dikelola, memiliki sponsor, dan memiliki lifecycle—bukan sebagai fitur tersembunyi di dalam aplikasi.

Minimum viable identity record sebaiknya mencakup stable trust anchor agent; instance atau run; provenance model dan software; principal manusia atau institusi yang akuntabel; tugas yang disetujui; domain tool dan data; delegated scope; lineage parent agent; expiry; versi policy; dan status revocation. Tidak semua field harus dibawa dalam setiap token, tetapi control plane harus dapat memverifikasinya saat runtime.

Ini tidak menuntut identity stack baru untuk setiap pilot. Yang dibutuhkan adalah memperluas identity and access management yang ada dengan task context, inventory identitas non-human, bukti delegasi, ephemeral credential, serta policy enforcement yang tidak dapat ditulis ulang oleh model.

Thought process

Rekomendasi ini mengikuti sembilan pengamatan.

Authentication menjawab terlalu sedikit. Ia membuktikan identity claim, bukan apakah tindakan yang diusulkan termasuk dalam tugas yang disetujui.
Human session terlalu luas. Menyalin izin pengguna memberi agent akses yang tidak relevan dan mengaburkan attribution.
Agent membuat agent. Delegasi harus menjaga principal awal, intent, batasan, dan scope yang terus mengecil di setiap hop.
Tugas berakhir. Credential harus kedaluwarsa bersama tugas, bukan tetap tersedia bagi prompt berikutnya atau background process.
Boundary menerjemahkan makna. Panggilan lintas provider memerlukan pemetaan eksplisit atas identifier, scope, token, trust anchor, dan sinyal revocation.
Model bersifat probabilistik. Sistem yang mengusulkan tindakan tidak boleh menjadi satu-satunya sistem yang menentukan authorization.
Prompt injection mengubah konteks. Paparan terhadap konten tidak tepercaya harus memperkecil authority atau memicu approval tambahan, bukan membiarkan izin tetap sama.
Audit membutuhkan konteks. Log bahwa API call terjadi tidak cukup tanpa request, policy decision, delegation chain, sponsor, dan outcome.
Karena itu, scale harus mengikuti authority proof. Sebelum otonomi diperluas, tes terbatas harus membuktikan identitas, least privilege, konsistensi lintas boundary, revocation, dan reconstruction.

Counterargument terkuat adalah per-action authorization menambah latency dan kompleksitas. Itu benar. Jawabannya adalah kontrol proporsional: tindakan read-only berisiko rendah dapat memakai policy yang sudah disetujui dan cached decision, sedangkan money movement, external communication, sensitive data, production change, dan pembuatan sub-agent memerlukan evaluasi runtime yang lebih ketat.

Empat opsi operasi

Opsi	Kapan dapat dipakai	Keunggulan utama	Risiko kegagalan utama
Meminjam identitas pengguna	Tugas produktivitas singkat, diawasi, dan tanpa tindakan eksternal yang berkonsekuensi.	Implementasi cepat dan jalur akses sudah dikenal.	Agent mewarisi izin yang tidak relevan; tindakan manusia dan mesin tidak dapat dibedakan.
Shared service identity	Otomasi deterministik yang sempit dengan satu owner, satu tujuan, dan tanpa delegasi.	Operasi lebih sederhana.	Banyak agent tidak dapat dibedakan; credential menetap dan kompromi meluas.
Identitas agent unik dengan static role	Agent internal yang stabil dalam satu domain terkendali.	Inventory, attribution, dan revocation lebih baik.	Static role tetap memberi izin berlebih ketika tugas dan rantai sub-agent berubah.
Task-scoped agent identity dan runtime authorization — direkomendasikan	Production agent yang melintasi tools, data domain, provider, atau boundary organisasi.	Menjaga sponsor, tujuan, least privilege, lineage, expiry, dan kontrol saat tindakan dilakukan.	Memerlukan policy engineering, uji interoperability, dan identity operations yang disiplin.

Gunakan opsi paling ringan yang sesuai dengan konsekuensi. Opsi keempat harus diwajibkan ketika agent dapat membelanjakan uang, mengubah production, mengakses sensitive data, berkomunikasi keluar, membuat credential, atau mendelegasikan tugas ke agent lain.

Lima gerbang keputusan CEO

1. Gerbang identitas dan sponsor

Wajibkan inventory lengkap production agent dan sub-agent. Masing-masing harus memiliki identitas unik atau run identity yang dapat diverifikasi, business owner, technical custodian, sponsor manusia atau institusi, dan tujuan yang disetujui.

Jika organisasi tidak dapat membedakan agent dari pengguna, agent lain, atau generic service account, organisasi tidak dapat melakukan attribution atau mencabut aktor yang tepat.

2. Gerbang tugas dan wewenang

Definisikan authority sebagai task contract: outcome yang dituju, resource yang diizinkan, tindakan terlarang, batas transaksi atau data, rentang waktu, wilayah, dan kondisi eskalasi. Terbitkan ephemeral credential yang izinnya mengecil—bukan meluas—ketika pekerjaan bergerak ke rantai delegasi berikutnya.

Prompt bukan kontrak. Kontrak harus machine-enforceable di luar model.

3. Gerbang runtime enforcement

Evaluasi setiap consequential tool call dan API interaction terhadap deterministic policy pada saat tindakan dilakukan. Sertakan identitas agent, sponsor, tugas, target resource, scope, klasifikasi data, confidence, paparan input tidak tepercaya, dan separation-of-duty requirement.

Biarkan model menyuplai konteks, bukan keputusan authorization final. Jika agent menemukan resource baru atau input mencurigakan, perkecil authority, wajibkan approval, atau hentikan.

4. Gerbang lineage dan cross-boundary

Pertahankan principal awal, intent, parent-child lineage, perubahan scope, policy decision, approval, dan execution evidence lintas agent, tool, dan provider. Uji bagaimana setiap boundary menerjemahkan identitas, consent, scope, expiry, dan revocation.

Jangan menganggap interoperability otomatis hanya karena dua sistem memakai OAuth, MCP, atau protokol umum lainnya. Syntax yang sama tidak menjamin makna yang sama.

5. Gerbang revocation dan reconstruction

Buktikan organisasi dapat menghentikan satu agent atau satu tugas tanpa mematikan workflow lain. Revocation harus mengakhiri credential, session, network path, tool access, dan sub-agent yang dibuat, lalu menjaga evidence untuk merekonstruksi kejadian.

Jika agent dapat bertindak lebih cepat daripada kemampuan organisasi mencabut dan menjelaskannya, tingkat otonominya sudah melampaui control system.

Decision rights

Tindakan CEO	Maknanya
Decide	Konsekuensi yang boleh didelegasikan; maximum agent authority; tindakan yang memerlukan human approval; sponsor accountability; serta threshold scale, escalation, dan stop.
Delegate	Identity architecture kepada CISO/CIO; policy engineering kepada tim platform dan security; task contract kepada business owner; batas legal, privacy, dan risk kepada control functions.
Instrument	Agent inventory, orphaned identity, usia credential, effective permission, per-action policy decision, kedalaman delegasi, denied action, revocation time, exception, dan kelengkapan evidence.
Escalate	Ambiguitas lintas negara atau provider, authority yang tidak dapat dinyatakan dalam policy, agregasi sensitive data, conflict of duty, lineage yang hilang, override berulang, atau revocation yang terlambat.
Stop	Agent memakai personal credential; long-lived secret untuk tugas dinamis; sub-agent dengan scope lebih luas daripada parent; model-only authorization; atau workflow yang tidak dapat dicabut dan direkonstruksi.

