Penjual online di Indonesia menerima pesan penipuan setiap hari. Modus yang paling sering muncul ada dua. Pertama, phishing yang mengatasnamakan marketplace, lengkap dengan ancaman akun diblokir dan permintaan kode OTP. Kedua, pembeli gadungan yang mengirim screenshot bukti transfer lalu mendesak penjual mengirim barang sebelum uang masuk. Korbannya hampir selalu sama: pelaku UMKM yang panik dan tidak sempat berpikir.
SAPA lahir dari masalah itu. Nama panjangnya Scam Analysis and Protection Assistant. Ini AI agent yang dibangun di atas framework Hermes. Pengguna menempel pesan mencurigakan, SAPA mengembalikan skor risiko, daftar indikator yang terdeteksi, dan langkah aman yang spesifik.
Keputusan pertama yang kami ambil: penilaian risiko tidak boleh bergantung pada LLM. Alasannya praktis. Panggilan model itu lambat, biayanya tidak pasti, dan hasilnya bisa berubah untuk input yang sama. Untuk kasus penipuan, ketidakpastian seperti itu berbahaya. Skor 15 hari ini harus tetap 15 minggu depan.
Analyzer SAPA (analyze.py) bekerja dengan pencocokan pola dan bobot tetap. Ia membaca pesan, memeriksa lima indikator, menjumlahkan bobotnya, lalu menetapkan level risiko. Tidak ada panggilan API. Tidak ada model yang di-load. Seluruh proses selesai di bawah dua detik di VPS kecil.
Lima indikatornya:
| Indikator | Bobot | Contoh yang ditangkap |
|---|---|---|
| Permintaan kredensial (OTP, password, PIN) | 5 | "kirim OTP untuk membuka akun" |
| Tekanan waktu atau ancaman | 2 | "akun diblokir dalam 10 menit" |
| Domain mencurigakan | 3 | TLD .info, .xyz, dan sejenisnya |
| Domain mismatch | 5 | Link bukan domain resmi brand yang diklaim |
| Manipulasi urgensi | 2 | Desakan emosional agar bertindak cepat |
Contoh nyata. Pesan "Akun Tokopedia Anda akan diblokir dalam 10 menit. Klik https://tokopedia-verifikasi.info dan kirim OTP untuk membuka akun." memicu empat indikator sekaligus: permintaan OTP (5), ancaman blokir (2), TLD .info (3), dan domain mismatch karena domain resmi Tokopedia adalah tokopedia.com (5). Total 15, level TINGGI. Outputnya seperti ini:
Tingkat Risiko: TINGGI (Skor: 15)
Indikator:
1. Permintaan Kredensial Sensitif (OTP) [Bobot: 5]
2. Tekanan Waktu / Ancaman Pemblokiran [Bobot: 2]
3. Domain Mencurigakan (.info) [Bobot: 3]
4. Domain Mismatch (Bukan tokopedia.com) [Bobot: 5]
Rekomendasi:
* JANGAN klik link atau memberikan OTP kepada siapa pun.
* Buka aplikasi resmi Tokopedia atau ketik tokopedia.com manual.
* Siapkan draf laporan ke kanal resmi Tokopedia.
Sebaliknya, notifikasi operasional biasa seperti "Pesanan Tokopedia sudah diterima. Kami akan mengirim nomor resi melalui aplikasi resmi." tidak memicu indikator apa pun. Skor 0, level RENDAH, dan rekomendasi singkat: proses sesuai alur resmi. Kemampuan membedakan ini penting. Sistem yang menandai semua pesan sebagai penipuan akan diabaikan pengguna dalam seminggu.
Ada juga zona abu-abu. Pesan seperti "Customer kirim screenshot bukti transfer. Segera kirim barang tanpa menunggu saldo masuk." mendapat skor 6, level SEDANG. SAPA tidak menghakimi, ia mengingatkan: jangan kirim barang hanya berdasar screenshot, cek mutasi rekening resmi dulu.
Bagian tersulit bukan logika scoring. Bagian tersulit adalah memastikan sistem gagal dengan aman. Alat AI yang membocorkan nomor HP atau rekening pengguna lebih buruk daripada tidak ada alat sama sekali. Tiga keputusan privasi kami buat sejak hari pertama.
