Saat Perintah Jahat Lumpuhkan Sistem AI AWS

Saat Perintah Jahat Lumpuhkan Sistem AI AWS – Di era modern, kecerdasan buatan (AI) bukan lagi sekadar alat tanya-jawab sederhana. Saat ini, banyak perusahaan memanfaatkan agen AI (AI agents) otonom.

Yang dapat menjalankan tugas rumit secara mandiri, mulai dari:

Mengelola data internal.
Menulis kode program.
Berinteraksi langsung dengan sistem cloud perusahaan.

Namun, di balik kemampuannya yang luar biasa, teknologi baru ini menyimpan celah risiko keamanan yang belum pernah ada sebelumnya. Baru-baru ini, para peneliti keamanan menemukan sebuah celah kerentanan berbahaya bernama AgentCorruption.

Berbeda dengan modus penipuan konvensional yang kerap menggunakan iming-iming hadiah undian, serangan berbasis email dan pesan instan (smishing) terbaru ini memanfaatkan aktivitas harian korban yang sering menunggu pengiriman paket.

Pelaku mengirimkan pemberitahuan palsu terkait:

Kendala pengiriman.
Tagihan biaya tambahan.
Permintaan konfirmasi alamat guna memicu kepanikan atau rasa penasaran sesaat.

Dari Perintah Sederhana Menuju Pencurian Kredensial

Untuk memahami bagaimana AgentCorruption bekerja, kita perlu melihat bagaimana agen AI masa kini dirancang. Salah satu platform yang populer digunakan untuk membangun dan menjalankan agen AI adalah Amazon Bedrock AgentCore.

Dalam sistem tersebut, sebuah agen AI sering kali dibekali dengan “alat” (tools) tertentu, seperti kemampuan untuk melakukan permintaan web (web requests) atau menjalankan perintah jaringan agar bisa membantu penggunanya dengan lebih baik. Di sinilah letak kerentanannya:

Manipulasi Melalui Prompt Injection: Peretas tidak perlu meretas sistem peramban atau mencari bug perangkat lunak yang rumit di halaman chat. Mereka cukup memanfaatkan fitur normal dari agen AI itu sendiri dengan mengirimkan perintah manipulatif (prompt injection).
Mengakses Titik Metadata Lokal (IMDS): Peneliti mendapati bahwa agen AI yang memiliki izin akses jaringan dapat diarahkan untuk menghubungi alamat IP metadata lokal cloud, yaitu 169.254.169.254. Alamat ini secara sistem digunakan oleh beban kerja cloud (cloud workloads) untuk mengambil kredensial sementara AWS guna menjalankan tugasnya.
Penyalahgunaan Peran Eksekusi (Execution Role): Karena permintaan tersebut datang dari dalam lingkungan virtual agen AI (microVM), layanan metadata otomatis memberikan kredensial yang terikat pada peran eksekusi agen tersebut. Dari titik inilah rantai pemalsuan permintaan sisi server (server-side request forgery) dimulai.

Akibatnya, perintah sederhana yang diketik oleh pengguna jahat berubah menjadi kunci utama bagi peretas untuk menyedot kredensial penting tanpa disadari.

Bukan Sekadar Chat yang Bocor

Kredensial yang berhasil dicuri oleh para peneliti ternyata memiliki cakupan akses yang sangat luas (over-permission). Dalam temuan mereka, peran manajemen identitas dan akses (IAM role) bawaan tidak dibatasi hanya untuk satu agen saja, melainkan mencakup akses lintas agen.