Business owner tetap akuntabel atas outcome. Identity dan security leader memiliki control plane. Tim platform memiliki enforcement integration. Legal, privacy, compliance, dan risk leader menetapkan consequence boundary. CEO menyelesaikan trade-off antara kecepatan, friction, biaya kontrol, dan institutional trust.

Tes kredibel terkecil selama 60 hari

Uji satu agent dalam kondisi production-like yang menjalankan tugas multi-step secara terbatas di sedikitnya dua sistem. Pilih workflow dengan konsekuensi yang bermakna tetapi dapat dibalik; jangan mulai dari keputusan keselamatan, hak, atau finansial bernilai besar yang tidak dapat dipulihkan.

Hari 1–10: bangun identity dan authority record

Inventarisasi agent, runtime, model, tools, data, credential, owner, sponsor, dan sub-agent.
Definisikan task contract, target yang diizinkan, tindakan terlarang, batas transaksi atau data, expiry, dan approval trigger.
Ukur baseline: credential yang digunakan, effective permission, authorization latency, waktu manual approval, exception rate, dan audit completeness.
Tetapkan kondisi success, failure, escalation, dan stop sebelum integration change.

Hari 11–25: pisahkan reasoning dari control

Terbitkan identitas agent yang unik dan per-run credential yang terikat pada stable trust anchor.
Tempatkan deterministic policy-enforcement point di depan setiap consequential tool dan API.
Konfigurasikan task-scoped permission, scope yang mengecil untuk sub-agent, short expiry, destination control, dan separation of duty.
Korelasikan identity, policy, tool, network, dan outcome record dengan satu run identifier.

Hari 26–45: tantang authority boundary

Coba akses data, penggunaan tool, external communication, transfer nilai, dan pembuatan sub-agent di luar scope.
Masukkan konten tidak tepercaya dan pastikan authority berkurang, approval diwajibkan, atau tindakan diblokir.
Lewati satu provider atau security boundary dan pastikan identitas, scope, expiry, dan revocation mempertahankan makna yang sama.
Cabut tugas di tengah run dan verifikasi penghentian credential, session, tool access, network path, dan seluruh descendant.

Hari 46–60: lakukan identity gate

Scale ketika setiap tindakan berkonsekuensi dapat ditelusuri ke agent/run dan sponsor yang unik; tidak ada scope anak yang melampaui parent; policy ditegakkan di luar model; revocation menghentikan seluruh rantai; dan evidence merekonstruksi request, decision, delegation, approval, serta outcome.
Redesign ketika kontrol bekerja tetapi latency, false denial, approval load, translation lintas domain, atau biaya operasi melebihi toleransi.
Stop ketika ada agent tanpa owner, credential bertahan setelah tugas, lineage hilang, model dapat melewati policy, atau revocation meninggalkan jalur menuju data, tools, uang, atau external communication.

Contoh threshold lokal: 100% tindakan berkonsekuensi dievaluasi control plane; 100% traceability ke agent, run, sponsor, dan tugas; nol permission expansion dalam rantai sub-agent; nol credential aktif setelah task expiry; revocation selesai dalam 60 detik; dan sampled run dapat direkonstruksi sepenuhnya. Ini adalah contoh desain, bukan benchmark eksternal. Setiap organisasi harus menetapkan threshold berdasarkan konsekuensi, kewajiban, arsitektur, dan risk appetite.

Decision gate

Scale AI agent hanya jika lima pernyataan berikut benar:

Agent dan setiap sub-agent memiliki identitas yang dapat diverifikasi serta sponsor yang akuntabel.
Authority bersifat task-scoped, time-bound, least-privileged, dan semakin sempit pada setiap hop delegasi.
Consequential action diotorisasi oleh deterministic control plane di luar model.
Identitas, intent, scope, lineage, expiry, dan revocation tetap utuh di setiap boundary yang dilalui agent.
Organisasi dapat mencabut seluruh rantai dan merekonstruksi setiap tindakan dari request hingga outcome.

