Prompt Injection di Pipeline CI/CD: Clinejection dan Comment and Control

Prompt injection CI/CD adalah risiko rantai pasok perangkat lunak baru: teks di judul issue, judul pull request, atau komentar GitHub dapat membujuk agen AI di pipeline membocorkan rahasia atau menerbitkan paket berbahaya. Kasus Clinejection dan riset Comment and Control pada 2026 menunjukkan caranya, dan pembelaan utamanya adalah membatasi hak akses bot AI.

Prompt Injection CI/CD: Mengapa Agen AI di Pipeline Berisiko

Banyak tim kini memasang agen AI di GitHub Actions untuk menyortir issue, meninjau pull request, atau memperbaiki kode secara otomatis. Agen semacam ini membaca teks yang ditulis siapa saja, dan di saat yang sama memegang sesuatu yang berharga: token repositori, kunci API model, atau izin menerbitkan paket. Model bahasa tidak dapat membedakan secara andal antara instruksi dari pemilik dan teks yang diselipkan penyerang. Gabungan teks tidak tepercaya, akses ke rahasia, dan kemampuan menjalankan aksi inilah yang membuat prompt injection di pipeline CI/CD berbahaya. Dasar konsepnya dibahas di artikel Prompt Injection: Ancaman Utama AI Browser dan AI Agent.

Clinejection: Dari Judul Issue ke Rilis npm Tanpa Izin

Peneliti Adnan Khan mempublikasikan temuan yang ia namai Clinejection di blognya pada 9 Februari 2026, setelah melaporkannya secara privat ke Cline sejak 1 Januari 2026 tanpa tanggapan memadai. Menurut tulisannya, alur triase issue otomatis milik Cline dapat dipicu akun GitHub mana pun, memberi agen AI akses shell, dan memasukkan judul issue langsung ke prompt. Catatan riset Cloud Security Alliance merangkumnya sebagai rantai empat masalah: injeksi tidak langsung lewat judul issue, pengambilan token penerbitan npm dari lingkungan alur kerja, peracunan cache artefak CI yang juga dipakai alur rilis, dan penerbitan artefak ke registri npm. Cline menggabungkan perbaikan pada hari pengungkapan.

Masalahnya belum selesai. Menurut koreksi Cline yang dikutip Khan, rotasi kredensial setelah pengungkapan tidak tuntas: token yang dihapus ternyata keliru, dan token yang terpapar masih aktif. Pada 17 Februari 2026 pihak tak dikenal memakai token itu untuk menerbitkan [email protected]. Menurut advisory GHSA-9ppg-jx86-fqw7, rilis itu identik dengan 2.2.3 kecuali skrip postinstall yang memasang paket OpenClaw secara global. OpenClaw sendiri bukan malware, tetapi pemasangannya tidak sah. Rilis itu hidup sekitar delapan jam sebelum Cline menerbitkan versi 2.4.0 dan menandai 2.3.0 sebagai usang. Token yang benar kemudian dicabut, penerbitan npm kini memakai OIDC provenance lewat GitHub Actions, dan ekstensi VS Code serta plugin JetBrains tidak terdampak.

Perhatikan pelajarannya: tidak ada kerentanan memori atau peretasan server. Rantainya memakai fitur yang sah dengan izin yang terlalu longgar, ditambah rotasi kredensial yang tidak diverifikasi setelah insiden. Untuk gambaran dampak paket berbahaya serupa, baca Supply Chain Attack Perangkat Lunak.

Comment and Control: Teks GitHub yang Membuat Tiga Agen Membocorkan Rahasia

Riset terpisah oleh Aonan Guan bersama Zhengyu Liu dan Gavin Zhong dari Johns Hopkins, seperti dirangkum VentureBeat, pada 21 April 2026, menunjukkan bahwa instruksi yang disisipkan ke judul pull request dapat membuat Claude Code Security Review dari Anthropic menuliskan kunci API miliknya sendiri di komentar publik. Varian sejenis, lewat komentar issue atau komentar HTML tersembunyi, juga berhasil terhadap Gemini CLI Action dari Google dan agen Copilot dari GitHub. Faktor yang memperbesar risikonya adalah pemicu pull_request_target, yang menurut VentureBeat dibutuhkan sebagian besar integrasi agen AI agar dapat memakai rahasia, karena pemicu itu menyuntikkan rahasia ke lingkungan runner.

Tanggapan vendor beragam. Menurut VentureBeat, hadiah bug bounty yang dibayarkan kecil, yaitu 100 dolar AS dari Anthropic, 1.337 dolar AS dari Google, dan 500 dolar AS dari GitHub. Ketiganya menambal secara senyap, dan pada saat laporan itu terbit belum ada CVE atau advisory di NVD maupun GitHub Security Advisories. Anthropic memperjelas dokumentasinya bahwa fitur tersebut dirancang untuk masukan pihak pertama yang tepercaya, dan memproses pull request tidak tepercaya berarti menanggung risiko tambahan.

