Prompt Injection: Ancaman Utama AI Browser dan AI Agent

Prompt injection adalah serangan di mana instruksi tersembunyi dalam teks yang dibaca AI membuat asisten atau agen AI melakukan hal yang tidak diminta penggunanya. Risikonya bertambah sejak AI browser dan AI agent diberi akses ke akun login, email, dan alat kerja. OpenAI menyebutnya masalah keamanan yang belum terpecahkan, dan NCSC Inggris pada Desember 2025 mengingatkan bahwa serangan ini mungkin tidak akan pernah sepenuhnya termitigasi.

Apa Itu Prompt Injection

Model bahasa menerima instruksi dan data dalam bentuk yang sama: teks. Ia tidak punya batas tegas antara perintah dari pengguna dan isi halaman web atau email yang sedang diringkas. Di sinilah prompt injection bekerja. Ada dua bentuk utama:

• Direct prompt injection: pengguna sendiri mencoba membuat model melanggar aturannya.
• Indirect prompt injection: instruksi disisipkan pada konten pihak ketiga, misalnya halaman web, komentar, email, dokumen, atau kolom kalender, lalu dibaca oleh agen saat mengerjakan tugas yang sah. Bentuk inilah yang paling berbahaya bagi AI browser dan agen.

Artikel ini sengaja tidak memuat contoh teks serangan; fokusnya pada cara kerja, bukti di lapangan, dan pertahanan. Pola dasarnya mirip social engineering, hanya saja yang dibujuk adalah model, bukan manusia.

Mengapa AI Browser dan AI Agent Menjadi Target Utama

Asisten AI yang hanya menjawab pertanyaan paling jauh membocorkan teks. Agen yang bisa membuka situs, mengisi formulir, dan mengirim email bekerja dengan hak akses penggunanya. Artem Chaikin dan Shivan Kaul Sahib dari Brave menjelaskan pada 20 Agustus 2025 bahwa saat diminta meringkas halaman, browser Comet milik Perplexity meneruskan sebagian isi halaman ke modelnya tanpa memisahkan permintaan pengguna dari konten halaman yang tidak tepercaya. Karena agen berjalan dengan hak akses pengguna yang sedang login, kontrol browser seperti same-origin policy tidak melindungi dari agen yang dibujuk bertindak lintas situs. Brave melaporkan temuan ini ke Perplexity pada 25 Juli 2025. Perbaikan awal pada 27 Juli ternyata belum lengkap saat diuji ulang keesokan harinya. Menjelang publikasi celah itu tampak sudah ditambal, tetapi pembaruan pada artikel Brave menyebut pengujian lanjutan menunjukkan Perplexity belum sepenuhnya memitigasi jenis serangan tersebut. Detail penjelasan ada di tulisan Brave tentang Comet.

Pernyataan Vendor dan Lembaga: Masalah yang Belum Selesai

• OpenAI meluncurkan ChatGPT Atlas pada 21 Oktober 2025. Sehari kemudian, CISO OpenAI Dane Stuckey menulis di X bahwa prompt injection masih merupakan masalah keamanan frontier yang belum terpecahkan, seperti dilaporkan The Register. Atlas juga dilengkapi mode logged in dan logged out untuk membantu pengguna membatasi akses agen ke data akun.
• Pada 22 Desember 2025, OpenAI merilis pembaruan keamanan Atlas setelah red-teaming otomatis internal menemukan kelas serangan prompt injection baru. Perusahaan menyebut prompt injection sebagai salah satu risiko paling signifikan yang mereka hadapi dan menulis bahwa, seperti penipuan dan social engineering di web, masalah ini kemungkinan tidak akan pernah sepenuhnya terpecahkan. Pembaruan itu mencakup model yang dilatih secara adversarial, sementara pengujiannya memakai penyerang otomatis berbasis LLM yang dilatih dengan reinforcement learning. Ulasan CyberScoop pada 30 Desember 2025 memuat rinciannya.
• NCSC Inggris, dalam tulisan blog 8 Desember 2025, memperingatkan bahwa karena model tidak membedakan data dan instruksi, serangan prompt injection sangat mungkin tidak akan pernah termitigasi sepenuhnya seperti SQL injection. Menurut NCSC, yang realistis adalah mengurangi kemungkinan dan dampak serangan.

