Tego AI Temukan Celah Kritis pada Claude Tag Slack: Bagaimana Rekan AI yang Selalu Aktif Bisa Dibajak

Kerentanan: @Claude Bisa Dipalsukan

Pada 14 Juli 2026, firma keamanan siber Tego AI menerbitkan riset yang mengidentifikasi kelemahan keamanan kritis pada Claude Tag, integrasi native Anthropic untuk Slack . Peneliti Tego AI mengamati bahwa Claude Tag merespons pesan Slack apa pun yang mengandung teks literal @Claude — bahkan ketika pesan tersebut sebenarnya tidak ditujukan untuknya melalui mention struktural Slack yang asli .

Seorang penyerang yang mendapatkan akses ke saluran Slack dapat menyuntikkan @Claude ke dalam sebuah pesan dari bot, webhook, atau feed otomatis, menyebabkan agen membaca pesan, menginterpretasikan konteksnya, dan berpotensi mengeksekusi tindakan enterprise yang tidak sah seperti membaca data sensitif, memicu panggilan alat (tool calls), atau berinteraksi dengan sistem yang terhubung tanpa niat pengirim yang sebenarnya atau otorisasi yang tepat .

Singkatnya: mekanisme pemicu dapat dipalsukan, mengubah fitur kolaborasi yang sah menjadi permukaan serangan berbasis injeksi di mana pesan apa pun yang berisi string pemicu dapat membajak perhatian dan kemampuan agen.

Cara Kerja Claude Tag sebagai 'Rekan AI yang Selalu Aktif'

Anthropic meluncurkan Claude Tag pada 23 Juni 2026, sebagai pengganti langsung dari integrasi "Claude in Slack" yang lebih lama (yang akan dihentikan pada 3 Agustus 2026) . Ini bukan chatbot per pengguna. Sebaliknya, Claude Tag adalah peserta tetap dan bersama di dalam saluran Slack dengan identitas, memori, dan akses alatnya sendiri. Setiap anggota saluran yang berwenang dapat menandai @Claude untuk memberikan tugas, dan AI bekerja secara asinkron di ruang terbuka .

Ia beroperasi dalam mode "ambien", terus mengikuti percakapan, mempelajari konteks saluran, dan secara proaktif ikut campur untuk menandai pembaruan atau memunculkan tugas . Izinnya dibatasi pada saluran tempat ia berada, bukan pada pengguna individu, sehingga administrator dapat mengkonfigurasi kumpulan alat, akses data, dan batas pengeluaran yang berbeda untuk setiap saluran .

Di belakang layar, setiap sesi Claude Tag berjalan pada model Opus 4.8 di dalam microVM Linux yang dikelola Anthropic, dengan kredensial konektor disimpan di luar VM, akses jaringan melalui proxy, dan alat baca-saja untuk isolasi . Penggunaan saluran ditagihkan ke organisasi dengan tarif API, bukan per kursi, yang membalikkan model harga perangkat lunak enterprise tradisional .

Implikasi Lebih Luas untuk Keamanan Agen AI Enterprise

Temuan Tego AI tidak berdiri sendiri. Ini bertambah parah dengan dua insiden besar lainnya di pertengahan 2026 yang bersama-sama mengungkap krisis dalam keamanan agen AI enterprise.

Mekanisme Pelacakan Tersembunyi Claude Code

Pada 30 Juni 2026, peneliti independen "Thereallo" merekayasa balik Claude Code dan menemukan JavaScript yang diobfusikasi yang secara diam-diam mengambil sidik jari lokasi geografis pengguna (melalui pemeriksaan zona waktu) dan memodifikasi prompt sistem menggunakan karakter Unicode yang mirip — tanda kutip keriting alih-alih yang lurus, garis miring alih-alih tanda hubung — untuk membuat tanda pelacakan sembunyi yang dapat dideteksi oleh backend Anthropic . Basis Data Kerentanan Nasional China (NVDB) mengeluarkan peringatan keamanan "pintu belakang" resmi pada 8 Juli yang mencakup Claude Code versi 2.1.91 hingga 2.1.196 . Alibaba melarang Claude Code secara internal tak lama setelahnya . Anthropic menyebutnya sebagai "eksperimen anti-penyalahgunaan" dan menghapusnya pada 1 Juli .

