Mewujudkan Ekosistem yang Tak Tertandingi

Selama lebih dari dua dekade, Roblox telah menjalankan misi untuk menghubungkan satu miliar orang dengan optimisme dan kesopanan. Misi tersebut didasarkan pada kepercayaan—kepercayaan bahwa platform ini aman bagi lebih dari 120 juta pengguna aktif harian¹ yang menciptakan, bermain, dan membangun komunitas. Menjaga kepercayaan tersebut membutuhkan program keamanan yang dirancang untuk menghadapi tantangan yang belum pernah terjadi sebelumnya di industri ini.

Sebagian besar tim keamanan perusahaan melindungi kode yang ditulis oleh insinyur mereka sendiri, sistem yang dioperasikan oleh tim mereka sendiri, dan data yang dihasilkan oleh bisnis mereka sendiri. Di Roblox, itu hanyalah sebagian kecil dari gambaran keseluruhan. Platform kami didukung oleh jutaan kreator eksternal, ekonomi virtual yang aktif, dan infrastruktur yang mencakup pusat data milik sendiri, lingkungan cloud sementara, serta layanan internal. Semua ini berjalan secara bersamaan, dan semuanya memerlukan perlindungan yang konsisten. Tantangan keamanan yang ditimbulkan oleh hal ini benar-benar berbeda dari apa pun di dunia teknologi. Di bawah ini, saya akan berbagi bagaimana kami memandang tantangan tersebut, apa yang telah kami bangun untuk mengatasinya, dan ke mana arah kami selanjutnya.

Ekosistem yang Tidak Ada Duanya

Selain mengamankan kode yang dihasilkan oleh tim kami sendiri, model bisnis Roblox melibatkan eksekusi kode yang tidak terpercaya yang ditulis oleh jutaan kreator eksternal. Setiap hari, Roblox menjalankan skrip dari kreator yang mungkin baru, kurang berpengalaman, dan, sesekali, berniat mengelabui sistem perlindungan kami. Itulah mengapa model keamanan kami harus berasumsi bahwa setiap potongan kode berpotensi berbahaya atau rentan dieksploitasi. Sandboxing, isolasi, dan pemantauan saat runtime bukan sekadar fitur tambahan di sini; ketiganya merupakan fondasi di mana seluruh platform beroperasi.

Infrastruktur yang menopang platform ini sama kompleksnya. Mengamankan Roblox berarti menjaga visibilitas ancaman dan penegakan kebijakan yang konsisten di seluruh lingkungan yang sangat berbeda: mulai dari pusat data milik sendiri dengan batas yang tetap hingga instans cloud sementara yang muncul dan menghilang dalam hitungan detik. Hal ini membutuhkan otomatisasi dan tata kelola domain yang mampu beroperasi pada kedua kecepatan tersebut secara bersamaan. Dan tidak seperti keamanan perusahaan tradisional, di mana aset utamanya adalah data dan sistem internal, permukaan serangan Roblox mencakup ekonomi yang aktif: jutaan item virtual yang dijual dengan mata uang yang memiliki nilai moneter nyata, kekayaan intelektual (IP) buatan pengguna yang menjadi sumber penghasilan para kreator, serta infrastruktur obrolan yang melayani puluhan juta orang. 

Jika terjadi pelanggaran, ini bukan sekadar insiden data, melainkan kerugian langsung bagi orang-orang nyata dan pendapatan nyata. Kenyataan itulah yang membentuk setiap keputusan yang kami ambil. Tujuan utama kami adalah menjadikan Roblox sebagai platform game paling aman dalam skala besar: sebuah platform tempat para kreator dan pemain dapat beraktivitas tanpa perlu memikirkan keamanan siber. Kami mengukur kemajuan berdasarkan insiden yang berhasil dicegah, seberapa cepat tim dapat meluncurkan produk dengan aman, seberapa luas platform internal kami diadopsi, serta penelitian yang kami kontribusikan kepada komunitas yang lebih luas.

