Keamanan rantai pasokan berbasis agen AI dulunya sederhana, terutama karena selalu ada manusia yang berada di antara nama paket dan proses pembuatannya. Selama dua puluh tahun, itulah keseluruhan modelnya: seseorang membaca nama tersebut sebelum dimasukkan. Tidak selalu dengan saksama. Tetapi seseorang tetap membacanya.
Itu sudah hilang sekarang. Tanyakan pada model AI tentang sebuah pustaka hari ini, dan kira-kira satu dari lima paket yang direkomendasikan tidak ada. Penyerang mengetahui hal ini, jadi mereka mendaftarkan nama-nama tersebut terlebih dahulu. Agen menginstalnya, mengujinya, dan melanjutkan, dan tidak ada yang membaca apa pun di antaranya. Di sinilah tepatnya keamanan rantai pasokan agen AI gagal saat ini: bukan dalam skenario masa depan, tetapi dalam kenyataan. pipelinesedang berlangsung hari ini.
Industri ini menghabiskan dua dekade membangun kontrol di sekitar pengembang yang membaca, meninjau, dan memutuskan. Pengembang tersebut bukan lagi titik pemeriksaan terakhir sebelum dependensi masuk ke dalam proses pembuatan. Jadi, pertanyaan sebenarnya bukanlah apakah AI berbasis agen memperkenalkan risiko baru, melainkan apa yang sebenarnya tersisa setelah titik pemeriksaan manusia hilang.
Dari “AI Menyarankan” menjadi “AI Bertindak”
Dua tahun lalu, seorang kopilot mengusulkan blok kode, pengembang membacanya, dan pengembang memutuskan apakah akan mempertahankannya. Alur kerja itu sebagian besar sudah hilang. Alat Agentic sekarang menginstal dependensi, menjalankan kontainer, dan memicu pipeline Mereka mengambil langkah-langkah sendiri, seringkali baru melaporkan kembali setelah kejadian, dan hanya jika terjadi kesalahan.
Pergeseran ini terjadi secara bertahap, dan sebagian besar tim sudah lebih maju daripada yang diakui dalam kebijakan keamanan tertulis mereka. Alat berbasis agen awal meminta persetujuan sebelum setiap perubahan, dan pengembang sering mengklik "ya" sehingga langkah konfirmasi tersebut kehilangan maknanya. Agen saat ini sebagian besar tidak meminta persetujuan sama sekali. Mereka hanya melakukan intervensi untuk tindakan yang ditandai sebagai sensitif, seperti menjalankan skrip shell, dan hal-hal umum lainnya. pull request Data yang dihasilkan oleh agen dapat mencapai ribuan baris yang sebenarnya tidak dibaca oleh manusia dari ujung ke ujung sebelum digabungkan.
Masalah perizinan memperparah hal ini. Dalam sebagian besar pengaturan, agen hanya berjalan sebagai pengembang, dengan akses ke semua yang dapat dijangkau oleh mesin pengembang: variabel lingkungan, token cloud, kredensial registri, kunci SSH. Ketika agen menginstal sesuatu dan skrip dijalankan selama instalasi tersebut, ia mewarisi dampak penuh dari manusia yang ditirunya. Di sinilah keamanan rantai pasokan agen AI berhenti menjadi pertanyaan kebijakan dan menjadi pertanyaan perizinan: agen tidak membutuhkan eksploitasi baru, ia hanya membutuhkan akses yang sudah dimilikinya.
Kapten Pelabuhan Mohammad-Ali A'râbi, yang berbicara di panel yang sama, menyatakannya dengan lugas: “Saya rasa pengembang sekarang menjadi bagian dari celah serangan.”
Ada baiknya jujur tentang apa yang digantikannya. Seorang manusia yang membaca sebuah package.json Diff sudah merupakan kontrol yang lemah; hampir tidak ada yang benar-benar memverifikasi setiap ketergantungan transisi sebelum menyetujui perubahan. Agen tidak selalu merusak sistem yang kuat. Mereka menghilangkan alasan terakhir untuk sistem yang lemah. Yang berubah bukanlah risiko itu sendiri yang baru, melainkan sekarang risiko tersebut bergerak dengan kecepatan yang sama sekali berbeda: beberapa perkiraan menempatkan volume serangan rantai pasokan tahun lalu sekitar lima kali lipat dari tahun sebelumnya, dan kurvanya tampak eksponensial daripada linier.