Jika peretas berhasil mengeksploitasi celah ini, mereka dapat melakukan hal-hal berikut:

Membaca Percakapan Pribadi dan Kode Sumber: Peretas dapat mengakses riwayat obrolan privat antar pengguna, kode sumber aplikasi, hingga token OAuth.
Mencuri Kunci API dan Rahasia Perusahaan: Melalui akses ke layanan seperti AWS Secrets Manager, penjahat siber dapat melihat kata sandi dan kunci rahasia yang menghubungkan sistem AI ke berbagai alat bisnis penting lainnya.
Memanipulasi Memori Jangka Panjang Agen AI: Ini adalah ancaman yang paling berbahaya. Peretas dapat menyisipkan instruksi tersembunyi (hidden instructions) ke dalam memori agen AI. Akibatnya, pada percakapan-percakapan berikutnya di masa depan, agen AI tersebut akan terus mengikuti arahan baru yang ditanamkan oleh peretas, merusak tujuan awal pembuatannya secara permanen.

Satu agen AI yang bobol dapat menjadi pintu gerbang bagi peretas untuk merangsek masuk ke seluruh ekosistem digital perusahaan.

Respons Cepat dan Penanganan oleh Pihak Terkait

Kasus ini pertama kali dilaporkan oleh para peneliti kepada pihak penyedia layanan cloud (AWS) secara bertahap sejak akhir Desember 2025 hingga Januari 2026.

Menanggapi temuan tersebut, pihak penyedia layanan langsung bergerak cepat. Pada bulan Februari 2026, mereka mulai mewajibkan penggunaan IMDSv2 yang lebih aman.

Dan per 29 September 2026, seluruh izin akses yang terlalu luas, yang sebelumnya memungkinkan panggilan antar-agen, akses obrolan lintas sistem, dan pembacaan Secrets Manager, telah resmi dicabut dan diperbaiki.

Meskipun demikian, pihak penyedia layanan berargumen bahwa akses ke kredensial peran eksekusi melalui layanan metadata sebenarnya adalah fungsi dokumentasi standar dalam arsitektur cloud, dan akses lintas akun tetap memerlukan izin yang jelas pada tingkat sumber daya.

Namun, insiden ini menjadi pengingat keras bahwa standar keamanan lama tidak lagi cukup untuk menghadapi era AI otonom.

Langkah Mitigasi untuk Tim Keamanan

Bagi organisasi atau perusahaan yang menggunakan agen AI dalam operasional mereka, insiden AgentCorruption membuktikan bahwa agen AI bukan lagi sekadar “chatbot pintar”, melainkan sebuah beban kerja cloud (cloud workload) yang memiliki hak akses penuh terhadap sistem sensitif.

Untuk mencegah hal serupa terjadi pada organisasi Anda, terapkan 8 langkah mitigasi keamanan berikut:

Rancang peran produksi khusus di mana setiap agen AI hanya diberikan izin dan nama sumber daya yang benar-benar mereka butuhkan untuk bekerja, tanpa celah akses berlebih.
Hindari penggunaan izin terbuka (seperti tanda bintang *) yang memberikan akses tak terbatas ke berbagai layanan cloud sekaligus.
Terapkan lapisan penyaringan dan validasi pada setiap teks atau prompt yang masuk dari pengguna publik untuk mendeteksi indikasi injeksi perintah.
Batasi kemampuan agen AI untuk melakukan permintaan jaringan bebas ke internet atau ke titik metadata lokal jika tidak diperlukan secara mutlak.
Buat batasan arsitektur yang jelas antara agen AI yang berinteraksi langsung dengan publik luar dan agen AI yang memproses data internal perusahaan.
Aktifkan pemantauan menggunakan alat audit cloud untuk mendeteksi adanya panggilan API yang tidak biasa atau mencurigakan.
Pastikan bahwa pemanggil luar tidak dapat memintas sistem pengaman dengan cara mengakses waktu sandar (runtime) secara langsung.
Tinjau kembali semua alat, rahasia, rute jaringan, dan peran akses yang terhubung ke agen AI sebelum aplikasi diluncurkan ke publik dan setelah setiap kali ada pembaruan sistem.

Masa depan teknologi AI menjanjikan efisiensi dan inovasi yang luar biasa. Namun, keamanan tidak boleh menjadi nomor kesekian. Dengan memperlakukan agen AI selayaknya sistem cloud kritikal, organisasi dapat menikmati manfaat teknologi modern tanpa harus membuka celah bagi bencana siber.