Apa yang terjadi
NIST, dengan dukungan CISA, menyelesaikan NIST IR 8587, 'Protecting Tokens and Assertions from Forgery, Theft, and Misuse,' menyediakan panduan implementasi untuk melindungi token/assertion yang ditandatangani secara digital (SSO, akses API) dari penyalahgunaan post-autentikasi. Publikasi dibangun di atas pembaruan NIST SP 800-53 dan merespons Executive Order 14306. Cakupan yang dipublikasikan 16 September 2026 (CSOonline) melaporkan bahwa tindakan AI-agent secara eksplisit berada di luar cakupan panduan saat ini, tetapi NIST menyatakan bahwa prinsip token-hardening yang sama harus berlaku untuk AI agent sambil mengakui bahwa risiko akses agentic-AI 'menciptakan tantangan IAM tambahan yang memerlukan panduan lebih lanjut dan, dalam beberapa kasus, standar dan protokol baru atau yang diperluas' — yaitu, NIST/CISA menandai otorisasi agent sebagai unresolved dan under active work melalui NIST AI Agent Standards Initiative yang parallel.
Mengapa penting
Ini adalah standar identitas/token security umum (bukan khusus-AI), jadi ia berada di tepi cakupan, tetapi secara langsung membentuk postur keamanan AI-agent jangka dekat: ini adalah panduan NIST yang sudah diselesaikan pertama untuk secara eksplisit menyebutkan penanganan token/otorisasi AI-agent sebagai kesenjangan standar yang diakui, dan enterprise yang menerapkan agentic AI diberitahu untuk menerapkan kontrol token-hardening sekarang sementara NIST mengembangkan ekstensi spesifik agent.
Tindakan yang diperlukan
Terapkan token-lifecycle hardening NIST IR 8587 (token berdurasi pendek, pemantauan berkelanjutan, kontrol post-auth yang lebih ketat) pada kredensial yang dipegang AI-agent sebagai ukuran interim; lacak NIST AI Agent Standards Initiative untuk standar identitas/otorisasi spesifik agent yang akan datang.