Dalam beberapa tahun terakhir, keamanan aplikasi memiliki batasan yang jelas: repositori dan pipelineDi situlah kendali berada, di situlah pemindaian dijalankan, di situlah tim memutuskan apakah sesuatu akan dikirim ke produksi. Semuanya bertumpu pada satu asumsi: seorang pengembang secara eksplisit memilih kode dan dependensi mana yang masuk ke dalam sistem.
Asumsi itu tidak lagi berlaku. Semakin banyak kode saat ini ditulis, disarankan, atau diinstal oleh agen AI, seringkali tanpa ada yang melihat nama dari apa yang sedang diunduh. Ketika decisKetika apa yang masuk ke dalam kode berubah, begitu pula serangannya. Serangan tersebut bergerak ke bagian paling depan proses: saat kode dibuat, di dalam asisten itu sendiri dan di dalam file yang mengkonfigurasinya.
Inilah permukaan serangan AI Anda: setiap model, agen, server MCP, keterampilan, dan ketergantungan yang disarankan AI yang kini dapat menimbulkan risiko bahkan sebelum manusia meninjaunya. AI yang dipercaya oleh pengembang Anda kini menjadi bagian darinya. Ini bukan risiko di masa depan. Ini adalah pergeseran yang telah terjadi, dan berikut adalah contoh penerapannya dalam praktik.
Gelombang serangan, bukan insiden terisolasi.
Tidak satupun dari berikut ini merupakan latihan laboratorium.cisatau sebuah hipotesis. Ini adalah insiden publik yang terdokumentasi, hampir semuanya dari tahun lalu, dan masing-masing mengarah sedikit lebih dekat ke agen AI itu sendiri:
- Agustus 2025, s1ngularity: Para penyerang mencuri token penerbitan dari Nx, salah satu sistem build yang paling banyak digunakan, dan menyebarkan versi berbahaya ke npm, menggunakan alat AI untuk mencari rahasia di mesin pengembang.
- September 2025, chalk/debug: Salah satu pelanggaran terbesar npm oleh Reach, 18 paket dengan lebih dari dua miliar unduhan mingguan, diambil alih melalui pembajakan akun seorang pengelola tunggal.
- September 2025, Shai-Hulud: Salah satu worm pertama yang terdokumentasi mampu menyebar sendiri melalui npm. Gelombang keduanya, pada bulan November, lebih agresif dan terkait dengan rahasia yang terungkap di lebih dari 25,000 repositori.
- Oktober 2025, impor yang tidak terpakai: bagian dari kampanye PhantomRaven, di mana halusinasi AI memasukkan malware sungguhan ke dalam npm melalui teknik slopsquatting.
- Tahun ini, ClawHub: Sebuah registri keterampilan AI yang terkontaminasi, di mana lima dari tujuh keterampilan yang paling banyak diunduh adalah malware.
Industri ini memformalkan kesimpulan yang sama. OWASP Top 10 untuk Aplikasi LLM menempatkan injeksi cepat di nomor satu. OWASP MCP Top 10 (saat ini dalam versi beta) menargetkan protokol yang digunakan agen untuk berkomunikasi dengan alat. OWASP Agentic Skills Top 10, sebuah proyek tahap inkubator baru, menyebut keterampilan berbahaya sebagai risiko utamanya. OWASP biasanya bergerak hati-hati; membuka tiga lini sekaligus, salah satunya dengan mendesak, menunjukkan betapa cepatnya perkembangan ini.
Ketiganya bermuara pada ide yang sama: instruksi, alat, dan konfigurasi di sekitar sebuah model kini menjadi bagian dari permukaan serangan AI, dan biasanya berada di dalam repositori Anda sendiri. Hal ini menimbulkan pertanyaan pertama yang layak diajukan kepada tim Anda: siapa yang meninjau file aturan, keterampilan, dan konfigurasi MCP yang ada di repositori Anda?
Vektor 1: keterampilan yang diracuni
Skill adalah berkas instruksi dan kemampuan yang mengajarkan agen AI cara melakukan suatu tugas. Ini bukan satu-satunya cara untuk membentuk perilaku agen (berkas aturan, hooks(dan konfigurasi MCP melakukan hal yang sama), tetapi semuanya memiliki satu kesamaan: mereka berjalan di dalam repositori, bersama dengan kode.
Penelitian tahun ini meninjau 4,000 keterampilan ini:
- 36% memiliki setidaknya satu celah keamanan.
- 13.4% di antaranya kritis.
- Hampir 100 di antaranya secara terang-terangan mengandung muatan berbahaya.
Pergeseran intinya: penyerang tidak lagi menargetkan kode Anda. Mereka menargetkan agen yang menulis kode Anda, menanamkan instruksi tersembunyi (terkadang menggunakan karakter tak terlihat) yang dibaca oleh model dan diperlakukan sebagai instruksi yang berlaku. Seorang peninjau manusia menyetujui instruksi tersebut. pull request dengan itikad baik karena, menurut mereka, berkas tersebut terlihat bersih. Model tersebut menafsirkan instruksi yang tidak pernah dilihat oleh peninjau.
Ini bukan teori. CVE-2025-59536 (CVSS 8.7) memungkinkan peluncuran Claude Code dari repositori yang tidak tepercaya, di mana konfigurasi berbahaya dapat menjalankan perintah sebelum pengguna menerima dialog kepercayaan. Kerentanan kedua, CVE-2026-21852, memungkinkan eksfiltrasi kunci API melalui konfigurasi yang dikontrol proyek, tanpa persetujuan pengguna.
H2: Vektor 2: jongkok
Nama tersebut menggabungkan "slop" (sampah yang terkadang dihasilkan oleh AI) dengan serangan typosquatting klasik. Typosquatting bergantung pada kesalahan manusia: penyerang mendaftarkan nama paket yang mirip dengan nama yang populer dan menunggu kesalahan pengetikan. Itu bersifat acak.
Jongkok sembarangan tidak menunggu terjadinya kesalahan. Dalam studi yang dirujuk selama sesi ini, 19.7% dari referensi paket yang dihasilkan oleh model AI mengarah ke paket yang tidak ada. Model cenderung menghasilkan nama yang sama berulang kali, sehingga penyerang mengamati nama apa yang diciptakan oleh AI, mendaftarkan nama-nama tersebut dengan kode berbahaya, dan menunggu instalasi yang disarankan AI berikutnya untuk memasukkannya ke dalam aplikasi Anda.
Skalanya tidak kecil: Lebih dari 450,000 paket berbahaya baru teridentifikasi pada tahun 2025. Dua contoh berikut memperjelasnya:
- Seorang peneliti menanam paket uji coba yang tidak berbahaya bernama... memeluk wajah-cli untuk membuktikan poin tersebut. Itu tercatat Lebih dari 30,000 unduhan dalam tiga bulan.
- impor yang tidak digunakanDari kronologi di atas, dipastikan bahwa itu adalah malware yang aktif di registri publik, menggunakan teknik yang persis sama. Itu bukan uji coba.
Pertanyaannya bukanlah apakah ini bisa terjadi pada tim Anda. Melainkan berapa banyak paket yang disarankan AI yang masuk ke kode Anda saat ini tanpa ada yang memeriksanya.
Responnya: standards sedang mengejar ketertinggalan
Dua kekuatan berjalan secara paralel. Sementara serangan semakin intensif, standardTubuh-tubuh bereaksi:
- NIST SP 800-218A memperluas kerangka kerja pengembangan perangkat lunak yang aman dengan praktik-praktik khusus untuk model AI, termasuk bukti integritas dan asal-usul.
- In Mei 2026, CISA dan mitra internasional G7-nya Menerbitkan panduan tentang Daftar Material Perangkat Lunak untuk AI, yang mendefinisikan apa saja yang termasuk dalam inventaris tersebut: model, kumpulan data, komponen, penyedia, dan dependensi.
Arahnya jelas: SBOM sedang berkembang menjadi AI-BOM (Bill of Materials). Anda tidak dapat mensertifikasi atau membuktikan apa yang tidak dapat Anda inventarisasi. Dan saat ini, sebagian besar organisasi tidak dapat:
- 43% tidak dapat melakukan audit atau inventarisasi terhadap alat AI yang sudah mereka gunakan.
- 79% tidak memiliki visibilitas terhadap agen AI dan sistem MCP yang berjalan di lingkungan mereka sendiri.
Dalam lingkungan yang teregulasi, inventaris ini beralih dari praktik yang baik menjadi harapan kontraktual atau kewajiban kepatuhan. Namun, inventaris hanya memberi tahu Anda apa yang Anda miliki. Dengan sendirinya, inventaris tidak dapat mencegah serangan.
Kesenjangan: EDR untuk Keamanan Aplikasi
SAST ke SCA Alat-alat tersebut dirancang untuk menganalisis kode dan dependensi, bukan perilaku agen atau konfigurasinya. Sebuah EDR Meskipun melihat proses dan koneksi jaringan, alat ini biasanya kurang memiliki konteks keamanan aplikasi untuk menafsirkan ketergantungan atau konfigurasi agen. Di antara kedua kategori alat tersebut terdapat celah, tepat di tempat kode sekarang dibuat, dan tepat di tempat permukaan serangan AI berada.
Kesenjangan itu memiliki tiga titik buta:
- Aset AI. Model, agen, dan server MCP tidak muncul di SASTatau SCAradar. Anda tidak bisa menginventarisasi apa yang tidak bisa Anda lihat.
- File konfigurasi. Keterampilan, aturan, dan konfigurasi MCP membentuk perilaku agen, tetapi biasanya ditinjau seolah-olah itu hanyalah teks biasa yang tidak berbahaya.
- Instalasi paket. A Ketergantungan berbahaya dapat berjalan sebelum diketahui bahwa itu adalah ketergantungan yang berbahaya.lalu membocorkan rahasia dan token tanpa persetujuan siapa pun.
Bagaimana Xygeni menutupnya
Apa yang dilakukan EDR untuk endpoint? Xygeni Shield berperan penting dalam siklus pengembangan yang dibantu AI: melindungi tempat kode dibuat sekaligus memahami konteks keamanan aplikasi.
- Visibilitas di mana SAST ke SCA Jangan meraih. Xygeni menandai file keterampilan dan aturan yang berbahaya, menganalisis konfigurasi MCP, dan membangun sistem yang siap untuk audit. AI-BOM, dipetakan ke OWASP LLM, MCP, dan Agentic Skills Top 10.
- Kecerdasan, bukan hanya tanda tangan. MEW (Malware Early Warning) menganalisis perilaku dan risiko suatu paket untuk memblokirnya sebelum CVE, peringatan, atau tanda tangan publik tersedia. Intelijen jaringan yang mutakhir memutus koneksi ke infrastruktur yang diketahui berbahaya.
- Satu titik kendali, dari kode hingga titik akhir. Agen tunggal, yang diimplementasikan tanpa perlu merancang ulang lingkungan, dengan kedaulatan data Eropa dan bukti kepatuhan yang terintegrasi di dalamnya.
Dalam demonstrasi langsung, penegakan kebijakan ini memblokir upaya agen AI untuk menginstal paket berbahaya melalui tiga jalur instalasi berbeda (lingkungan virtual, pengelola paket, dan unduhan langsung) sebelum instalasi selesai, semuanya dicatat secara real-time dan dapat diekspor ke SOC. Proses onboarding proyek pertama biasanya memakan waktu sekitar satu jam; perluasan cakupan di seluruh organisasi biasanya memakan waktu satu hingga dua minggu, tergantung pada strukturnya.
FAQ (Pertanyaan Umum)
Apa yang dimaksud dengan kerentanan serangan AI dalam satu paragraf?
Permukaan serangan AI adalah kumpulan model, agen, server MCP, keterampilan, file aturan, dan dependensi yang disarankan AI yang memungkinkan risiko masuk ke dalam aplikasi, seringkali sebelum manusia meninjaunya. Ini meluas melampaui kode dan dependensi tradisional untuk mencakup file konfigurasi dan instruksi yang membentuk perilaku agen AI.
Bagaimana saya bisa mengetahui apakah nama paket yang disarankan oleh asisten AI saya adalah halusinasi atau hanya nama yang sah tetapi asing?
Lakukan validasi sebelum menginstal: periksa registri dan analisis konten serta tujuan sebenarnya dari paket tersebut, alih-alih hanya mengandalkan namanya saja. Xygeni mengotomatiskan validasi ini secara real-time selama pembuatan kode, sehingga instalasi disetujui atau diblokir sebelum dijalankan, terlepas dari apakah paket tersebut adalah paket yang Anda kenal atau bukan.
Apakah praktik menempati lahan tanpa izin (slopsquatting) memengaruhi semua model AI secara sama?
Penelitian di balik angka 19.7% tersebut mencakup berbagai model dan menemukan bahwa masalah ini tersebar luas, dengan hanya sedikit variasi di antara model-model tersebut. Ini adalah pola yang umum terjadi pada pengembangan yang dibantu AI, bukan kekurangan khusus pada satu asisten saja.
Bisakah kita memeriksa secara retrospektif apakah kita sudah menginstal paket yang salah atau berbahaya?
Ya. Platform Xygeni memberi pelanggan akses ke basis data yang terawat berisi paket-paket berbahaya yang terdeteksi, yang dapat dicari berdasarkan inventaris komponen yang ada, sehingga Anda dapat memastikan hanya dengan beberapa klik apakah ada sesuatu yang sudah terpasang merupakan ancaman yang dikenal.
Berapa lama waktu implementasi yang dibutuhkan untuk organisasi berukuran menengah dengan banyak tim?
Proses orientasi proyek pertama biasanya memakan waktu sekitar satu jam. Penerapan di seluruh organisasi biasanya memakan waktu satu hingga dua minggu, tergantung pada struktur tim dan cara kerja.
Petakan area serangan AI Anda, secara gratis.
Petakan jejak AI aplikasi Anda secara gratis: buat akun dan jalankan pemindaian pertama dalam beberapa menitMulailah dengan satu aplikasi, lihat AI apa yang ada di dalamnya, dan lihat bagian mana dari permukaan serangan AI Anda yang berbahaya.
*Beberapa kemampuan yang disebutkan di atas diberlakukan melalui Xygeni Shield dan ASPMModul Keamanan AI; ketersediaan dapat bervariasi tergantung paket. Lihat xygeni.io untuk detail produk terkini.
