Worm npm Poisons Keyv Tanam Hook Berbahaya di Claude Code dan VS Code, Cuma Buka Folder Bisa Kena

Pada 4 Agustus 2026, sebuah worm supply chain baru menyerang ekosistem npm lewat paket populer Keyv dan Cacheable. Menurut riset Aikido Security, penyerang berhasil mengambil alih akun maintainer Keyv dan langsung menyuntikkan malware ke branch utama repository. Yang membuat kasus ini berbeda dari serangan supply chain sebelumnya adalah target barunya, file konfigurasi editor kode berbasis AI.

Menurut SafeDep, cakupan worm ini terus membesar. Hitungan awal menemukan 353 versi paket yang terinfeksi di 79 nama paket, lalu berkembang jadi 1.684 versi di 420 nama paket yang terhubung ke sembilan organisasi berbeda. Aikido bahkan melaporkan angka lebih tinggi, lebih dari 868 paket, meski jumlah pastinya sulit diverifikasi karena tag registry npm terus berubah selama serangan berlangsung. Worm ini bergerak sangat cepat, berpindah antar organisasi setiap dua sampai tujuh menit dan menyelesaikan satu putaran publikasi lintas organisasi hanya dalam sekitar 30 menit.

Nempel di Claude Code dan VS Code, Bukan Cuma di node_modules

Selama ini, serangan supply chain npm umumnya bergantung pada script preinstall atau postinstall yang otomatis jalan saat developer menjalankan npm install. Worm Keyv ini menambah satu jalur baru. Menurut laporan The Hacker News dan Aikido, penyerang menggunakan token GitHub App curian untuk melakukan commit ke puluhan branch di setiap repository yang terinfeksi, lalu menyisipkan hook berbahaya langsung ke file .claude/settings.json dan .vscode/tasks.json. Efeknya, kode berbahaya bisa otomatis berjalan begitu developer membuka folder project itu di VS Code atau memulai sesi baru di Claude Code, tanpa perlu menjalankan instalasi paket sama sekali. Kedua platform sebenarnya tetap meminta konfirmasi kepercayaan (trust) dari pengguna sebelum menjalankan konfigurasi workspace, tapi banyak developer yang terbiasa mengklik "trust" tanpa membaca isi konfigurasinya lebih dulu.

Apa yang Dicuri

Payload worm ini bukan sekadar pengganggu. Berdasarkan analisis Aikido, malware yang tertanam mampu mencuri token npm dan GitHub (termasuk personal access token, OAuth, dan JWT OIDC), kredensial AWS lewat metadata service, token Kubernetes dan HashiCorp Vault, kunci API Stripe dan Slack, hingga file sensitif seperti .env, kunci SSH, state Terraform, dan konfigurasi Docker. Data yang berhasil dicuri dienkripsi lebih dulu sebelum dikirim ke repository GitHub publik yang sengaja dibuat tidak bisa dibaca langsung oleh orang luar. Worm ini juga membawa kemampuan mempublikasikan ulang dirinya sendiri ke paket lain menggunakan token npm yang berhasil dicuri, itulah sebabnya penyebarannya berlangsung sangat cepat dan lintas organisasi dalam hitungan menit. Semgrep menghubungkan pola serangan ini dengan kompromi PyPI bulan April sebelumnya, menandai worm ini sebagai bagian dari keluarga serangan yang sama, dijuluki "Shai-Hulud".

Kenapa Ini Jadi Sinyal Penting Buat Siapa Saja yang Pakai AI Coding Tool

Kasus ini menunjukkan pergeseran target serangan supply chain. Sebelumnya, titik masuk favorit adalah proses instalasi paket. Sekarang, konfigurasi workspace milik tool AI coding seperti Claude Code turut jadi sasaran, karena tool-tool ini punya kebiasaan menjalankan hook otomatis saat sesi dibuka demi kenyamanan developer. Kenyamanan itu yang justru dieksploitasi. Sampai unpublish resmi dilakukan pada versi Keyv dan Cacheable yang terinfeksi, tag "latest" di banyak paket lain yang ikut tercemar masih mengarah ke versi berbahaya. Artinya, sekadar melakukan npm update tanpa mengecek daftar paket yang kena tidak cukup untuk memastikan aman.

Pendekatan yang lebih aman adalah membatasi apa yang bisa dieksekusi otomatis oleh tool AI, bukan hanya mengandalkan dialog konfirmasi "trust" yang gampang diklik tanpa dibaca. Di TanpaNgoding AI, eksekusi kode dari AI berjalan di dalam sandbox dengan daftar perintah artisan yang divalidasi lewat allowlist, bukan shell bebas yang bisa menjalankan skrip arbitrer dari file konfigurasi manapun. Prinsip ini yang membuat celah seperti hook workspace otomatis di atas tidak punya jalan masuk yang sama.