Enam Vendor Sudah Jual Produk Identitas Agen AI, Standar IETF Masih Jauh Panggang

Enam pemasok teknologi telah meluncurkan produk identitas untuk agen kecerdasan artifisial, namun standar resmi yang menjadi acuan bersama belum juga rampung di Internet Engineering Task Force (IETF). Kondisi ini menciptakan paradoks: pasar bergerak lebih cepat daripada kesepakatan teknis yang seharusnya menjamin keamanan dan interoperabilitas.

Peta persaingan terbelah menjadi dua kubu. Kubu pertama menjadikan ID-JAG—draf internet yang disebut paling mendekati standar pertukaran token untuk identitas agen—sebagai fondasi. Okta melalui Agent SSO yang tersedia umum sejak 24 Agustus 2026 memakai ID-JAG untuk otorisasi lintas aplikasi. Perusahaan itu mengandalkan protokol Cross-App Access yang diadopsi kelompok kerja OAuth IETF pada September 2025 dan telah diadopsi ke dalam MCP sebagai ekstensi Enterprise-Managed Authorization. Sebanyak 25 mitra lebih, termasuk Anthropic, Zoom, Slack, dan Cloudflare, disebut mendukung langkah tersebut. Strategi Okta jelas: menjadikan ID-JAG sebagai standar de facto melalui jangkauan distribusi.

Descope mengambil jalur serupa tetapi lebih dalam. Agentic Identity Hub 3.0 yang dirilis 15 Oktober 2026 menempatkan otorisasi native MCP langsung di lapisan gateway, serta menerbitkan dan memvalidasi ID-JAG sehingga agen bisa memperoleh token akses antar penyedia identitas tanpa layar persetujuan terpisah untuk setiap koneksi. Descope mengklaim telah mengamankan jutaan agen dan lebih dari 1.000 server MCP terlindungi, termasuk yang ada di toko aplikasi Claude dan ChatGPT. Perusahaan ini juga menambahkan alur onboarding request-justify-approve-review agar setiap agen memiliki tujuan terdokumentasi, pemilik yang bertanggung jawab, dan akses least-privilege. Dukungan identitas beban kerja SPIFFE dan mutual TLS melengkapi posisi mereka.

Kubu kedua sama sekali tidak berlabuh pada ID-JAG. Mereka membangun lapisan tata kelola yang netral protokol, memberlakukan kebijakan apa pun format token yang dibawa agen. Postman Fabric Gateway yang dikirim 29 September 2026 mengatur lalu lintas HTTP, gRPC, MCP, dan A2A melalui registri terpadu dan lapisan perantara kredensial yang menangani OAuth serta kunci yang dikelola vault. Postman mengelola bidang kendali, sementara pelanggan menjalankan bidang data di VPC mereka sendiri. Satu titik akhir menjangkau lebih dari 1.000 penyedia LLM, menjadikannya permukaan distribusi terbesar di ekonomi API.

ServiceNow AI Passport yang diumumkan 15 Oktober dan tersedia pada kuartal IV 2026 menambatkan identitas agen pada konteks bisnis perusahaan. Setiap agen menerima kredensial bertanda tangan kriptografis yang diverifikasi saat runtime terhadap CMDB, kebijakan GRC, dan persetujuan alur kerja ServiceNow. Sistem ini dibangun di atas keluarga spesifikasi AIMS dan WIMSE, bukan ID-JAG. Penegakannya bertingkat: pengalihan, pembatasan, penyambungan ulang, dan tombol mati berkecepatan mesin. Deteksi shadow AI menemukan agen tak disetujui yang sudah berjalan di jaringan. ServiceNow mengutip riset Gartner bahwa rata-rata perusahaan Fortune 500 akan mengelola lebih dari 150.000 agen pada 2028.

Cequence Agent Trust yang diluncurkan 7 Oktober 2026 menempuh sudut berbeda: deteksi perilaku. Dibangun di atas analisis lalu lintas bot dan API yang telah lama dipakai Cequence, produk ini memadukan registri identitas agen netral protokol dengan verifikasi biometrik untuk mengidentifikasi agen pada tingkat transaksi. Ia dapat memblokir, memperlambat, atau menantang permintaan berbahaya tertentu sambil meloloskan aktivitas sah. Riset Cequence September 2026 menemukan lalu lintas agen Meta Muse mencapai lebih dari separuh pelanggan yang diteliti, dengan Muse menyamar sebagai browser Chrome biasa alih-alih mengaku sebagai agen AI.

Microsoft Entra Agent ID yang tersedia umum sejak April 2026 menempati posisi tersendiri. Ia memperkenalkan konstruksi identitas khusus—berbeda dari registrasi aplikasi generik—dengan tiga komponen: Agent Identity sebagai principal layanan khusus, Agent Identity Blueprint sebagai templat kredensial dan konfigurasi, serta Agent User Account opsional sebagai objek pengguna pendamping. Penugasan sponsor manusia, paket akses dengan alur kedaluwarsa, dan kebijakan Conditional Access memberikan kendali siklus hidup yang sudah dikenal perusahaan. Didukung di Copilot Studio, Security Copilot, Azure AI Foundry, dan Microsoft Agent 365, Entra Agent ID memakai alur OAuth 2.0, MCP, dan A2A tetapi tidak secara spesifik mengimplementasikan ID-JAG.

Perbedaan dua kubu bukan catatan teknis kecil. Inilah fakta utama yang dihadapi para pengambil keputusan teknologi hari ini. Vendor membangun di atas subset spesifikasi yang berbeda—ID-JAG, AIMS, WIMSE, atau heuristik perilaku semata—sehingga tidak ada perusahaan yang bisa memilih satu tumpukan patuh standar dan yakin akan saling terhubung dengan yang lain. Kelompok kerja agentproto IETF memang aktif, tetapi lingkupnya masih diperdebatkan: 154 peserta mendukung pembentukan kelompok, hanya 38 yang menyetujui piagam yang diusulkan. Itu sinyal bahwa konsensus tentang apa arti identitas agen pun masih dalam proses.

Bagi para pengembang, saran praktisnya adalah memisahkan keputusan identitas dari keputusan penegakan. Pilih pendekatan identitas yang mampu menjembatani protokol—seperti penerbitan dan validasi ID-JAG dari Descope atau perantara netral protokol dari Postman—lalu pilih lapisan penegakan yang cocok dengan infrastruktur yang sudah ada. Bagi investor, tesis tata kelola sebagai parit kompetitif kini terlihat nyata di enam kategori produk berbeda. Vendor yang menguasai lapisan penegakan kebijakan, perantara kredensial, dan audit di antara agen dan sistem yang mereka sentuh sedang menulis standar dalam bentuk kode. Spesifikasi resmi akan menyusul.

Di Indonesia, celah ini relevan bagi perusahaan yang mulai mengadopsi agen AI untuk layanan pelanggan, otomasi back-office, atau analisis data. Tanpa standar yang mapan, integrasi antar platform berpotensi menimbulkan celah keamanan dan biaya kepatuhan yang lebih tinggi. Regulator seperti OJK dan BSSN perlu mencermati perkembangan ini agar kerangka keamanan siber nasional tidak tertinggal dari praktik vendor global. Pertanyaannya, apakah perusahaan akan menunggu standar IETF rampung atau mengambil risiko membangun di atas fondasi yang belum seragam?