Pertama, sensor PII otomatis. Sebelum analisis, sistem mengubah nomor HP, email, kode OTP, dan nomor rekening menjadi token seperti [NOMOR_HP_2] dan [EMAIL_2]. Nilai aslinya tidak pernah disimpan di mana pun.
Kedua, inspeksi URL pasif. SAPA memeriksa kecocokan domain lewat kamus lokal (domains.json) berisi 12 domain brand resmi. URL tidak pernah dibuka. Tidak ada request HTTP yang keluar. Ini menyembunyikan IP server dari penyerang dan mencegah kebocoran data ke pihak ketiga.
Ketiga, penyimpanan berbasis consent. Secara default SAPA tidak menyimpan apa pun. Kalau pengguna ingin menyimpan hasil pindaian untuk ditinjau nanti, sistem meminta persetujuan eksplisit dulu. Yang tersimpan hanya metadata: skor, daftar indikator, kategori. Teks pesan asli tidak pernah ditulis ke disk. Modul storage.py mendukung simpan, lihat, ambil, hapus, dan hapus semua. Setiap tulis butuh consent. Setiap hapus bersifat langsung dan permanen.
Pendekatan ini selaras dengan UU Perlindungan Data Pribadi No. 27 Tahun 2022, yang mensyaratkan persetujuan sebelum pengumpulan data pribadi dan memberi pengguna hak penghapusan.
Kami menyusun 30 kasus sintetis: 10 penipuan terkonfirmasi, 10 pesan normal, 10 pesan ambigu. Setiap kasus punya level risiko ekspektasi dan daftar indikator yang harus terdeteksi.
Hasilnya:
Self-test berjalan dengan satu perintah dan selesai dalam hitungan detik. Tidak butuh GPU. Tidak ada panggilan API eksternal.
SAPA berjalan di Cloud VPS dari CloudBaik, di atas layanan AI Hosting IDwebhost. Spesifikasinya sederhana: 4 vCPU, RAM 4 GB, Ubuntu 24.04 LTS. Tumpukannya juga sederhana: Python 3, framework Hermes Agent, dan satu skill kustom.
Skill SAPA terdiri dari SKILL.md (instruksi kerja agent), analyze.py (mesin scoring), storage.py (penyimpanan berbasis consent), plus data domains.json dan 30_cases.json. Hermes memuat skill dari direktori lokal, membaca instruksinya, menjalankan analyzer sebagai subprocess yang aman, lalu mengembalikan hasil. Tanpa Docker. Tanpa Kubernetes. Satu VPS menangani semuanya.
Script demo.sh membungkus seluruh alur demo ke dalam delapan perintah: menjalankan skenario satu per satu atau berurutan, mengeksekusi test suite, mensimulasikan alur consent, menguji live agent, dan menampilkan info spesifikasi VPS. Alur yang sama dipakai saat perekaman video demo, jadi yang terlihat di video adalah sistem yang benar-benar berjalan, bukan rekayasa.
SAPA bukan pengganti kewaspadaan manusia. Ia tidak memblokir pesan dan tidak mengambil keputusan untuk pengguna. Ia memberi skor, menjelaskan alasannya, dan menyarankan langkah berikutnya. Keputusan tetap di tangan penjual.
Mesin scoring juga bukan detektor penipuan serbaguna. Fokusnya pesan teks yang menarget UMKM Indonesia. Ia tidak menganalisis gambar, panggilan telepon, atau interaksi tatap muka. Perluasan ke format lain butuh pendekatan berbeda.
SAPA bersifat open source. Paket skill yang siap pasang bisa diunduh disini. Ekstrak ke direktori skill Hermes. Syaratnya hanya Python 3 dan Hermes terinstal. Arahkan Hermes ke direktori skill, lalu mulai menguji:
hermes -s /path/to/sapa -q "Akun Tokopedia Anda akan diblokir. Klik https://tokopedia-verifikasi.info dan kirim OTP."
Sistem ini dibangun untuk kompetisi AI HackFest 2026, kategori Digital Safety and Public Good, oleh Tim "Aku Cinta Denia dan Aemeath".
Infrastruktur didukung Cloud VPS CloudBaik dan AI Hosting IDwebhost.