# Peta izin tool agen AI

Sumber diperiksa. Metode: https://kompli.id/metodologi/.

Petakan satu tindakan per baris: siapa boleh menjalankan, objek apa, efek apa dan bukti penolakannya. Persetujuan tidak menggantikan pemeriksaan hak pengguna.

URL kanonis: https://kompli.id/template/izin-tool-agen-ai/
Sumber diakses: 2026-10-01
Diperbarui: 2026-10-01
Penulis: Kompli
Sumber diperiksa: 2026-10-01

## Isi per tindakan yang dapat dijalankan

Gunakan satu baris per tool dan tindakan. Tool yang membaca, membuat draf dan mengirim pesan memerlukan baris berbeda bila objek, izin atau efeknya berbeda. Mulai dengan tool yang sudah tersedia; jangan memberikan akses luas hanya untuk mempermudah agen.

[Inventaris penggunaan AI](/template/inventaris-penggunaan-ai/) mencatat fitur, tujuan dan pemilik secara umum. Lembar ini mencatat kebijakan eksekusi. [Matriks uji hak akses](/template/pengujian-hak-akses-aplikasi/) tetap tempat merinci pengguna/objek dan bukti uji; tautkan hasilnya dari sini.

## Contoh terisi dari lab lokal

Contoh memakai tool `queue-message` pada [lab keamanan AI 1.0](/unduhan/lab-keamanan-ai-v1.zip). Data dan identitas buatan; tidak ada email dikirim. Run Node 24.21.0 pada 1 Oktober 2026 memeriksa batas eksekusi, bukan perilaku LLM.

| Catatan | Isian contoh |
| --- | --- |
| Tool / tindakan | AGENT-LAB-01; `queue-message`; menambah satu pesan buatan ke array lokal. |
| Pemilik / versi | Operator fixture; lab 1.0; kebijakan izin pengguna memiliki nomor versi. |
| Identitas / kewenangan | `alice`, pelanggan A, hak send aktif; konteks server, bukan parameter model. |
| Objek / data / penerima | Objek `A-1`; penanda buatan; penerima hanya `A@example.invalid`. |
| Parameter / batas | Resource, penerima dan isi maksimal 200 karakter; field tambahan atau tool lain ditolak. Batas khusus lab. |
| Persetujuan | Pengguna, pelanggan, hash tindakan yang dinormalisasi, versi izin, satu pemakaian; berlaku 60 detik pada jam simulasi lab. |
| Efek / pembatalan | Satu item lokal; pembatalan sebelum eksekusi menolak tindakan; belum ada efek eksternal yang perlu ditarik. |
| Uji / bukti | Isi berubah ditolak; expired/cancelled/revoked ditolak; tindakan sah diterima sekali; replay ditolak; `observed.json`. |

Unduhan kosong tidak memuat isian AGENT-LAB-01. Waktu dan ukuran contoh bukan rekomendasi universal untuk agen produksi.

## Periksa persetujuan dan penolakan

Pihak yang menyetujui harus memahami objek, penerima dan efeknya. Jika parameter berubah, persetujuan lama tidak berlaku. Periksa lagi hak pengguna saat eksekusi; persetujuan tidak menaikkan peran pengguna.

Tuliskan penolakan yang diharapkan untuk pengguna lain, objek pelanggan lain, izin dicabut, tenggat, pembatalan, perubahan isi serta pengulangan. Catat juga tindakan sah agar sistem tidak hanya menolak semua permintaan.

## Tetapkan pemilik efek dan penghentian

Tuliskan bagaimana tindakan dihentikan, apakah efek dapat dibatalkan, serta siapa meninjau kegagalan atau status yang tidak pasti. Untuk integrasi nyata, pastikan pengulangan setelah timeout tidak menciptakan efek kedua; satu proses lab belum membuktikan idempotensi sistem produksi.

Jangan memasukkan token, password, data pelanggan atau prompt rahasia ke worksheet. Simpan referensi bukti di tempat terbatas. Lanjutkan ke [panduan tindakan agen](/panduan/ai/hak-akses-dan-tindakan-agen-ai/) dan [evaluasi sebelum rilis](/panduan/ai/evaluasi-fitur-ai/).

Penjelasan kontrol merujuk OWASP AI Agent Security Cheat Sheet dan diadaptasi dalam bahasa Indonesia dengan [CC BY-SA 4.0](https://creativecommons.org/licenses/by-sa/4.0/). Format lembar dan contoh Kompli disusun untuk membantu pencatatan; bukan bukti sertifikasi.

Versi template: 1.0

## Lembar kosong

| Kolom dan petunjuk | Isian Anda |
| --- | --- |
| **Tool dan tindakan** — Nama tool, satu tindakan, tujuan dan ID; pisahkan membaca, membuat draf dan menjalankan perubahan. | |
| **Pemilik dan versi kebijakan** — Pemilik layanan, versi tool/konfigurasi/kebijakan serta waktu review dan perubahan. | |
| **Identitas dan kewenangan** — Pengguna/peran, pelanggan, identitas layanan dan asal autentikasi; siapa boleh menyetujui. | |
| **Objek, data dan penerima** — Batas objek/pelanggan, klasifikasi data, asal data dan tujuan/penerima yang diizinkan. | |
| **Parameter dan batas** — Skema/field, ukuran, jumlah langkah, waktu dan biaya; tool/parameter yang ditolak. | |
| **Persetujuan tindakan** — Isi yang ditampilkan, identitas/objek/parameter terikat, tenggat, pembatalan, versi izin dan pemakaian ulang. | |
| **Efek, pengulangan dan penghentian** — Efek samping, ID operasi/idempotensi, status tidak pasti, cara menghentikan serta batas pembatalan. | |
| **Kasus uji dan bukti** — Tindakan sah; pengguna/objek lain, hak dicabut, perubahan isi, expired/cancelled/replay; hasil, gap dan pemilik tindak lanjut. | |

[Unduh versi kosong (.md)](https://kompli.id/unduhan/izin-tool-agen-ai.md) · [Unduh lembar kosong (.csv)](https://kompli.id/unduhan/izin-tool-agen-ai.csv)

## Sumber rujukan

- [AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html) — Bagian 1, 4–6 dan 9: izin tool, integritas persetujuan, pencatatan dan uji penolakan; format worksheet orisinal.

## Perlu membahas kebutuhan tim Anda?

Ceritakan penggunaan AI di tim Anda dan hal yang ingin dipersiapkan.

[Konsultasikan kebutuhan Anda](https://kompli.id/konsultasi/?topik=ai)

## Bacaan terkait

- [Membatasi hak akses dan tindakan agen AI](https://kompli.id/panduan/ai/hak-akses-dan-tindakan-agen-ai/)
- [Mengamankan data RAG dari sumber hingga penghapusan](https://kompli.id/panduan/ai/keamanan-data-rag/)
- [Template inventaris penggunaan AI perusahaan](https://kompli.id/template/inventaris-penggunaan-ai/)
- [Template matriks pengujian hak akses aplikasi](https://kompli.id/template/pengujian-hak-akses-aplikasi/)