Keamanan sebagai Pendorong, Bukan Penjaga Gerbang

Model keamanan perusahaan yang didorong oleh kepatuhan sudah berakhir. Tim keamanan yang hanya datang dengan persyaratan dan membiarkan mitra mencari cara untuk mengimplementasikannya pasti akan gagal. Bukan karena para insinyur tidak peduli dengan keamanan, tetapi karena tidak efisien jika ribuan insinyur harus mengimplementasikan kontrol keamanan khusus secara manual. Jika platform itu sendiri tidak aman secara default, keamanan tidak dapat berskala.

Roblox membalikkan model yang didorong oleh kepatuhan dengan membangun produk internal yang menjadikan jalur aman sebagai jalur yang mudah, tanpa menghilangkan tanggung jawab pengembang. Dalam praktiknya, hal ini berarti kunci rahasia berganti secara otomatis, sehingga tidak ada insinyur yang perlu mengingat untuk memperbarui kredensial. Kami berupaya mewujudkan komunikasi antar-layanan yang diautentikasi secara default, tanpa insinyur harus mengkonfigurasinya sendiri, sebagai panduan utama kami. Kartu skor keamanan memberikan setiap tim gambaran real-time mengenai postur keamanan mereka. Pilihan yang aman sudah tersedia—kartu skor hanya menunjukkan apakah pilihan tersebut digunakan dan di mana masih ada ruang untuk perbaikan.

Penerapan AI yang Bijaksana di Lingkungan yang Berkembang Pesat

Saat industri mendiskusikan cara menangani alat AI—beberapa perusahaan mengizinkannya tanpa kontrol, sementara yang lain melarangnya sepenuhnya—Roblox mengambil pendekatan berbeda. Kami memandang adopsi AI sebagai masalah teknik dan keamanan yang perlu diselesaikan, serta berbagi pengetahuan yang kami peroleh dengan komunitas yang lebih luas. Adopsi yang bijaksana di Roblox berarti kami menguji, membangun kontrol, lalu mempercayai dan memantau. 

Sebelum menyetujui penggunaan alat kode AI secara internal, misalnya, kami membangun lingkungan sandbox. Validasi yang ketat semacam itu mengatur bagaimana setiap alat AI baru disetujui untuk penggunaan internal. Tujuannya bukan untuk memperlambat proses; melainkan untuk memastikan bahwa saat kami bergerak cepat, kami tidak menciptakan risiko yang baru terdeteksi ketika sudah terlambat. Dengan cara ini, kami membangun keahlian praktis dalam keterampilan yang saat ini sangat dicari oleh industri—permintaan akan keterampilan keamanan siber terkait AI telah meningkat 2,5 kali lipat sejak tahun 20202.

Komitmen Kami terhadap Komunitas

Keamanan Informasi pada dasarnya merupakan masalah pertahanan kolektif. Tidak ada tembok perusahaan yang cukup tinggi untuk menahan penyerang yang termotivasi sendirian, dan industri ini hanya akan semakin kuat ketika para praktisi berbagi apa yang telah mereka pelajari. Lanskap ancaman akan terus berkembang—AI mempercepat ancaman dan aktor ancaman—begitu pula pendekatan Roblox dalam menghadapinya. Yang tidak akan berubah adalah komitmen kami kepada para kreator yang mempercayakan karya dan mata pencaharian mereka kepada kami, para pemain yang hadir setiap hari dengan harapan mendapatkan pengalaman yang aman, serta komunitas keamanan yang lebih luas yang dengan bangga kami jadikan bagian dari diri kami.

Keamanan dalam skala sebesar ini, dengan tingkat kompleksitas setinggi ini, tidak memiliki garis finis. Namun, filosofi kami tetap konsisten: Membangun sistem yang menjadikan keamanan sebagai standar, bukan pengecualian. Berinvestasi dalam penelitian dan perangkat yang mampu mengimbangi lanskap ancaman yang terus berkembang. Dan berbagi apa yang kami pelajari agar seluruh industri menjadi lebih kuat.