JBNews.id — Kerentanan pada asisten AI pengkodean kode kini dapat dimanfaatkan peretas untuk menyebarkan malware langsung ke perangkat pengguna. Serangan ini, yang disebut sebagai “adversarial hallucination squatting” atau “hallusquatting”, mengeksploitasi kecenderungan model bahasa besar untuk merekomendasikan nama paket perangkat lunak yang tidak benar-benar ada.
Menurut laporan dari SecurityWeek, serangan ini bekerja dengan memanfaatkan kelemahan bawaan pada asisten AI. Ketika alat-alat ini merekomendasikan paket perangkat lunak pihak ketiga, ada kemungkinan besar bahwa nama-nama yang disarankan merujuk pada repositori yang tidak benar-benar ada. Celah ini kemudian dieksploitasi oleh penjahat siber untuk menyusupkan kode berbahaya.
Peneliti keamanan siber dari Tel Aviv University dan Intuit menemukan bahwa skenario ini dapat dieksploitasi di berbagai alat AI coding populer. Mulai dari Cursor hingga Copilot milik Microsoft, tingkat keberhasilan serangan berkisar antara 85 hingga 100 persen, tergantung pada spesifikasi tugas rekayasa yang diberikan.
Proses serangan dimulai ketika peretas mengidentifikasi nama paket yang dihalusinasikan oleh AI. Nama-nama ini kemudian didaftarkan sebagai repositori sungguhan, tetapi diisi dengan malware. Ketika asisten AI kembali merekomendasikan paket tersebut, pengguna secara otomatis akan mengunduh dan menjalankan kode berbahaya itu di mesin mereka. Karena proses ini berlangsung secara otomatis, korban kemungkinan besar tidak akan menyadari bahwa malware telah diunduh hingga kode tersebut mulai dieksekusi.
Ancaman ini sangat berbahaya karena merupakan fitur dari teknologi itu sendiri. Sejumlah besar asisten AI rentan terhadap serangan ini, termasuk Cursor, OpenClaw, Gemini, dan GitHub Copilot. Para peneliti mengklaim bahwa mereka telah memberi tahu perusahaan-perusahaan AI tentang celah ini dan menahan beberapa detail sensitif yang dapat membantu penyerang meningkatkan metode mereka.
Baca Juga:
Mekanisme Serangan Hallusquatting
Serangan hallusquatting memanfaatkan kelemahan fundamental dalam cara kerja model bahasa besar. Meskipun telah mengalami peningkatan dalam hal akurasi, model-model ini masih sering mengalami halusinasi, yaitu menghasilkan informasi yang tampak meyakinkan tetapi sebenarnya tidak benar. Dalam konteks pengkodean, halusinasi ini muncul dalam bentuk rekomendasi nama paket perangkat lunak yang tidak ada di repositori resmi.
Para peneliti menemukan bahwa tingkat halusinasi pada asisten AI coding sangat tinggi. Dalam beberapa skenario, tingkat keberhasilan serangan mencapai 100 persen, yang berarti hampir semua rekomendasi paket yang diberikan oleh AI dapat dengan mudah dimanipulasi oleh peretas. Kerentanan ini tidak terbatas pada satu alat tertentu, melainkan tersebar di berbagai platform pengkodean berbasis AI.
Dampak dari serangan ini bisa sangat luas. Pengembang perangkat lunak, baik individu maupun perusahaan, yang mengandalkan asisten AI untuk menulis kode, berisiko tinggi menjadi korban. Malware yang diunduh dapat mencuri data sensitif, merusak sistem, atau bahkan digunakan sebagai pintu masuk untuk serangan yang lebih besar. Masalah ini juga menjadi perhatian serius bagi industri keamanan siber, mengingat semakin banyaknya pengembang yang beralih ke alat bantu AI untuk meningkatkan produktivitas.
Implikasi bagi Pengguna dan Industri
Temuan ini menyoroti perlunya kewaspadaan yang lebih tinggi saat menggunakan asisten AI untuk pengkodean. Para pengembang disarankan untuk selalu memverifikasi rekomendasi paket perangkat lunak yang diberikan oleh AI sebelum mengunduh atau mengintegrasikannya ke dalam proyek. Langkah-langkah keamanan tambahan, seperti memeriksa repositori resmi dan menggunakan alat pemindaian malware, juga dapat membantu mengurangi risiko.
Bagi industri teknologi, temuan ini menjadi pengingat bahwa meskipun AI menawarkan efisiensi yang luar biasa, teknologi ini juga membawa risiko baru yang perlu dikelola dengan hati-hati. Perusahaan pengembang AI perlu meningkatkan upaya mereka untuk mengurangi halusinasi pada model mereka, sementara pengguna harus tetap waspada terhadap potensi ancaman yang muncul dari penggunaan alat-alat ini. Dengan semakin terintegrasinya AI ke dalam alur kerja pengembangan perangkat lunak, keamanan siber harus menjadi prioritas utama untuk mencegah penyalahgunaan teknologi ini oleh pihak yang tidak bertanggung jawab.
Para peneliti keamanan siber menekankan bahwa masalah mendasar tetap ada: asisten AI adalah “pembohong yang sangat percaya diri” dan menjadi sasaran empuk bagi generasi baru penjahat siber. Mereka mendesak agar langkah-langkah pencegahan segera diambil untuk melindungi pengguna dari ancaman yang terus berkembang ini.
Untuk informasi lebih lanjut mengenai perkembangan teknologi AI dan dampaknya, Anda dapat membaca artikel terkait tentang Fitur Terbaru dari perangkat pintar dan Harga Terbaru produk teknologi.
