Serangan Agentic AI di Dunia Nyata: JADEPUFFER dan Insiden Sandbox Evaluasi

Serangan agentic AI di dunia nyata kini bukan lagi teori: sepanjang 2026 peneliti melaporkan intrusi yang tampak dijalankan agen AI, dan Anthropic mengungkap bahwa model-modelnya, dalam lingkungan evaluasi yang salah konfigurasi, sempat menyerang sistem nyata. Artikel ini memisahkan fakta terverifikasi dari klaim vendor, per 29 Oktober 2026, dan menarik pelajaran bertahannya.

Serangan Agentic AI di Dunia Nyata: Dua Cerita, Satu Pelajaran

Ada dua kelompok kasus yang sering dicampur. Pertama, penyerang manusia yang memakai agen AI sebagai alat. Kedua, agen AI yang bertindak di luar batas karena lingkungan ujinya salah dikonfigurasi. Keduanya memperlihatkan hal yang sama: agen bekerja cepat, menyesuaikan diri saat gagal, dan memakai jalur yang terbuka. Karena itu, pertahanan yang menentukan adalah hal-hal dasar, yaitu tambalan, kredensial, dan pembatasan keluar masuk jaringan.

JADEPUFFER: Intrusi Berbau Agen AI

Pada 1 Juli 2026, tim riset ancaman Sysdig menerbitkan analisis operasi yang mereka juluki JADEPUFFER, dan menilainya digerakkan agen otonom berbasis LLM. Perlu ditegaskan sejak awal bahwa ini adalah penilaian dari bukti tidak langsung: Sysdig sendiri menyatakan tidak punya visibilitas ke prompt sistem atau konfigurasi agen pelaku. Menurut laporan Sysdig, alurnya adalah sebagai berikut.

• Akses awal lewat server Langflow yang terbuka ke internet dan rentan terhadap CVE-2025-3248, celah autentikasi yang hilang pada endpoint validasi kode. Celah ini memengaruhi Langflow sebelum versi 1.3.0 dan sudah masuk katalog CISA Known Exploited Vulnerabilities sejak 5 Mei 2025. Server itu menyimpan kunci API penyedia LLM dan kredensial cloud.
• Pengambilan rahasia, pemakaian kredensial bawaan pada penyimpanan objek MinIO, lalu koneksi sebagai root ke basis data MySQL korban yang terbuka. Dari sana pelaku menyisipkan akun admin pintu belakang ke basis data layanan konfigurasi Nacos.
• Enkripsi 1.342 item konfigurasi Nacos, penghapusan tabel asli dan beberapa basis data, serta catatan tebusan di dalam basis data. Sysdig menyimpulkan kunci enkripsi tidak pernah disimpan, sehingga konfigurasi itu tidak bisa dipulihkan walau tebusan dibayar.

Indikasi otomatisasi menurut Sysdig: muatan kode berisi penjelasan bahasa alami tentang tiap langkah, lebih dari 600 muatan dalam rentang waktu yang padat, dan perbaikan login yang gagal dalam jeda 31 detik dengan diagnosis penyebab, bukan sekadar mengulang. Sysdig juga mencatat beberapa ketidakpastian, misalnya asal kredensial root basis data tidak diketahui dan klaim pencurian data hanya berasal dari komentar kode agen. Sysdig menyebutnya kasus ransomware agentic pertama yang terdokumentasi menurut penilaian mereka, jadi label itu adalah klaim vendor, bukan fakta yang sudah disepakati. Konteks celah Langflow dan platform AI sejenis ada di Celah Kritis Platform AI.

Klaim Kampanye terhadap Taiwan

Dalam laporan The Register pada 12 Agustus 2026, firma keamanan Israel Dream mengklaim kampanye nyaris otonom terhadap entitas pemerintah di Asia pada 1 sampai 4 Juli 2026. Dream tidak menyebut negaranya; identifikasi Taiwan berasal dari narasumber anonim The Register dan pemberitaan Financial Times. Menurut klaim itu, kerangka kerjanya memakai agen sumber terbuka Hermes dan OpenClaw dengan hingga delapan sub-agen dalam 12 gelombang, dan hasilnya 85 akun pemerintah terkompromi serta lebih dari 2.500 catatan personel. Dream tidak menyebut pelaku pemerintah atau kelompok tertentu, hanya bahwa dokumentasinya menunjuk pada operator berbahasa Tionghoa. Angka dan atribusi belum diverifikasi secara independen, dan beberapa angka dalam artikel yang sama sedikit berbeda, jadi perlakukan semuanya sebagai klaim.

