Kredensial AI Bocor di Ratusan Agent Skills dan Aplikasi iOS

Riset Wake Forest University menunjukkan kelemahan yang sama di dua ekosistem AI yang berkembang pesat: kredensial sering ditempatkan di lokasi yang dapat diambil oleh agen, aplikasi, atau penyerang. Satu studi meneliti 17.022 agent skills pihak ketiga dan menemukan 520 skills terdampak dengan total 1.708 masalah keamanan. Studi terkait terhadap 444 aplikasi iOS berfitur large language model (LLM) menemukan 282 aplikasi mengekspos kredensial atau mekanisme akses backend saat diuji. 124

Risikonya tidak berhenti pada sekadar “string” rahasia yang bocor. Kunci API atau token yang terbuka dapat memberi penyerang akses ke data privat, kemampuan agen, atau layanan inferensi berbayar yang ditagihkan ke akun pengembang.

Temuan pada agent skills

Peneliti memilih 17.022 skills dari 170.226 artefak di SkillsMP, sebuah marketplace terbuka untuk agent skills. Analisis dilakukan dengan tiga pendekatan: deteksi rahasia secara statis, pengujian dinamis di sandbox menggunakan kredensial palsu, serta pemeriksaan kesesuaian antara tujuan yang dinyatakan sebuah skill dan perilakunya saat dijalankan. 34

Hasilnya menunjukkan:

• 520 skills terdampak dengan 1.708 masalah keamanan yang terbagi dalam 10 pola kebocoran kredensial. 416
• 466 dari 520 skills terdampak mengekspos kredensial yang dapat digunakan tanpa hak istimewa tambahan. Angka ini setara dengan tingkat eksploitasi langsung 89,6% yang dilaporkan penelitian. 14
• 76,3% kasus kebocoran memerlukan pemeriksaan gabungan atas instruksi bahasa alami dan kode program.
• 3,1% kasus melibatkan injeksi prompt berbasis bahasa alami tanpa kode yang dapat dieksekusi. 4

Temuan ini menunjukkan bahwa peninjauan kode secara konvensional saja belum tentu cukup. Sebuah skill dapat terlihat seperti alat untuk tugas yang sah, tetapi instruksinya atau skrip pendukungnya tetap bisa mengekspos rahasia saat dijalankan.

Output debug dapat menjadi data yang terbaca model

Debug logging menjadi salah satu jalur kebocoran paling penting. Pada framework agen yang memasukkan standard output ke dalam konteks model, kredensial yang dicetak melalui fungsi seperti print atau console.log dapat terbaca lewat permintaan bahasa alami biasa. Ringkasan studi tersebut menyebut debug logging sebagai vektor utama dan mengaitkan 73,5% kebocoran dengan tereksposnya output kepada LLM. 4

Bahaya ini tidak hanya berasal dari kunci API yang ditulis secara terang-terangan di dalam kode. Kredensial juga dapat terbuka melalui skrip, pengelolaan environment, log, instruksi prompt, atau kombinasi kode dan bahasa yang baru menjadi berbahaya ketika proses berjalan normal.

Pengembang jahat dan pengembang lalai sama-sama berperan

Riset tersebut membagi penyebab utama kebocoran kredensial ke dalam dua kategori:

• Pengembangan berbahaya: pembuat skill sengaja memasukkan instruksi atau muatan yang dirancang untuk mengumpulkan kredensial maupun data privat, bahkan berpotensi mengirimkannya ke server jarak jauh.
• Pengembangan yang lalai: pengembang tidak menerapkan praktik keamanan yang memadai sehingga tanpa sengaja meninggalkan kredensial atau jalur akses yang dapat dimanfaatkan penyerang. 1

Perbedaan ini penting untuk menentukan penanganan. Konten berbahaya perlu disaring dan dihapus, sedangkan kebocoran yang tidak disengaja membutuhkan pengelolaan secret yang lebih baik, logging yang aman, kontrol autentikasi, serta pengujian sebelum distribusi.

Setelah mendapat pemberitahuan dari peneliti, Wake Forest menyatakan bahwa seluruh skill berbahaya yang teridentifikasi telah dihapus dan sebagian besar skill rentan telah diperbaiki. Namun, studi tersebut memperingatkan bahwa membersihkan repositori asli belum tentu menyelesaikan masalah: salinan fork dapat tetap menyimpan kredensial yang sudah terekspos meski sumbernya telah diperbaiki. 14

Studi iOS menemukan jalur lain menuju pembajakan akun LLM

Riset Wake Forest lainnya menganalisis 444 aplikasi iOS yang memiliki fitur LLM. Sebanyak 282 aplikasi—sekitar 64%—ditemukan mengekspos kredensial LLM atau mekanisme akses backend yang dapat dieksploitasi melalui lalu lintas jaringan. 25

