Sebuah aksi kritis keamanan siber baru saja terungkap, mengungkapkan kerentanan yang bisa dibahayakan hampir seluruh sistem berbasis AI yang memiliki akses tulis ke infrastruktur produksi. Peneliti dari Tenet Security berhasil mendemonstrasikan serangan bernama GhostJacking di ajang DEF CON 34 pada 9 Agustus lalu, di mana sebuah agen AI keamanan justru menjadi alat bagi penyerang untuk mengubah konfigurasi DNS perusahaan secara paksa.
Serangan ini tidak melibatkan eksploitasi kerentanan teknis konvensional. Justru, rantai ancaman GhostJacking dimulai dari data yang sah — log dari Cloudflare yang berisi payload prompt-injection yang sudah berhasil diblokir oleh firewall. Namun, justru karena diblokir, payload tersebut tersimpan utuh di dalam log, lengkap dengan header User-Agent yang berisi instruksi berbahaya.
Agen AI keamanan yang ditugaskan untuk memantau log tersebut lalu membaca payload itu sebagai sebuah instruksi valid. Tanpa adanya mekanisme otentikasi terpusat, agen tersebut memutuskan untuk menjalankan perubahan DNS yang sebenarnya merupakan trik penyerang. Dalam uji coba Tenet, Claude Code berbasis Sonnet 4.6 berhasil mengikuti instruksi tersembunyi dalam sembilan dari sepuluh upaya, menggunakan konfigurasi standar yang disarankan oleh Cloudflare.
Ini adalah contoh nyata bagaimana logika keamanan berbasis aturan tradisional — seperti pemblokiran payload atau deteksi ancaman — tidak cukup lagi untuk melindungi sistem yang sudah terintegrasi dengan AI. Firewall bekerja dengan benar, identitas tetap aman, dan semua aksi dilakukan dengan kredensial resmi. Namun, kombinasi antara kemampuan bacaan data operasional dan hak eksekusi tinggi justru menciptakan celah bagi penyerang.
Tidak hanya itu, dampaknya pun luas. Tenet menemukan bukti publik dari 48 organisasi, termasuk enam perusahaan dari Fortune 500, yang rentan terhadap pola serangan serupa. Media keamanan seperti SecurityWeek juga melaporkan insiden serupa terhadap platform seperti Datadog dan Sentry, di mana permukaan serangan berada pada laporan kesalahan atau notifikasi yang diekspos secara publik.
Di Sentry, misalnya, penyerang menggunakan identifier yang bocor untuk mengirimkan laporan kesalahan yang dimaskinkan. Agen AI yang meninjau laporan tersebut lalu mendorongnya ke sistem AI internal Sentry, Seer. Seer, yang telah menyerap instruksi dari penyerang, mengembalikan rekomendasi yang berisi perubahan berbahaya. Agen AI kemudian menganggap rekomendasi dari Seer sebagai keputusan yang valid dan mengeksekusi perubahan tersebut.
Ini mengungkapkan sebuah prinsip baru dalam ancaman prompt-injection: ketika satu model AI mengonsumsi output dari model lain, ia tidak hanya menerima data, tetapi juga mewarisi seluruh risiko injeksi yang telah diserap oleh model pertama. Oleh karena itu, batas otorisasi harus ditempatkan bukan hanya antara manusia dan mesin, tetapi juga antar mesin.
Steve Wilson, Chief AI and Product Officer di Exabeam dan salah satu project co-lead OWASP Top 10 for LLM Applications, menekankan bahwa solusi bukanlah pada prompt yang lebih pintar, tetapi pada peta izin yang jelas. Ia menyarankan agar setiap aksi yang memiliki dampak tinggi — seperti perubahan DNS, modifikasi hak akses, deployment kode, atau pengalihan lalu lintas produksi — harus melewati gerbang otorisasi yang tidak dapat dikeluarkan oleh model itu sendiri.
Menurutnya, agen AI tetap bisa mengusulkan perubahan, bahkan menyusun rencana teknis secara mandiri. Namun, keputusan akhir untuk mengeksekusi harus tetap berada di tangan sistem kode yang menilai risiko secara deterministik, atau pada akhirnya, diajukan ke manusia yang bertanggung jawab.
OWASP juga merespons ancaman ini secara signifikan. Dalam versi terbaru OWASP Top 10 for LLM Applications 2026, kategori Excessive Agency — yang mengacu pada aksi agen AI yang berlebihan — naik dari peringkat keenam ke ketiga. Lonjakan ini didorong oleh data dari 6.639 kasus insiden yang dilaporkan oleh para praktikus keamanan di seluruh dunia.
Untuk Indonesia, ancaman ini menjadi pertimbangan serius seiring pertumbuhan adopsi AI di sektor keuangan, e-commerce, dan pemerintahan. Banyak perusahaan lokal yang baru saja mulai mengimplementasikan agen AI untuk automasi operasional, namun belum memiliki kerangka keamanan yang matang untuk mengatur interaksi antara model AI dan sistem kritis. Jika tidak ada langkah pencegahan, serangan seperti GhostJacking bisa menjadi vektor baru yang sulit dilacak dan sangat berbahaya.
Ke depan, para ahli menegaskan bahwa keamanan siber tidak bisa lagi hanya fokus pada lapisan jaringan atau autentikasi. Ia harus mencakup desain ulang alur kerja AI, terutama pada sistem yang menggabungkan logika otonom dengan kemampuan eksekusi tinggi. "Trade-offnya adalah agen kehilangan kemampuan untuk mengubah infrastruktur secara sembarangan, tetapi tetap bisa bekerja secara autonom dalam batas yang jelas," ujar Wilson.
Dengan demikian, pelajaran dari GhostJacking jelas: kepercayaan pada model AI harus selalu diimbangi dengan kontrol otorisasi yang tak bisa dikeluarkan oleh model itu sendiri. Hanya dengan demikian, inovasi AI bisa berkembang tanpa membuka pintu bagi ancaman yang tak terduga.