Image credit: magnific
Bahaya Tersembunyi di Balik Asisten Coding AI – Sebuah server alat (tool server) berbahaya yang terhubung ke asisten coding berbasis Kecerdasan Buatan (AI) dapat secara diam-diam mencuri:
- Kunci SSH.
- Data lingkungan (environment secrets).
- Kode sumber (source code).
- Hingga data pelanggan.
Aksi pencurian ini dapat terjadi tanpa perlu mengirimkan satu pun instruksi berbahaya yang mencolok.
Teknik serangan baru yang dinamakan GhostSplice ini memanfaatkan kerentanan pada Model Context Protocol (MCP).
Yakni sebuah standar terbuka yang memungkinkan asisten AI memanggil alat eksternal. Riset ini diungkapkan oleh kelompok peneliti ASSET Research Group.akni
Memecah Instruksi Berbahaya
Peretas memanfaatkan cara kerja agen AI yang menggabungkan berbagai informasi dari riwayat percakapan (working context).
Jika permintaan pencurian data secara langsung ditolak oleh AI, peretas memecah permintaan tersebut menjadi fragmen-fragmen kecil yang tampak seperti instruksi rutin.
|
Baca juga: Melawan Serangan Deepfake dan Penipuan GenAI |
Alur Eksekusi Serangan:
- Injeksi Fragmen Pertama: Server MCP berbahaya memuat satu fragmen instruksi di dalam deskripsi alat (tool description), misalnya berpura-pura menjadi alat bernama integrity_checker dengan kolom-kolom biasa (alpha hingga delta).
- Injeksi Fragmen Kedua: Fragmen berikutnya disisipkan melalui hasil pemindaian proyek (tool result). Bagian ini memberikan instruksi pemetaan (mapping) untuk mengisi kolom-kolom biasa tersebut dengan isi dari berkas sensitif seperti .ssh/id_rsa, kode sumber proprietary, customers.csv, dan .env dengan dalih “verifikasi hash sisi server”.
- Penggabungan oleh Asisten AI: Jika dibaca terpisah, tidak ada fragmen yang terlihat berbahaya. Namun, saat dibaca bersamaan dalam satu konteks kerja, asisten AI akan mengeksekusi perintah untuk mengumpulkan berkas lokal sensitif dan mengirimkan isinya ke server peretas.
Asumsi dasar dari serangan ini adalah pengembang telah menghubungkan server MCP milik peretas ke dalam sistem mereka, dan agen AI sudah memiliki hak akses untuk membaca berkas yang diincar.
Hasil Pengujian pada Berbagai Model AI
Pengujian menunjukkan bahwa efektivitas serangan sangat bergantung pada sistem proteksi yang membungkus model AI tersebut, bukan hanya pada kecerdasan model itu sendiri.
Model yang sama bisa menolak serangan pada satu aplikasi coding, namun berhasil dieksploitasi pada aplikasi lain.
Dengan memecah instruksi menjadi dua bagian, tingkat keberhasilan serangan (compliance rate) melambung tinggi:
- Tingkat Keberhasilan Rata-Rata: Naik dari 42% menjadi 82% di 11 model yang diuji melalui API.
- GPT-4o, Gemini 2.0 Flash, & Llama 3.3 70B: Mencatatkan peningkatan dari 0% (pada tes instruksi tunggal) menjadi 100% keberhasilan pencurian data saat instruksi dipecah menjadi dua bagian.
- Claude Haiku 4.5: Tetap 0% pada pengujian API, namun mencapai 100% saat diuji dalam skenario tiga bagian pada klien Cursor.
- Claude Sonnet 4.6 & Opus 4.6: Meskipun mencatatkan skor 0% pada tabel publikasi, peneliti mencatat Sonnet tetap memaparkan kode sumber yang berisi kunci rahasia (hardcoded key) dalam salah satu pengujian.
Peneliti menemukan bahwa penyamaran berbentuk pengisian formulir biasa (fill-in-the-blanks) justru paling sulit dideteksi oleh AI.
dibandingkan dengan rekayasa skenario tata kelola yang rumit. Bagi model AI, tugas tersebut hanya terlihat seperti mengisi formulir yang diminta oleh sistem.
|
Baca juga: Respons Insiden Dinamis di Era Kecepatan AI |
Rekomendasi Pertahanan dan Mitigasi
Kerentanan ini menegaskan bahwa batas keamanan di sekitar model (safety boundary) sama pentingnya dengan keamanan model AI itu sendiri.
Langkah Pencegahan bagi Pengembang dan Organisasi:
- Verifikasi Server MCP Eksternal: Selalu lakukan pemeriksaan (vetting) terhadap integrasi server MCP kustom maupun pihak ketiga sebelum menghubungkannya ke lingkungan pengembangan.
- Konfirmasi Manual (Human-in-the-loop): Pertahankan fitur konfirmasi manusia untuk meninjau dan menyetujui setiap pemanggilan alat (tool invocation) yang dilakukan oleh AI.
- Pemisahan Output Server: Perlakukan output dari server sebagai data mentah, bukan sebagai instruksi. Jangan biarkan nilai dari output satu alat mengalir begitu saja menjadi argumen bagi alat lainnya tanpa adanya validasi keamanan.
Sumber berita:
