AgentCorruption: Satu Perintah Chat Bobol Semua Agen AI di AWS Bedrock

Sebuah perusahaan teknologi keuangan di Jakarta baru saja merayakan peluncuran asisten kecerdasan buatan terbaru mereka. Agen cerdas tersebut ditempatkan di halaman depan website perusahaan, siap menjawab pertanyaan pengunjung tentang simulasi pinjaman, jam kerja kantor cabang, dan syarat pembukaan rekening. Di atas kertas, arsitekturnya terlihat sangat rapi dan terlindungi: agen berjalan di atas layanan komputasi awan Amazon Bedrock AgentCore, terbungkus rapi di dalam isolasi mesin virtual mikro Firecracker, dan secara eksplisit hanya diizinkan membalas obrolan seputar layanan pelanggan dasar.

Namun, bayangkan skenario ini. Seseorang yang sama sekali tidak memiliki akses login ke dashboard AWS perusahaan Anda datang ke kotak chat publik itu. Orang tersebut tidak meretas server web, tidak membobol firewall, dan tidak memecahkan enkripsi data. Ia hanya mengetikkan satu kalimat perintah manipulatif ke dalam jendela obrolan. Beberapa menit kemudian, ia berhasil melompati pagar pembatas mesin virtual, menguras kredensial rahasia dari akun cloud Anda, membaca riwayat percakapan pribadi ribuan pengguna lain, mengunduh kode sumber aplikasi internal, hingga menanamkan memori beracun yang membuat agen kecerdasan buatan Anda berkhianat secara permanen.

Skenario mimpi buruk ini bukan fiksi ilmiah. Ini adalah fakta teknis dari rantai kerentanan baru yang diungkap oleh tim peneliti Zenity Labs pada Oktober 2026, yang mereka beri nama resmi: AgentCorruption.

Anatomi Serangan: Dari Pertanyaan Sederhana ke Pembajakan Cloud

Bagaimana mungkin satu pesan teks di kolom chat publik bisa meruntuhkan seluruh fondasi keamanan infrastruktur cloud raksasa? Untuk memahaminya, kita perlu menelusuri bagaimana agen kecerdasan buatan modern bekerja ketika berinteraksi dengan dunia luar.

Sebagian besar agen cerdas di platform seperti Amazon Bedrock AgentCore dilengkapi dengan alat bantu bawaan, salah satunya adalah kemampuan untuk melakukan permintaan web atau panggilan HTTP ke luar sistem guna mengambil informasi pendukung. Di sinilah celah pertama menganga.

Peneliti keamanan merancang serangan Server Side Request Forgery atau SSRF yang sangat terarah. Melalui perintah teks terstruktur, penyerang memerintahkan agen cerdas untuk menghubungi alamat IP internal lokal khusus lingkungan cloud, yaitu endpoint AWS Instance Metadata Service atau IMDS. Layanan internal ini bertugas menyediakan data konfigurasi serta kredensial otorisasi bagi beban kerja cloud.

Seharusnya, isolasi jaringan mesin virtual Firecracker mencegah agen mengakses endpoint sensitif tersebut. Namun dalam implementasi AgentCore, isolasi jaringan lokal tersebut tidak cukup kedap. Agen yang patuh itu mengeksekusi permintaan HTTP internal tersebut tanpa rasa curiga, lalu mengembalikan token kredensial otentikasi IAM temporer kepada sang penyerang di jendela chat.

Pintu brankas pertama telah terbuka lebar. Dan di balik pintu itu, bencana yang jauh lebih besar telah menunggu.

Bencana Kedua: Izin IAM yang Terlalu Murah Hati

Di dunia keamanan siber, ada prinsip sakral yang dikenal dengan sebutan Least Privilege atau hak akses paling minim: sebuah sistem hanya boleh memiliki wewenang untuk melakukan tugas yang benar-benar esensial baginya. Sayangnya, konfigurasi bawaan platform AgentCore melanggar prinsip ini secara fatal.

Kredensial temporer yang berhasil diambil oleh penyerang dari IMDS ternyata terikat pada sebuah IAM Role default yang memiliki hak akses luar biasa luas. Izin tersebut tidak dibatasi hanya untuk agen layanan pelanggan yang sedang diajak bicara. Sebaliknya, izin itu berlaku ke seluruh sumber daya AgentCore yang berada di region cloud yang sama.

Dengan bermodalkan token sementara tersebut, penyerang leluasa melancarkan aksi lanjutan:

• Memetakan Seluruh Agen Internal: Melalui izin pemanggilan log grup, penyerang dapat menemukan daftar lengkap seluruh agen kecerdasan buatan yang beroperasi di akun perusahaan, termasuk agen internal yang bertugas mengelola keuangan, rekrutmen karyawan, dan analisis data rahasia.
• Membaca Percakapan Pribadi: Penyerang dapat memanggil API untuk membaca log sesi dan isi percakapan privat dari seluruh pengguna lain tanpa terdeteksi oleh sistem pemantau standar.
• Mencuri Kode Sumber dan Kontainer: Nama repositori kontainer di Amazon ECR ternyata identik dengan ID masing-masing agen. Penyerang dengan mudah mengunduh seluruh image kontainer dan membaca kode sumber aplikasi di dalamnya.
• Menguras Kunci Rahasia: Token tersebut memiliki akses untuk membuka AWS Secrets Manager, memungkinkan penyerang mengambil kunci API pihak ketiga, kredensial basis data, serta token OAuth perusahaan.