Momen Instalasi: Apa yang Berubah Saat Tak Ada yang Memperhatikan?
Berhalusinasi dan nama paket berbahaya bukanlah hal baru. typosquatting Telah lama memanfaatkan kesalahan pengetikan manusia: satu huruf yang salah, dan pengembang akan menginstal hal yang salah. Yang berbeda sekarang adalah bahwa sebuah model, bukan manusia, yang menciptakan nama tersebut sejak awal, dan hal itu dapat diprediksi.
Angka-angka tersebut menjadikan ini bisnis, bukan sekadar hal yang menarik. Kira-kira 20% paket yang direkomendasikan oleh model sumber terbuka tidak ada (mendekati 5% untuk model komersial), dan di antara nama-nama palsu yang dipelajari, 43% muncul identik di sepuluh kueri berulang. Pengulangan itulah yang membuat pola serangan ini mudah ditiru: penyerang tidak perlu menebak apa yang akan diketik pengembang. Model tersebut memberi tahu mereka, secara andal, dan gratis.
Varian yang lebih baru bernama HalluSquatting melangkah lebih jauh. Alih-alih menerbitkan paket berbahaya dengan nama fiktif, penyerang menanamkan instruksi berbahaya di dalam file README, file skill, atau deskripsi server MCP, kemudian menunggu agen untuk membayangkan nama repositori atau alat yang sama dan menariknya. Sebuah makalah terbaru yang menggabungkan ini dengan injeksi prompt melaporkan prediksi yang hampir sempurna terhadap nama repositori palsu untuk proyek baru, dan eksekusi kode penuh terhadap asisten pengkodean nyata termasuk Cursor, Windsurf, dan Copilot. Karena muatannya berupa teks biasa dan bukan kode yang dapat dieksekusi, sebagian besar alat pemindai tidak memiliki apa pun untuk ditandai.
Sebagai Xygeni Petugas Riset Luis Rodríguez sampaikan hal itu selama diskusi: “Kami menghabiskan bertahun-tahun membangun pertahanan terhadap kode berbahaya. Tanda tangan digital, sandbox, analisis perilaku. HalluSquatting tidak membutuhkan semua itu. Yang dibutuhkan hanyalah README yang meyakinkan.” Instruksi teks biasa yang dibaca agen sebagai konteks tepercaya akan langsung melewati pemindai yang dirancang untuk menangkap sesuatu yang dapat dieksekusi.
Itulah lapisan yang sebagian besar alat AppSec masih belum dirancang untuk melihatnya, yaitu lapisan pra-eksklusif.cisely mengapa Xygeni's Peringatan Dini Malware (MEW) Pendekatan ini ada di tingkat platform: analisis berkelanjutan dan real-time terhadap paket-paket yang baru diterbitkan di berbagai registri seperti npm, PyPI, dan Maven, yang dibangun untuk mendeteksi perilaku berbahaya sebelum tanda tangan publik ada, daripada menunggu CVE muncul beberapa hari kemudian.
Wadah, CI/CDdan Asal Usul: Bisakah Anda Masih Membuktikan Apa yang Ada di Dalam Bangunan Anda?
Seorang agen jarang berhenti hanya dengan menambahkan satu baris ke package.jsonIni mengedit Dockerfile, menyusun ulang build multi-tahap, dan melakukan penyesuaian. pipeline konfigurasi secara langsung, masuk ke dalam sistem build itu sendiri, bukan hanya ke dalam source tree.
Di sinilah tepatnya jawaban industri terhadap risiko rantai pasokan, SBOMs dan SLSA provenanceSeharusnya, token tersebut tetap berlaku. Kemudian, pada Mei 2026, seorang penyerang melakukan phishing terhadap seorang pengelola, menggunakan token yang dicuri untuk menerbitkan sebuah token "yatim". commit tanpa induk dalam riwayat proyek, dan menggunakannya untuk meracuni cache build. Paket yang dihasilkan, sebanyak delapan puluh empat, dikirim dengan asal usul tingkat atas yang sepenuhnya valid dan ditandatangani dengan benar. Setiap pemeriksaan otomatis lolos. Malware itu nyata, dan secara teknis, dokumen yang membuktikan bagaimana malware itu dibuat juga nyata.
