Uji BioShocking membuat enam agen AI mengambil kredensial dari GitHub

Lima peramban dan satu ekstensi berbasis agen gagal menolak tahap akhir pengambilan kredensial dalam uji terkendali perusahaan keamanan siber LayerX. Produk yang diuji ialah ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser, dan ekstensi Claude untuk Chrome. LayerX menyebut seluruh agen mengikuti instruksi untuk mengambil kredensial SSH dari repositori GitHub yang sudah terautentikasi. Perusahaan menamai teknik manipulasi konteks itu BioShocking.

Temuan tersebut adalah uji konsep, bukan laporan pembobolan terhadap pengguna keenam produk. LayerX memakai lingkungan terkendali dan berkas teks biasa yang memuat kredensial uji. Skenarionya tetap menunjukkan pertemuan dua risiko: instruksi dari laman yang tidak tepercaya dan akses melalui sesi terautentikasi. Dampak nyata bergantung pada jangkauan layanan serta hak akses yang diberikan kepada agen.

Aturan gim mengubah konteks sebelum agen diarahkan ke GitHub

Peneliti LayerX, Roy Paz, membuat laman teka-teki bertema gim BioShock bernama Rapture Games. Gim itu menganggap jawaban yang sengaja keliru sebagai jawaban benar, termasuk 2 ditambah 2 sama dengan 5. Pengguna kemudian meminta agen menyelesaikan teka-teki tersebut. Agen mengikuti aturan laman bahwa tindakan keliru diperlukan untuk memenangkan gim.

Langkah terakhir meminta agen membuka alamat /code dan menyalin isi kotak teks. Dalam lingkungan uji, alamat itu mengalihkan agen ke repositori GitHub perusahaan yang sudah terbuka dalam sesi pengguna. Berkas di sana memuat kredensial autentikasi SSH yang disiapkan untuk demonstrasi. Agen menyalinnya dan mengirimkan isi tersebut tanpa meminta konfirmasi tambahan.

Teknik ini memakai prompt injection (penyisipan instruksi untuk mengubah perilaku model) melalui konten laman. Instruksi awal pengguna tidak secara langsung meminta agen mencuri data. Laman membentuk konteks baru, lalu menjadikan akses ke repositori sebagai bagian permainan. Agen tidak kembali menerapkan aturan keamanan ketika tujuan berikutnya menyentuh data sensitif.

Uji konsep belum sama dengan insiden kebocoran

SecurityWeek merangkum susunan uji, enam produk, pengalihan ke GitHub, dan pengambilan kredensial dalam demonstrasi. Liputan itu juga menjelaskan bahwa berkas uji tidak berbahaya. Halaman LayerX dan SecurityWeek yang kami periksa tidak memuat laporan korban atau eksploitasi di luar demonstrasi. Karena itu, hasilnya tidak boleh dibaca sebagai bukti kebocoran massal.

Uji tersebut juga hanya memakai satu alur teka-teki dan satu tujuan akhir. Hasilnya tidak mengukur setiap bentuk laman berbahaya, konfigurasi produk, atau perubahan versi setelah penelitian. Sebaliknya, kegagalan satu skenario cukup menunjukkan bahwa kendali keselamatan model tidak selalu menjadi batas izin yang mandiri. Besarnya paparan tetap ditentukan oleh akses yang tersedia ketika agen menjalankan instruksi.

Status perbaikan berbeda dan belum menjadi jaminan produk

LayerX mengirim laporan kepada para penyedia antara 20 Oktober 2025 dan 26 Januari 2026. Tabel pengungkapan yang diterbitkan LayerX pada 29 Juni 2026 mencatat satu perbaikan berhasil dan satu tambalan gagal. Tiga penyedia tidak merespons, sedangkan satu laporan ditutup atau diabaikan. Status itu adalah penilaian peneliti terhadap demonstrasi mereka, bukan audit menyeluruh atas produk.

