Laporan terbaru Datadog, Inc. (DDOG), State of Cloud Security 2026, mengungkapkan bahwa median jumlah kerentanan berkategori high atau critical pada layanan cloud yang dianalisis meningkat empat kali lipat, dari empat pada Februari 2026 menjadi sekitar 16 pada November 2026.
Temuan ini menunjukkan bahwa fenomena yang disebut sebagai “vulnpocalypse” bukan sekadar kekhawatiran teoretis. Aplikasi cloud kini menghadapi semakin banyak celah keamanan, sehingga diperlukan fondasi keamanan cloud yang mampu membatasi ruang gerak penyerang ketika sebuah aplikasi berhasil disusupi.
Penggunaan Kunci API AI dengan Masa Berlaku Panjang Memperluas Akses Penyerang
Membatasi dampak dari aplikasi yang berhasil disusupi juga berarti melindungi kunci API yang digunakan aplikasi tersebut untuk mengakses ke layanan lain. Lebih dari satu dari lima organisasi yang dianalisis oleh Datadog menggunakan layanan AI berbasis cloud. Untuk memudahkan penggunaan layanan tersebut, penyedia cloud menawarkan kunci API dengan masa berlaku panjang (long-lived API key) yang dapat tetap aktif hingga dicabut. Jika kunci tersebut dicuri, penyerang memiliki lebih banyak waktu untuk menyalahgunakannya.
Baca Juga: Perkuat Kedaulatan AI Nasional, Lintasarta Kembangkan Ekosistem Teknologi Lewat Platform Deka LLM
Datadog menemukan bahwa hampir separuh dari organisasi yang menggunakan Google Gemini memakai kunci API dengan masa berlaku panjang. Sementara itu, 17% organisasi pengguna Amazon Bedrock menggunakan kunci API dengan karakteristik serupa.
“Penyerang tidak perlu menggunakan model AI mereka sendiri jika mereka dapat mencuri kunci API yang digunakan untuk mengakses model AI milik Anda,” ujar Andrew Krug, Head of Security Advocacy di Datadog. “Saat mengembangkan aplikasi AI, tim sebaiknya menggunakan akses sementara (temporary access) jika memungkinkan, daripada meninggalkan kunci API yang dapat terus digunakan selama bertahun-tahun.”
Penyerang kini telah mulai menguji kredensial cloud yang dicuri untuk memperoleh akses ke layanan AI. Datadog Security Labs baru-baru ini menemukan sejumlah perangkat yang dirancang untuk menguji apakah kredensial AWS hasil curian dapat digunakan untuk mengakses Amazon Bedrock. Para peneliti juga menemukan aktivitas serupa di lingkungnan cloud milik 12 organisasi selama periode 30 hari.
Serangan Rantai Pasok (Supply Chain Attacks) Membuka Jalur Lain untuk Memperoleh Kredensial Cloud.
Laporan ini mengungkapkan bahwa setiap cloud workload rata-rata bergantung pada 149 paket perangkat lunak (software packages) dengan lebih dari separuhnya merupakan dependensi tidak langsung (indirect dependencies), yakni paket yang digunakan melalui ketergantungan pada paket lainnya. Sebanyak 60% organisasi menjalankan aplikasi cloud menggunakan versi paket perangkat lunak yang dirilis kurang dari 24 jam sebelumnya. Secara keseluruhan, 21% aplikasi cloud yang dianalisis,menggunakan paket yang baru dirilis dalam kurun waktu kurang dari 24 jam.
Meski paket perangkat lunak yang baru dirilis tidak selalu berisiko, temuan tersebut menunjukkan betapa cepatnya versi paket yang telah disusupi dapat menjangkau aplikasi cloud. Malware Shai-Hulud 2.0 menunjukkan potensi risiko tersebut: malware ini menelusuri sistem yang terinfeksi untuk mencari kredensial cloud.
Meski demikian, laporan ini juga menunjukkan adanya kemajuan dalam membatasi jangkauan penyerang, bahkan ketika mereka memiliki kredensial yang valid. Sebanyak 55% organisasi pengguna AWS telah menerapkan data perimeter, meningkat dari 40% pada 2025.
“Seiring meningkatnya kerentanan keamanan, pertanyaan utamanya adalah seberapa sejauh penyerang dapat menembus sistem melalui satu aplikasi yang berhasil disusupi,” ujar Emilio Escobar, Chief Information Security Officer Datadog. “Tim perlu memperbaiki kerentanan tersebut sekaligus membatasi dampak jika sebuah aplikasi berhasil disusupi. Kredensial sementara (temporary credentials) dan data perimeter dapat membatasi akses penyerang, sementara visibilitas terpadu terhadap aplikasi, identitas, dan infrastruktur membantu tim Security dan Engineering mengendalikan serangan sebelum menyebar lebih luas. Di era AI, keamanan menjadi bagian dari tantangan observability: serangan yang berdampak pada seluruh sistem tidak dapat dihentikan tanpa visibilitas menyeluruh terhadap sistem tersebut.”