Pola paparan yang dilaporkan mencakup:

• Token berbasis JWT yang dapat digunakan kembali: 48%
• Proxy backend tanpa autentikasi: 33%
• Pengiriman kunci API dalam teks biasa: 19% 3

Kelemahan tersebut dapat terlihat ketika aplikasi digunakan secara normal. Penyerang yang menangkap kunci, menggunakan kembali token, atau menemukan proxy terbuka mungkin dapat mengirim permintaan melalui akun LLM milik pengembang. Akibatnya, layanan inferensi berbayar dapat disalahgunakan, sumber daya cloud terkait terkuras, atau biaya penggunaan tidak sah dibebankan ke akun pengembang. 25

Bukti yang tersedia mendukung risiko tagihan yang sangat besar atau berpotensi tidak terbatas, bergantung pada batas akun dan berapa lama akses ilegal berlangsung. Namun, bukti tersebut tidak secara mandiri membuktikan angka kerugian tertentu, misalnya “ratusan ribu dolar”.

Perbaikan juga berjalan lambat. Tiga bulan setelah pengungkapan yang bertanggung jawab, hanya 28% aplikasi iOS terdampak yang telah memperbaiki kerentanannya. Artinya, 72% masih dapat dieksploitasi dalam tindak lanjut penelitian. 311

Mengapa temuan ini penting di tengah maraknya AI-assisted development

Jika sebuah aplikasi menambahkan fitur AI atau memasang agent skill yang dapat digunakan ulang, permukaan serangannya ikut meluas. Risiko baru yang perlu diperhitungkan antara lain:

• Kunci API penyedia layanan yang ditanam di aplikasi klien atau terekspos di konteks agen
• Tool dengan hak istimewa yang dapat mengakses file, layanan, atau data privat
• Log yang tanpa sengaja menjadi bagian dari konteks yang dapat dibaca model
• Endpoint backend yang menerima permintaan tanpa autentikasi memadai
• Token yang dapat digunakan kembali oleh penyerang
• Tagihan penggunaan LLM yang dapat dihasilkan penyerang melalui akun pengembang

Perhatian semakin besar ketika pengembang memakai “vibe coding”, yakni membuat dan merangkai perangkat lunak dengan bantuan AI secara sangat cepat. Kecepatan tidak dapat menggantikan threat modeling atau pemodelan ancaman. Autentikasi, pengelolaan secret, otorisasi, logging, dan peninjauan dependensi tetap memerlukan rekayasa yang disengaja.

Studi agent skills juga melaporkan bahwa 72% kasus kredensial hardcoded menunjukkan tanda-tanda pengembangan berbantuan AI. Temuan ini mengisyaratkan bahwa pola kode yang tidak aman dapat menyebar melalui kode hasil generasi AI atau proyek yang dirakit dengan cepat. 4

Praktik keamanan sejak desain

Temuan kedua studi tersebut mendukung sejumlah langkah dasar bagi tim yang membangun produk AI atau mendistribusikan agent skills:

1. Jangan menaruh kunci penyedia layanan yang berumur panjang di perangkat klien atau konteks model. Arahkan panggilan model yang sensitif melalui server yang terautentikasi.
2. Gunakan kredensial berumur pendek dengan cakupan terbatas. Terapkan prinsip hak minimum dan validasi token, bukan menganggap kepemilikan token sebagai bukti otorisasi yang cukup.
3. Hapus atau samarkan secret dari log dan standard output. Anggap semua data yang masuk ke konteks agen berpotensi dipulihkan oleh model atau pengguna.
4. Pindai kode, konfigurasi, prompt, dan dependensi untuk menemukan secret. Temuan pada agent skills menunjukkan bahwa instruksi bahasa alami dan kode yang dapat dieksekusi harus ditinjau secara bersamaan.
5. Uji lalu lintas jaringan dan otorisasi backend. Pastikan permintaan yang disadap tidak dapat digunakan kembali atau dialihkan melalui proxy tanpa autentikasi.
6. Putar ulang atau cabut kredensial yang terekspos, lalu periksa fork dan salinannya. Menghapus secret dari repositori asli tidak menjamin semua versi yang telah didistribusikan ikut bersih.
7. Tambahkan peninjauan tingkat platform sebelum distribusi. Penyaringan marketplace, panduan bagi pengembang, pengungkapan yang bertanggung jawab, dan pemeriksaan otomatis dapat melengkapi kesadaran individu. 34

Pesan utamanya sederhana: keamanan AI tidak boleh baru dipikirkan setelah produk dirilis. Kredensial, izin agen, konteks model, dan pengendalian tagihan harus diperlakukan sebagai bagian inti dari keamanan produk sejak awal.