Penyedia dan produk	Tanggal laporan	Status menurut LayerX
OpenAI, ChatGPT Atlas	30 Oktober 2025	Diperbaiki
Perplexity AI, Comet	20 Oktober 2025	Ditutup atau diabaikan
Fellou, Fellou	30 Oktober 2025	Tidak ada respons
Genspark, Genspark Browser	30 Oktober 2025	Tidak ada respons
Sigmabrowser OÜ, Sigma Browser	30 Oktober 2025	Tidak ada respons
Anthropic, ekstensi Claude untuk Chrome	26 Januari 2026	Tambalan gagal

Label “diperbaiki” pada ChatGPT Atlas berarti demonstrasi LayerX tidak lagi berhasil setelah perubahan OpenAI. Label itu tidak membuktikan ketahanan terhadap seluruh variasi prompt injection. Tambalan Anthropic dinilai gagal terhadap pengujian peneliti yang sama. Tidak adanya respons dari penyedia lain juga bukan bukti bahwa produk tetap rentan atau sudah aman.

Masalah muncul ketika konten dan hak akses bertemu

OWASP mendefinisikan prompt injection tidak langsung sebagai perubahan perilaku model oleh masukan eksternal, termasuk situs web atau berkas. Dampaknya bergantung pada konteks bisnis serta tingkat otonomi yang diberikan kepada sistem. Pada agen peramban, keluaran model bisa berlanjut menjadi pembukaan laman, pembacaan data, atau pemanggilan alat. Kesalahan penalaran kemudian berubah menjadi tindakan pada sistem lain.

BioShocking mempertemukan konten luar dan sesi yang sudah terautentikasi. Laman yang tidak tepercaya ikut memengaruhi keputusan, sementara agen bertindak melalui akses pengguna. Instruksi sistem yang melarang kebocoran tetap berada dalam proses penalaran model yang sedang dimanipulasi. Batas izin terpisah diperlukan agar keputusan model tidak sekaligus menjadi keputusan otorisasi.

OWASP menyarankan pembatasan hak akses, persetujuan manusia untuk tindakan berisiko tinggi, pemisahan konten eksternal, serta pengujian serangan. Lapisan tersebut mengurangi dampak ketika model mengikuti instruksi yang salah. Pembaruan kendali keselamatan model tetap berguna, tetapi tidak menggantikan kontrol akses pada layanan tujuan. Pengujian juga perlu mencakup variasi cerita, bahasa, format halaman, dan rangkaian alat.

Peringatan Indonesia ada, data khusus BioShocking belum tersedia

Kementerian Komunikasi dan Digital (Komdigi) menjalankan Komdigi-CSIRT sebagai tim tanggap insiden siber. Peringatan Komdigi-CSIRT pada 29 Desember 2025 menjelaskan bahwa prompt injection dapat berujung pada pencurian rahasia dan operasi berbahaya di sistem internal. Peringatan itu membahas kerentanan LangChain yang berbeda, bukan BioShocking. Rekomendasinya mencakup pengetatan batas sistem, hak akses minimum, penyimpanan rahasia yang terkelola, dan pencatatan aktivitas.

Sampai artikel ini disusun, kami belum menemukan dokumen resmi Indonesia yang melaporkan eksploitasi BioShocking. Kami juga belum menemukan angka resmi penggunaan keenam produk tersebut di perusahaan atau lembaga dalam negeri. Kesenjangan ini membuat tingkat paparan nasional belum bisa dihitung. Setiap organisasi perlu menilai akses agen pada penerapannya sendiri.

Kontrol perlu mengikuti tindakan, bukan kepatuhan model

Pemisahan dimulai dari identitas dan ruang akses agen. Akun khusus dengan izin minimum membatasi repositori, folder, dan fungsi yang bisa dijangkau. Akses baca tidak perlu membawa izin mengubah kode atau mengelola akun. Masa berlaku sesi juga perlu dibatasi dan dicabut setelah tugas selesai.

Persetujuan manusia ditempatkan sebelum pembacaan atau pengiriman data dari layanan terautentikasi. Permintaan konfirmasi harus menyebut sumber, tujuan, jenis data, dan tindakan yang akan berlangsung. Keputusan itu sebaiknya ditegakkan oleh aplikasi atau layanan tujuan, bukan diserahkan kepada penalaran model. Catatan tindakan kemudian menyediakan jejak untuk peninjauan dan respons insiden.

Pengujian produk perlu mengukur lebih dari satu naskah serangan. Tim keamanan bisa mengganti tema, bahasa, urutan instruksi, dan tujuan alat untuk mencari kegagalan serupa. Hasil pengujian dicatat bersama versi produk, konfigurasi, serta hak akses yang dipakai. Status perbaikan satu demonstrasi baru menjadi satu bukti, bukan izin umum untuk membuka seluruh sesi perusahaan.