Celah Terkait pada Claude Code dan claude-code-action

Agen AI di pipeline menjalankan alat coding agentic di runner, sehingga kerentanan pada alat itu ikut menjadi risiko CI/CD. Dua catatan resmi yang relevan per 29 Oktober 2026:

• CVE-2025-66032 pada Claude Code (paket npm @anthropic-ai/claude-code) sebelum versi 1.0.93: kesalahan mengurai perintah shell membuat validasi mode hanya-baca dapat dilewati hingga berujung eksekusi kode. Menurut advisory GHSA-xq4m-mc3c-vvg3, eksploitasi yang andal memerlukan kemampuan memasukkan konten tidak tepercaya ke jendela konteks Claude Code, kondisi yang persis terjadi saat agen membaca issue atau pull request dari pihak luar. Skornya CVSS 4.0 8,7 (tinggi) pada rekam CVE dari CNA GitHub, dipublikasikan 3 Desember 2025, dan pelapornya RyotaK dari GMO Flatt Security. Perbaikan ada di versi 1.0.93.
• CVE-2026-47751 pada claude-code-action sebelum versi 1.0.74: action memeriksa cabang pull request milik penyerang, membaca berkas konfigurasi MCP dari direktori kerja, dan mengaktifkan semua server MCP proyek tanpa syarat. Akibatnya penyerang yang membuka pull request dapat menjalankan kode di runner dan mencuri rahasia workflow ketika action dipicu pada pull request itu. Skornya CVSS 4.0 5,3 (sedang) pada rekam CVE dari CNA GitHub.

Menurut advisory Anthropic, pengguna yang merujuk tag bergerak seperti v1 sudah otomatis menerima perbaikan action, sedangkan yang mengunci versi lama perlu memperbarui sendiri. Ini menunjukkan tarik-menarik yang nyata: mengunci versi dengan hash commit melindungi dari tag yang dibajak, tetapi berarti Anda wajib memantau advisory dan memperbarui secara aktif.

Cara Mengamankan Pipeline CI/CD dari Prompt Injection

Seluruh rekomendasi riset di atas mengerucut pada prinsip hak akses minimum. Praktiknya:

1. Jangan berikan rahasia pada workflow yang dapat dipicu pihak luar. Pisahkan agen yang membaca teks tidak tepercaya dari langkah yang memegang kredensial.
2. Batasi izin token GitHub (permissions) hanya pada yang dibutuhkan. Gunakan token OIDC berumur pendek dan hindari izin tulis serta penerbitan yang tidak perlu.
3. Kunci setiap action dengan hash commit lengkap, bukan tag yang dapat berubah.
4. Pasang persetujuan manusia (environment protection) sebelum aksi berhak istimewa, dan batasi kontributor baru agar tidak otomatis memicu agen.
5. Cabut akses shell dari agen peninjau kode, jadikan akses repositori hanya baca, dan biarkan agen menghasilkan rekomendasi terstruktur sementara lapisan eksekusi terpisah yang memegang kredensial.
6. Batasi lalu lintas keluar dari runner CI, aktifkan secret scanning dan push protection, dan anggap rahasia yang muncul di log sebagai insiden.
7. Saring masukan sebelum masuk ke prompt, tetapi jangan menjadikannya satu-satunya pertahanan, karena prompt injection tidak deterministik.

Untuk tim yang ingin menilai pipeline secara menyeluruh, tersedia kursus Linuxhackingid yang mencakup keamanan aplikasi dan DevSecOps. Gejala lain di sisi pengembang, misalnya asisten kode yang rentan, dibahas di IDEsaster.

Satu catatan tentang bukti: pada kasus Comment and Control, ketiga vendor menambal tanpa menerbitkan CVE, sehingga pemindai kerentanan biasa tidak akan memberi tahu Anda bahwa konfigurasi agen Anda berisiko. Audit manual terhadap workflow, izin token, dan pemicu menjadi cara yang paling andal. Mulailah dari daftar semua workflow yang memanggil agen AI, lalu catat untuk masing-masing: siapa yang dapat memicunya, rahasia apa yang tersedia, dan aksi tulis apa yang diizinkan.

Pertanyaan yang Sering Diajukan

Apakah semua agen AI di GitHub Actions berbahaya?

Tidak. Risikonya muncul bila agen membaca teks dari pihak luar sambil memegang rahasia atau izin tulis. Agen tanpa rahasia dan dengan akses hanya baca jauh lebih aman.

Apakah memperbarui versi action sudah cukup?

Itu langkah pertama, terutama untuk CVE-2025-66032 dan CVE-2026-47751. Namun kelas masalahnya adalah desain izin, sehingga audit workflow dan pembatasan hak akses tetap diperlukan.

Bagaimana mengetahui bahwa pipeline saya sudah terdampak?

Periksa riwayat rilis dan penerbitan paket, catatan eksekusi workflow, dan komentar atau log yang memuat rahasia. Jika ada indikasi, putar seluruh kredensial terkait dan perlakukan sebagai insiden.

Kesimpulan

Agen AI di pipeline adalah akun dengan izin nyata yang membaca teks dari orang asing. Perlakukan ia seperti pihak luar yang hanya boleh melakukan hal minimum. Linuxhackingid siap membantu Anda mempelajari dan menguji pengamanan rantai pasok perangkat lunak di organisasi Anda.