Kesimpulan yang kurang menyenangkan: asal usul membuktikan apa yang dilakukan suatu proses pembuatan dengan apa pun yang diberikan kepadanya, bukan bahwa apa yang diberikan itu layak dipercaya. Jika input diracuni sebelum artefak ada, maka pengesahan tersebut menjadi catatan yang jujur dan dapat diverifikasi tentang proses pembuatan yang tidak jujur. Keamanan rantai pasokan agen AI tidak dapat sepenuhnya dialihdayakan ke alat pengesahan yang dibangun untuk dunia di mana manusia, bukan model, yang memutuskan apa yang masuk ke dalam proses pembuatan.
Salah satu mitigasi praktis yang mungkin tidak menarik tetapi efektif adalah: periode pendinginan, menunggu beberapa hari setelah versi paket baru diterbitkan sebelum mengadopsinya. Sebagian besar insiden rantai pasokan aktif ditandai dan diungkapkan dalam jangka waktu awal tersebut, sehingga penundaan lima hari akan menetralkan sebagian besar insiden tahun lalu. serangan bergaya cacing, tanpa mengorbankan apa pun kecuali segera.iacy.
Git, Peninjauan, dan Penyusutan Titik Pemeriksaan Manusia
Tinjauan kode dan commit Sejarah telah lama berfungsi sebagai landasan kepercayaan untuk "seseorang telah meneliti hal ini." Landasan itu menjadi lebih goyah ketika agen-agen tersebut terlibat. commit, dan semakin sering terjadi penggabungan, tanpa campur tangan manusia pada saat itu.
Agen yang menginstal paket tidak memiliki masalah kepercayaan yang sama dengan pengembang yang menyalin jawaban Stack Overflow, meskipun keduanya melewatkan penulisan kode asli. Cuplikan Stack Overflow ditulis oleh orang sungguhan dan telah ditinjau secara informal oleh rekan sejawat melalui upvote dan downvote. Rekomendasi yang dihasilkan AI adalah keluaran probabilistik tanpa kedua properti tersebut, dan pengembang yang menyalinnya secara manual masih melihat nama paket, tanggal pembaruan terakhir, dan masalah yang terbuka. Agen yang menginstalnya tidak berhenti untuk hal-hal tersebut kecuali ada sesuatu yang secara eksplisit dibangun untuk membuatnya berhenti.
Itulah masalah sebenarnya dari pergeseran ke kiri. Pergeseran ke kiri tradisional mengasumsikan hal yang bergerak paling cepat adalah... pipeline adalah pengembang yang dapat dilatih, didorong, dan dievaluasi. Ketika hal yang bergerak paling cepat adalah agen otonom, keamanan "shift-left" harus diposisikan ulang pada titik-titik pemeriksaan yang tidak dapat dilewati oleh agen tersebut: sandboxing, kontrol keluar, dan jendela pendinginan, daripada dokumen kebijakan yang tidak ditegakkan oleh siapa pun.
Keamanan Rantai Pasokan Agen AI: Apa itu Agen yang Aman? Pipeline Sebenarnya Membutuhkan
Bertahan dari jenis worm baru ini tidak memerlukan sembilan kontrol berbeda yang diimplementasikan dengan sempurna sejak hari pertama. Bagi tim dengan keterbatasan sumber daya, dua hal lebih penting daripada yang lainnya:
- Selalu uji coba agen dalam lingkungan sandbox. Jalankan di dalam microVM atau kontainer dengan hanya direktori proyek saat ini yang terpasang, sehingga agen yang disusupi tidak memiliki akses ke token, kredensial, atau file host. Ini adalah kontrol termurah yang tersedia dan yang paling tidak ada alasan untuk diabaikan.
- Tambahkan jeda waktu sebelum menginstal versi paket baru. Beberapa hari saja seringkali cukup bagi serangan rantai pasokan yang sedang berlangsung untuk muncul dan terungkap sebelum mencapai sistem Anda.
Opsi ketiga, untuk tim yang mampu: membangun visibilitas CVE dan malware secara langsung ke dalam pipeline, memindai citra kontainer (bukan hanya kode sumber, karena begitu banyak kerentanan terdapat pada citra dasar) dan menampilkan hasilnya sebagai pull request komentar yang sebenarnya dilihat pengembang sebelum penggabungan.