Jika satu pernyataan salah, pertahankan agent sebagai read-only, supervised, isolated, atau terbatas pada tugas yang lebih kecil. Jangan gunakan credential pengguna yang luas atau demo yang berhasil sebagai pengganti authority evidence.

Implikasi bagi pengambil keputusan

Bagi CEO: perlakukan identitas agent sebagai keputusan business control. Tentukan konsekuensi yang boleh didelegasikan dan wajibkan authority proof sebelum memperluas otonomi.

Bagi board: tanyakan berapa banyak production agent yang ada, tindakan apa yang dapat dilakukan, wewenang siapa yang dipakai, apa yang kedaluwarsa otomatis, dan bagaimana hasil uji revocation terakhir.

Bagi CIO dan CISO: perluas identity governance ke non-human agent, pisahkan model reasoning dari authorization, dan buat scope translation lintas boundary dapat diuji.

Bagi COO dan business owner: nyatakan business task sebagai batas yang dapat ditegakkan, bukan tujuan luas. Miliki exception dan setujui consequence threshold.

Bagi legal, privacy, risk, dan compliance leader: tetapkan sponsor liability, consent, data minimization, non-repudiation, retention, dan human-approval obligation sebelum deployment.

Bagi finance leader: bandingkan biaya control plane dengan blast radius dari ambient credential, unauthorized transaction, remediation, downtime, dan hilangnya trust.

Hipotesis yang dapat diuji

Identitas agent yang unik akan mengurangi attribution gap dibanding agent yang berjalan melalui employee account atau shared-service account.
Task-scoped ephemeral credential akan mengurangi effective permission dan orphaned-access exposure tanpa menghambat workflow yang dituju.
Deterministic per-action policy enforcement akan memblokir perilaku di luar scope secara lebih andal dibanding prompt-level guardrail saja.
Delegation-chain test akan menemukan permission expansion yang tidak terlihat oleh role review biasa.
Latihan revocation seluruh rantai akan memprediksi controllability lebih baik daripada keberadaan kill switch dalam satu aplikasi.

Hipotesis ini membutuhkan data perusahaan. Bukti eksternal menentukan decision architecture; bukti tersebut tidak memprediksi penurunan risiko atau produktivitas satu organisasi.

Continue reading

Source notes

Bukti ditinjau pada 23 Oktober 2026.

NIST NCCoE, Summary of Comments on the Software and Agentic AI Identity and Authorization Concept Paper, 29 September 2026.
NIST, Back to the Future: Why Agentic AI Needs a Strong Identity Foundation, 27 Agustus 2026.
OpenID Foundation, A Protocol-Agnostic Threat Classification for Cross-Boundary AI Agent Authorization, 12 Oktober 2026.
OWASP GenAI Security Project, Agent Control Standard, 1 September 2026.
OWASP GenAI Security Project, GenAI and Agentic AI Exploit Roundup Q3 2026, 8 Oktober 2026.
ASEAN, Expanded ASEAN Guide on AI Governance and Ethics — Generative AI, Januari 2025.

Batas geografis: bukti identity dan authorization bersifat global dan dipimpin badan standar serta keamanan yang berbasis di Amerika Serikat. Panduan ASEAN memberi konteks tata kelola regional, tetapi organisasi tetap harus menerapkan kewajiban Indonesia dan sektor masing-masing.

Tentang penulis

Antovany Reza menulis CEO Decision Lab, platform keputusan independen bagi CEO dan senior leader yang AI-fluent untuk mengubah AI dan transformasi digital menjadi business value, judgment yang lebih kuat, dan eksekusi yang akuntabel.

Diskusikan keputusan ini

Agent mana di organisasi Anda yang memiliki effective authority paling luas—dan dapatkah Anda membuktikan siapa yang mensponsori setiap tindakannya? Mulai diskusi dengan Antovany Reza.

LinkedIn · X · Facebook · WhatsApp

Diskusikan keputusan bersama Antovany Reza