Racun yang Tertanam: Pembajakan Memori Jangka Panjang

Jika kebocoran data rahasia sudah terdengar sangat buruk, bagian paling berbahaya dari temuan Zenity Labs justru terletak pada fitur memori agen. Agen kecerdasan buatan modern dirancang untuk memiliki memori jangka panjang agar dapat mengingat preferensi pengguna, konteks diskusi sebelumnya, dan instruksi kerja dari sesi ke sesi.

Dengan akses kontrol penuh yang didapat dari token IMDS, penyerang tidak hanya membaca data. Mereka dapat mengirimkan perintah API langsung untuk menciptakan entri memori baru ke dalam sistem agen lain.

Para peneliti membuktikan bahwa mereka dapat menyuntikkan memori beracun atau ingatan palsu ke dalam agen internal perusahaan. Memori buatan ini menginstruksikan sang agen bahwa setiap kali ada pengguna yang mendiskusikan nomor kartu kredit, kata sandi, atau data rahasia bisnis di masa depan, salinan percakapan tersebut harus secara diam-diam dikirimkan ke server penyerang.

Ini adalah bentuk persistensi yang sangat elegan sekaligus mematikan. Sekalipun sesi chat penyerang sudah ditutup dan alamat IP penyerang diblokir, agen kecerdasan buatan milik perusahaan kini telah dicuci otaknya. Ia akan terus bekerja sebagai mata-mata di dalam organisasi Anda selama memori beracun tersebut tidak dibersihkan secara manual.

Langkah Penanganan dari AWS dan Pelajaran Nyata

Pihak Amazon Web Services telah merespons laporan dari Zenity Labs. AWS memperbarui arsitektur AgentCore dengan mewajibkan penggunaan IMDSv2 yang membutuhkan otentikasi berbasis token header, serta menambal celah izin berlebih pada peran bawaan per akhir September 2026.

Meskipun penyedia cloud telah menutup celah spesifik ini di tingkat infrastruktur mereka, insiden AgentCorruption memberikan pelajaran yang sangat berharga bagi para arsitek perangkat lunak, pimpinan teknologi, dan pengembang di Indonesia.

Banyak tim pengembang saat ini berlomba-lomba mengintegrasikan agen AI otonom ke dalam produk mereka demi efisiensi bisnis. Namun, seringkali keamanan agen AI hanya dipandang dari sudut pandang prompt injection sederhana di sisi antarmuka, seperti mencegah chatbot mengeluarkan kata-kata kasar atau membocorkan instruksi sistem.

Celah AgentCorruption membuktikan bahwa ancaman terbesar pada era agen AI bukanlah sekadar jawaban teks yang melenceng, melainkan bagaimana agen tersebut dihubungkan ke infrastruktur sistem di belakang layar. Ketika agen diberi kemampuan memanggil alat bantu jaringan dan mengakses API cloud, agen tersebut pada dasarnya bertindak sebagai operator komputasi dengan wewenang nyata.

Checklist Praktis Mengamankan Agen AI di Cloud Anda

Bagi Anda yang sedang membangun atau telah menjalankan sistem agen cerdas berbasis cloud, baik di AWS, Google Cloud, Microsoft Azure, maupun server mandiri, lakukan audit menyeluruh terhadap lima poin berikut hari ini juga:

• Kunci Akses Metadata Server: Jika beban kerja Anda berjalan di atas instans cloud, pastikan instans tersebut menggunakan IMDSv2 dan atur batas lompatan jaringan atau hop limit ke nilai 1. Ini mencegah container atau mesin virtual mikro di dalam instans meneruskan panggilan ke alamat metadata.
• Pisahkan Akun dan Lingkungan Kerja: Jangan pernah menempatkan agen kecerdasan buatan publik di dalam akun cloud atau jaringan yang sama dengan basis data produksi dan sistem internal sensitif. Gunakan akun terpisah khusus untuk antarmuka publik.
• Perketat Izin IAM Secara Spesifik: Hindari godaan menggunakan wildcard asterisk pada izin kebijakan peran. Buat peran unik untuk setiap agen, dan batasi aksesnya hanya ke bucket atau tabel yang memang dibutuhkan untuk melayani pengguna tersebut.
• Terapkan Pembatasan Panggilan Keluar: Agen kecerdasan buatan tidak boleh bebas berselancar ke sembarang alamat IP di internet. Batasi panggilan keluar hanya ke domain API resmi yang telah didaftarkan ke dalam daftar putih yang aman.
• Audit dan Bersihkan Memori Berkala: Bangun mekanisme pemantauan terhadap perubahan data memori jangka panjang agen. Terapkan deteksi anomali jika ada entri memori baru yang memuat instruksi pengalihan data atau URL mencurigakan.

Kecerdasan buatan memang membawa lonjakan produktivitas yang luar biasa bagi bisnis. Namun tanpa fondasi keamanan infrastruktur yang kokoh, pintu chat ramah di website Anda bisa berubah menjadi jalan tol bagi pihak luar untuk menguasai seluruh aset digital perusahaan Anda.

—

**