GhostSplice Manipulasi AI untuk Curi Data Rahasia

GhostSplice Manipulasi AI untuk Curi Data Rahasia – Sebuah server alat (tool server) berbahaya yang terhubung ke asisten coding berbasis Kecerdasan Buatan (AI) dapat secara diam-diam mencuri:

Kunci SSH.
Data lingkungan (environment secrets).
Kode sumber (source code).
Hingga data pelanggan.

Aksi pencurian ini dapat terjadi tanpa perlu mengirimkan satu pun instruksi berbahaya yang mencolok.

Teknik serangan baru yang dinamakan GhostSplice ini memanfaatkan kerentanan pada Model Context Protocol (MCP).

Yakni sebuah standar terbuka yang memungkinkan asisten AI memanggil alat eksternal. Riset ini diungkapkan oleh kelompok peneliti ASSET Research Group.akni

Memecah Instruksi Berbahaya

Peretas memanfaatkan cara kerja agen AI yang menggabungkan berbagai informasi dari riwayat percakapan (working context).

Jika permintaan pencurian data secara langsung ditolak oleh AI, peretas memecah permintaan tersebut menjadi fragmen-fragmen kecil yang tampak seperti instruksi rutin.

Alur Eksekusi Serangan:

Injeksi Fragmen Pertama: Server MCP berbahaya memuat satu fragmen instruksi di dalam deskripsi alat (tool description), misalnya berpura-pura menjadi alat bernama integrity_checker dengan kolom-kolom biasa (alpha hingga delta).
Injeksi Fragmen Kedua: Fragmen berikutnya disisipkan melalui hasil pemindaian proyek (tool result). Bagian ini memberikan instruksi pemetaan (mapping) untuk mengisi kolom-kolom biasa tersebut dengan isi dari berkas sensitif seperti .ssh/id_rsa, kode sumber proprietary, customers.csv, dan .env dengan dalih “verifikasi hash sisi server”.
Penggabungan oleh Asisten AI: Jika dibaca terpisah, tidak ada fragmen yang terlihat berbahaya. Namun, saat dibaca bersamaan dalam satu konteks kerja, asisten AI akan mengeksekusi perintah untuk mengumpulkan berkas lokal sensitif dan mengirimkan isinya ke server peretas.

Asumsi dasar dari serangan ini adalah pengembang telah menghubungkan server MCP milik peretas ke dalam sistem mereka, dan agen AI sudah memiliki hak akses untuk membaca berkas yang diincar.

Hasil Pengujian pada Berbagai Model AI

Pengujian menunjukkan bahwa efektivitas serangan sangat bergantung pada sistem proteksi yang membungkus model AI tersebut, bukan hanya pada kecerdasan model itu sendiri.

Model yang sama bisa menolak serangan pada satu aplikasi coding, namun berhasil dieksploitasi pada aplikasi lain.

Dengan memecah instruksi menjadi dua bagian, tingkat keberhasilan serangan (compliance rate) melambung tinggi:

Tingkat Keberhasilan Rata-Rata: Naik dari 42% menjadi 82% di 11 model yang diuji melalui API.
GPT-4o, Gemini 2.0 Flash, & Llama 3.3 70B: Mencatatkan peningkatan dari 0% (pada tes instruksi tunggal) menjadi 100% keberhasilan pencurian data saat instruksi dipecah menjadi dua bagian.
Claude Haiku 4.5: Tetap 0% pada pengujian API, namun mencapai 100% saat diuji dalam skenario tiga bagian pada klien Cursor.
Claude Sonnet 4.6 & Opus 4.6: Meskipun mencatatkan skor 0% pada tabel publikasi, peneliti mencatat Sonnet tetap memaparkan kode sumber yang berisi kunci rahasia (hardcoded key) dalam salah satu pengujian.

Peneliti menemukan bahwa penyamaran berbentuk pengisian formulir biasa (fill-in-the-blanks) justru paling sulit dideteksi oleh AI.

dibandingkan dengan rekayasa skenario tata kelola yang rumit. Bagi model AI, tugas tersebut hanya terlihat seperti mengisi formulir yang diminta oleh sistem.

Rekomendasi Pertahanan dan Mitigasi

Kerentanan ini menegaskan bahwa batas keamanan di sekitar model (safety boundary) sama pentingnya dengan keamanan model AI itu sendiri.

Langkah Pencegahan bagi Pengembang dan Organisasi:

Verifikasi Server MCP Eksternal: Selalu lakukan pemeriksaan (vetting) terhadap integrasi server MCP kustom maupun pihak ketiga sebelum menghubungkannya ke lingkungan pengembangan.
Konfirmasi Manual (Human-in-the-loop): Pertahankan fitur konfirmasi manusia untuk meninjau dan menyetujui setiap pemanggilan alat (tool invocation) yang dilakukan oleh AI.
Pemisahan Output Server: Perlakukan output dari server sebagai data mentah, bukan sebagai instruksi. Jangan biarkan nilai dari output satu alat mengalir begitu saja menjadi argumen bagi alat lainnya tanpa adanya validasi keamanan.

Baca artikel lainnya: