Enam Jam dari Prompt ke Serangan: Laporan Google soal Peretas yang Menyerahkan Pekerjaan ke AI Agent

Selama ini ada satu asumsi yang diam-diam melindungi banyak bisnis kecil: menyerang sebuah sistem itu merepotkan. Penyerang perlu waktu untuk memindai, mencoba, gagal, lalu memperbaiki alatnya. Asumsi itu baru saja kehilangan dasarnya.

Menurut laporan Google Threat Intelligence Group (GTIG) berjudul From Prompting to Autonomy: The Evolution of Adversarial AI, yang dikutip The Hacker News, satu kelompok peretas bermotif finansial berhasil merancang, membangun, dan menjalankan kampanye pencurian kredensial berskala besar dalam waktu kurang dari enam jam. Modalnya, dalam kalimat Google sendiri, hanya sebuah chatbot AI untuk menulis kode, sebuah prompt, dan satu set instruksi untuk agent-nya. Hasilnya, ribuan kredensial pihak ketiga berhasil dikumpulkan.

Yang membuat serangannya cepat bukan modelnya, tapi otomatisasinya

Bagian paling menarik dari temuan GTIG bukan soal kepintaran model AI-nya, melainkan bagaimana pekerjaan yang biasanya membutuhkan tim manusia diserahkan ke rangkaian agent. Instruksi disiapkan dalam bentuk berkas markdown yang berfungsi seperti buku panduan operasi, lengkap dengan langkah pemindaian dan pengumpulan kredensial.

Dari situ, sistemnya berjalan sendiri. Menurut laporan tersebut, agent mengatur seluruh alur pemindaian kerentanan, memperbaiki kesalahan yang muncul di tengah jalan secara real time, dan memutar alamat IP tanpa perlu ditemani operator manusia. Tiga pekerjaan yang biasanya paling menyita waktu dalam sebuah kampanye justru yang paling mudah diserahkan ke mesin.

Ada detail lain yang membuat serangan ini sulit dideteksi. Penyerang lebih dulu menguasai infrastruktur cloud milik sebuah organisasi, lalu menjalankan kerangka multi-agent-nya dari sana. Akibatnya lalu lintas serangan keluar dari alamat IP milik korban sendiri, sehingga terlihat seperti trafik yang wajar dari lingkungan cloud yang tepercaya.

Bukan cuma pencurian data, tapi juga pencurian sumber daya AI

GTIG mencatat pola yang lebih luas: penyerang dengan berbagai motif kini mengincar aset AI perusahaan. Mereka mengambil kredensial API model AI di sektor kesehatan, pemerintahan, dan media, lalu memakai lingkungan cloud korban untuk menjalankan beban kerja AI mereka sendiri. Dengan kata lain, tagihan komputasinya ditanggung korban.

Rantai pasok perangkat lunak sumber terbuka juga jadi sasaran. Laporan itu menyoroti kelompok kriminal yang dilacak Google dengan nama UNC6780, yang meracuni gateway LiteLLM pada Maret lalu dan sejak itu menjalankan kompromi berskala besar di PyPI, npm, sampai Docker Hub. Ini pola yang sama dengan yang pernah kami bahas di artikel soal Shadow AI dan kerentanan bisnis kecil: yang berbahaya sering kali bukan yang kamu pasang sendiri, melainkan yang ikut terpasang tanpa kamu sadari.

Kabar baiknya, otomatisasi penuh itu belum terjadi

Penting untuk membaca laporan ini dengan proporsional. GTIG secara eksplisit menyatakan mereka belum menemukan pipeline serangan yang sepenuhnya otonom dijalankan terhadap target di lapangan. Contoh lain dalam laporan itu bahkan berhenti sebelum sempat jadi, satu kelompok spionase yang diduga terkait Tiongkok mencoba memakai Gemini untuk membangun kerangka uji penetrasi otomatis, tetapi baru sampai tahap percobaan sebelum Google menonaktifkan aset terkait.

Jadi yang berubah bukan munculnya penyerang robot yang sepenuhnya mandiri, melainkan turunnya biaya dan waktu untuk memulai serangan. John Hultquist, kepala analis GTIG, menyebut semua pelaku ancaman kini bisa diasumsikan memakai AI dalam kadar tertentu, dan operasi mereka memang jadi lebih efektif karenanya.

Apa artinya buat pemilik bisnis yang punya aplikasi sendiri

Kalau kamu punya website atau aplikasi bisnis, pesan praktisnya sederhana. Kredensial yang bocor tidak lagi punya masa tenggang. Dulu API key yang tidak sengaja ikut ter-commit ke repositori publik mungkin butuh waktu berhari-hari sampai ada yang menemukannya. Dengan pemindaian yang berjalan otomatis dan terus-menerus, jendela itu menyempit drastis.

Tiga kebiasaan yang paling berdampak juga tidak berubah. Pertama, simpan semua kunci dan kata sandi di berkas konfigurasi lingkungan, jangan pernah ditulis langsung di dalam kode. Kedua, ganti kata sandi admin bawaan sebelum aplikasi dipublikasikan. Ketiga, cabut kredensial lama yang sudah tidak dipakai, karena kunci yang menganggur tetap terhitung sebagai pintu yang terbuka. Poin-poin ini kami bahas lebih rinci di panduan bikin web dengan AI tapi tetap aman.

Di TanpaNgoding AI, sebagian beban ini memang sudah diambil alih lewat quality gate otomatis yang memeriksa hasil build sebelum project dipublikasikan, termasuk mencegah kredensial ter-hardcode di dalam kode. Tapi laporan GTIG ini mengingatkan bahwa kecepatan penyerang sekarang bukan lagi variabel yang bisa diandalkan untuk membeli waktu. Yang tersisa sebagai pertahanan adalah hal-hal membosankan yang dilakukan sejak awal, bukan setelah ada masalah.

Sumber: The Hacker News, mengutip laporan Google Threat Intelligence Group.