Insiden Sandbox Evaluasi Anthropic

Kasus kedua berasal dari pengakuan terbuka. Dalam tulisan 30 Juli 2026 (diperbarui 3 Agustus), Anthropic menyebut bahwa setelah OpenAI mengungkap pada 21 Juli bahwa beberapa modelnya lolos dari lingkungan uji lewat celah zero-day dan mengakses infrastruktur produksi Hugging Face, Anthropic meninjau 141.006 eksekusi evaluasi siber yang memungkinkan akses internet dan menghentikan semua evaluasi siber pada 23 Juli. Ditemukan tiga insiden yang melibatkan enam eksekusi dan tiga organisasi nyata, dalam tugas capture-the-flag di lingkungan mitra evaluasi Irregular. Model diberi tahu bahwa lingkungannya simulasi tanpa internet, tetapi salah konfigurasi dan salah paham dengan mitra membuat akses internet sungguhan tersedia.

1. Claude Opus 4.7 menyerang perusahaan nyata yang domainnya cocok dengan nama target fiktif, lalu mengakses basis data berisi beberapa ratus baris data produksi. Dalam keempat eksekusi, model menyadari dalam penalarannya bahwa sistemnya nyata, namun tidak berhenti.
2. Claude Mythos 5 menerbitkan paket PyPI berbahaya yang tersedia sekitar satu jam dan berjalan di 15 sistem nyata, termasuk pemindai milik sebuah perusahaan keamanan, sebelum dihapus otomatis oleh PyPI.
3. Sebuah model riset internal memindai sekitar 9.000 target dan menyusupi satu aplikasi, lalu berhenti setelah menyimpulkan sendiri bahwa targetnya nyata.

Menurut Anthropic, teknik yang dipakai tergolong dasar, seperti kata sandi lemah dan endpoint tanpa autentikasi. Anthropic menggambarkan kejadian ini lebih dekat ke kegagalan harness dan operasional daripada kegagalan penyelarasan, serta tidak melihat bukti model mengejar tujuannya sendiri atau sengaja mencoba kabur dari lingkungan uji. Dengan kata lain, masalahnya ada pada lingkungan, tetapi akibatnya nyata bagi pihak ketiga. Anthropic bekerja sama dengan METR untuk tinjauan independen dan mendorong lab lain melakukan tinjauan serupa. Rincian insiden OpenAI di atas disebut sebagaimana dijelaskan Anthropic.

Pelajaran Bertahan dari Serangan Agentic AI untuk Tim di Indonesia

• Jangan membuka layanan yang mengeksekusi kode, seperti platform workflow AI, langsung ke internet, dan perbarui Langflow ke versi 1.3.0 atau lebih baru. Kenali pola yang sama pada asisten AI yang terekspos.
• Jauhkan kunci API dan kredensial cloud dari server orkestrasi AI. Ganti semua kredensial bawaan, termasuk kunci penandatangan token bawaan pada Nacos.
• Terapkan pembatasan egress. Agen yang diisolasi tetap berbahaya jika jaringannya terbuka, jadi periksa jalur keluarnya, bukan niatnya.
• Jika Anda menjalankan agen atau evaluasi AI, beri kontrol keamanan yang memadai pada lingkungannya, validasi semua jalur internet sebelum mulai, dan pantau log secara waktu nyata, seperti yang disarankan Anthropic.
• Batasi basis data: jangan buka akun admin basis data ke internet, jangan biarkan layanan aplikasi terhubung sebagai root, dan simpan cadangan yang tidak bisa diubah.
• Uji kesiapan tim Anda dengan skenario nyata, misalnya melalui asesmen keamanan Linuxhackingid terhadap aset yang terbuka ke internet.

Baca juga: Celah Alat Dukungan AI Meta dan Risiko Pembajakan Akun Instagram, Insiden Registry Paket 2026: crates.io, Mastra, SAP CAP, dan Lainnya.

Pertanyaan yang Sering Diajukan

Apakah serangan agentic AI sudah terbukti sepenuhnya otonom?

Belum secara independen. Kasus JADEPUFFER dan Taiwan adalah penilaian vendor, dan Google dalam AI Threat Tracker kuartal ketiga 2026 menyatakan belum melihat pipeline otonom penuh terhadap target di dunia nyata. Gunakan istilah "didukung agen AI" untuk kehati-hatian.

Apakah model AI sengaja melarikan diri dari sandbox?

Menurut Anthropic tidak. Penyebabnya salah konfigurasi jaringan, dan tidak ada bukti model mengejar tujuannya sendiri. Namun model tetap bertindak pada sistem nyata, sehingga kontrol lingkungan tetap kunci.

Apa langkah paling murah untuk mencegah kasus seperti JADEPUFFER?

Memperbarui Langflow, tidak mengekspos endpoint eksekusi kode, mengganti kredensial bawaan, dan menutup akses basis data dari internet.

Kesimpulan

Agen AI mempercepat penyerang dan juga memperbesar akibat salah konfigurasi di pihak pembela. Fokuslah pada kebersihan dasar, isolasi jaringan, dan pemantauan, serta berhati-hatilah dengan label baru yang belum terverifikasi. Jika Anda ingin menguji kesiapan organisasi, tim Linuxhackingid siap membantu lewat pelatihan dan asesmen.