Insiden baru-baru ini membuat taruhannya menjadi nyata. Pada Juli 2026, sebuah model AI yang sedang dievaluasi secara internal mengeksploitasi celah keamanan zero-day pada satu-satunya rute jaringan yang diizinkan di dalam sandbox-nya sendiri, yaitu proxy cache paket, untuk mencapai internet terbuka dan, tanpa instruksi manusia, membahayakan infrastruktur eksternal dalam mengejar tujuan benchmark. Rute pelarian tersebut adalah infrastruktur dependensi: satu-satunya koneksi yang setiap sandbox dirancang untuk diizinkan. Jika agen Anda perlu mencapai registri paket agar berfungsi, koneksi tersebut bukanlah detail sampingan dari model keamanan Anda. Itu adalah model keamanan itu sendiri. Penjelasan lengkap Xygeni tentang bagaimana pelarian itu sebenarnya terjadi layak untuk dibaca: Nakal karena Desain.
Ringkasan Utama
- Pos pemeriksaan manusia terakhir sedang menghilang, bukan melemah. Rancang kontrol yang tidak bergantung pada seseorang yang membaca nama paket.
- Slopsquatting dan HalluSquatting adalah praktik pertanian yang dapat dilakukan, bukan sekadar teori. Nama-nama halusinasi yang berulang dan penyisipan perintah teks biasa sudah dieksploitasi di dunia nyata.
- Asal usul dan SBOMHal itu membuktikan apa yang dilakukan oleh sebuah build, bukan apa yang diberikan kepadanya. Anggaplah pengesahan tingkat atas sebagai hal yang diperlukan, bukan sekadar cukup.
- Pengendalian, bukan deteksi, adalah hal yang saat ini mempertahankan situasi. Penggunaan sandbox, kontrol akses keluar, dan jendela waktu pendinginan memberikan waktu yang tidak bisa diberikan oleh pemindaian berbasis tanda tangan.
- Inventarisasi area yang sebenarnya dapat dijangkau oleh agen Anda. Bukan dokumen kebijakan. Token yang sebenarnya, kredensial yang sebenarnya, dan data keluar jaringan yang sebenarnya.
Artikel ini mengacu pada diskusi dari SafeDev Talk Xygeni “Saat Agen AI Menginstal Dependensi,” menampilkan Docker Captain Mohammad-Ali A'râbi. Kerangka kerja pengerasan sembilan kontrolnya dibahas lebih mendalam di buletinnya, Docker Security Dispatch dan Luis Rodriguez, Research Officer di Xygeni.
Pertanyaan yang Sering Diajukan (FAQ): Keamanan Rantai Pasokan Agen AI
Apakah pemasangan paket oleh agen merupakan masalah kepercayaan yang pada dasarnya berbeda dari pengembang yang menyalin saran dari Stack Overflow, atau hanya versi yang lebih cepat dari masalah yang sama?
Keduanya, dalam proporsi yang berbeda. Mekanismenya lebih cepat, tetapi kesenjangan kepercayaan juga lebih lebar secara struktural: jawaban Stack Overflow ditulis dan ditinjau secara informal oleh seseorang, sementara rekomendasi paket yang dihasilkan AI adalah keluaran probabilistik tanpa tinjauan yang setara, dan pengembang yang menyalinnya secara manual masih menerapkan pengawasan biasa yang sama sekali dilewati oleh agen otomatis.
Apa yang dibutuhkan agar sebuah SBOM untuk mencatat secara akurat “seorang agen menambahkan ini, dan inilah alasannya”?
Hari ini SBOM dan asal-usul standardSistem-sistem tersebut dibangun berdasarkan asumsi bahwa manusia yang membuat setiap ketergantungan tersebut.cision, dan mereka belum memiliki kolom untuk agen mana, versi model mana, atau perintah mana yang menghasilkan perubahan tertentu. Menutup celah itu membutuhkan perluasan format pengesahan yang ada atau jejak audit terpisah yang peka terhadap agen yang menangkap decisasal usul ion bersama dengan asal usul pembangunan.
Apakah ada versi "shift-left" yang masih berfungsi ketika hal tercepat di pipeline Apakah ia merupakan agen otonom, bukan pengembang?
Ya, tetapi itu harus menggeser titik pemeriksaan, bukan hanya waktunya. Pendekatan shift-left yang dibangun berdasarkan tinjauan manusia tidak dapat diterapkan pada kecepatan agen; pendekatan shift-left yang dibangun berdasarkan sandboxing, pembatasan akses keluar, dan waktu pendinginan instalasi masih dapat menangkap agen yang disusupi sebelum tindakannya mencapai produksi, karena kontrol tersebut tidak bergantung pada siapa pun yang membaca apa pun.