Dari Demo Laboratorium ke Penyalahgunaan di Web

Laporan dari tiga pihak pada 2026 menunjukkan bahwa ini bukan lagi sekadar demonstrasi. Unit 42 Palo Alto Networks (3 Maret 2026) mendokumentasikan dua belas kasus indirect prompt injection di dunia nyata terhadap agen AI, termasuk yang disebutnya sebagai deteksi pertama yang dilaporkan dari upaya mengelabui sistem peninjau iklan berbasis AI. Cara penyisipan terbanyak dalam telemetri mereka (37,8 persen) justru teks biasa yang terlihat, misalnya diletakkan di footer halaman yang jarang dibaca, diikuti penyembunyian di atribut HTML (19,8 persen) dan lewat CSS (16,9 persen). Forcepoint X-Labs (22 April 2026) menemukan sepuluh payload terverifikasi di sepuluh domain berbeda, dengan tujuan antara lain penipuan pembayaran, perintah shell destruktif, dan pencurian kunci API. Google (23 April 2026) melaporkan kenaikan relatif 32 persen kategori prompt injection berbahaya antara November 2025 dan Februari 2026 pada snapshot Common Crawl, yang masing-masing berisi 2 sampai 3 miliar halaman. Meski begitu, Google menilai kecanggihannya masih terbatas: sebagian besar temuan berasal dari pemilik situs yang bereksperimen atau iseng, dan serangan tingkat lanjut belum banyak terlihat.

Insiden lain pada pipeline CI/CD dan data perusahaan dibahas di prompt injection di pipeline CI/CD dan ForcedLeak.

Cara Mengurangi Risiko

Karena belum ada tambalan tunggal, strateginya adalah membatasi dampak:

• Pisahkan konteks: perlakukan konten web, email, dan dokumen sebagai tidak tepercaya; jangan biarkan agen mengikuti instruksi dari data.
• Hak akses minimum: beri agen akses sesempit mungkin. Agen yang bisa membayar, menghapus data, atau menjalankan kode perlu perhatian paling awal.
• Persetujuan manusia: wajibkan konfirmasi untuk pembayaran, penghapusan, pengiriman data keluar, dan perubahan kode.
• Mode terbatas: gunakan mode logged out bila tugas tidak membutuhkan akun, dan batasi mode login pada tugas sempit di situs tepercaya.
• Batasi keluaran: izinkan render gambar Markdown hanya dari domain yang diizinkan agar data tidak bocor lewat URL.
• Audit dan log: catat tindakan agen dan tinjau secara berkala.
• Inventaris: daftar semua agen yang membaca data eksternal beserta kredensialnya. Kerangka risiko lengkap ada di OWASP Top 10 untuk Agentic AI dan LLM.

Jangan menunggu nomor CVE sebagai tanda bahaya. Kasus Comet di atas, misalnya, diumumkan lewat blog peneliti, jadi pantau juga advisori vendor dan laporan riset keamanan.

Relevansi untuk Pengguna dan Perusahaan di Indonesia

Karyawan bisa saja sudah memakai AI browser atau asisten dengan akses ke email dan dokumen kantor tanpa sepengetahuan tim keamanan. Mulailah dari kebijakan yang jelas tentang alat AI yang diizinkan, pelatihan singkat bagi staf, dan pemisahan profil browser untuk tugas agen. Untuk memahami modul keamanan AI secara terstruktur, lihat kursus di Linuxhackingid.

Pertanyaan yang Sering Diajukan

Apa beda prompt injection dan jailbreak?

Jailbreak biasanya dilakukan pengguna sendiri untuk melewati aturan model. Pada indirect prompt injection, instruksi disisipkan pihak ketiga pada konten yang dibaca agen, sehingga pengguna sah justru menjadi korban.

Apakah prompt injection bisa dicegah sepenuhnya?

Saat ini belum. OpenAI menyebutnya kemungkinan tidak akan pernah sepenuhnya terpecahkan, dan NCSC menilai serangan ini mungkin tidak akan pernah termitigasi sepenuhnya. Pendekatannya adalah berlapis: batasi akses, minta konfirmasi, dan pantau.

Amankah memakai AI browser?

Tergantung penggunaan. Hindari memberi agen akses ke akun sensitif seperti perbankan dan email utama, dan gunakan mode tanpa login bila memungkinkan.

Kesimpulan

Agen AI yang membaca konten tidak tepercaya dan memegang akses login Anda adalah permukaan serangan baru. Per 29 Oktober 2026 belum ada solusi tunggal yang diakui vendor maupun lembaga keamanan, sehingga disiplin akses minimum dan persetujuan manusia menjadi kunci. Linuxhackingid akan terus mengulas perkembangan keamanan AI agar tim Anda tidak tertinggal.