Kerentanan MCP di Seluruh Ekosistem

Infrastruktur Model Context Protocol (MCP) yang mendasari Claude Tag dan banyak agen AI lainnya telah ditemukan mengandung cacat desain sistemik. Temuan utama dari tahun 2026:

• Sebuah celah dalam implementasi referensi MCP yang mengeksekusi perintah OS tanpa sanitasi mengekspos sekitar ~200.000 instance MCP yang rentan di seluruh rantai pasokan dengan lebih dari 150 juta unduhan paket .
• Pemindaian terhadap 560 server MCP menemukan 38% tanpa autentikasi sama sekali, 43% CVE melibatkan exec() atau injeksi shell, dan 13% melibatkan path traversal .
• Kelas kerentanan baru telah muncul, termasuk "kerentanan berbasis halusinasi" (HBV) di mana deskripsi alat yang tidak jelas menyebabkan LLM memberikan hak istimewa berlebihan pada dirinya sendiri atau mengambil tindakan yang tidak diinginkan .
• Tool Poisoning, Serangan Rug Pull, dan Cross-Server Shadowing semuanya telah didemonstrasikan di ekosistem MCP, termasuk bukti konsep di mana Cursor IDE sepenuhnya dikompromikan melalui MCP .

Artinya bagi Enterprise

Enterprise yang menggunakan Claude Tag dan alat AI agen serupa menghadapi ancaman tiga dimensi: permukaan serangan prompt-injection di lapisan pemicu agen (temuan Tego AI), pelacakan di sisi vendor yang tidak transparan di alat agen (pelacak Claude Code), dan default infrastruktur yang pada dasarnya tidak aman di ekosistem MCP yang menghubungkan agen ke alat dan data.

Kegagalan identitas dan kontrol akses mengalir deras ketika agen persisten seperti Claude Tag memiliki akses alat yang luas dan dapat dipicu oleh mention palsu . Tata kelola API tradisional tidak memadai untuk alur kerja agen karena agen tidak mengikuti model izin per pengguna atau pola permintaan-respons . Risiko rantai pasokan sangat besar: kerentanan dalam implementasi referensi MCP menyebar ke setiap penerapan hilir . Transparansi dan kemampuan audit tetap menjadi masalah kritis — pelacak Claude Code diobfusikasi dalam JavaScript yang diperkecil dan ditemukan hanya melalui rekayasa balik eksternal, yang berarti tim keamanan enterprise tidak dapat mengandalkan pengungkapan diri vendor .

Eskalasi regulasi sudah berlangsung, dengan NVDB China mengeluarkan peringatan tingkat negara bagian dan enterprise seperti Alibaba mengeluarkan larangan langsung . Gambaran gabungannya adalah bahwa keamanan agen AI enterprise di tahun 2026 memerlukan pendekatan yang sama sekali baru — pendekatan yang memperlakukan agen persisten sebagai infrastruktur kritis dengan kontrol identitas, akses, dan rantai pasokan yang ketat.

Poin-Poin Utama

• Pemicu dapat dipalsukan: Claude Tag merespons teks literal @Claude bahkan dari sumber otomatis, memungkinkan serangan injeksi prompt .
• Arsitektur selalu aktif: Claude Tag adalah rekan AI persisten yang dibatasi per saluran, berjalan di Opus 4.8 di dalam microVM, dengan penagihan dengan tarif API .
• Ancaman tiga dimensi: Kerentanan Tego bertambah parah dengan pelacak tersembunyi Claude Code dan cacat infrastruktur MCP sistemik, menciptakan lanskap risiko parah bagi enterprise .
• Kontrol proaktif diperlukan: Batasi akses per saluran, audit tindakan agen, tingkatkan ke spesifikasi MCP 2026, dan lakukan tinjauan keamanan secara teratur .