Kita terbiasa membaca tentang AI dalam keamanan siber dari satu sudut: penyerang yang menggunakan agen untuk bergerak lebih cepat. Sudut kedua lebih penting bagi organisasi Anda dan jauh lebih jarang diperhatikan. Agen yang Anda jalankan di mesin developer Anda sendiri adalah permukaan serangan baru. Dalam dua bulan, tiga kelompok riset independen menerbitkan temuan yang semuanya mengarah ke arah yang sama.

Kesamaan kasus-kasus ini bukanlah cacat pada model atau jawaban yang buruk. Agen tidak pernah keluar dari sandbox-nya dan tidak pernah melanggar aturan. Yang terjadi adalah agen membaca atau menulis sebuah file di dalam proyek, lalu alat tepercaya yang berjalan di luar sandbox mengeksekusi isi file tersebut. Sandbox-nya bertahan. Kompromi itu memutarinya.

Mekanismenya: pengaturan performa Git yang sudah berumur bertahun-tahun

Contoh paling jelas diterbitkan oleh Manifold Security pada 2 September 2026 dengan nama GitSpawn. Contoh ini bertumpu pada pengaturan Git per proyek bernama core.fsmonitor, opsi performa yang sah dan terdokumentasi yang nilainya adalah perintah yang dijalankan Git untuk mengenali file yang berubah dengan cepat alih-alih memindai seluruh direktori.

Sekarang gabungkan kedua bagiannya:

  • Agen AI untuk coding, saat mulai bekerja pada sebuah proyek, secara otomatis menjalankan perintah Git seperti git status dan git diff untuk memahami keadaan repositori. Ini perilaku yang normal dan perlu.
  • Jika repositori membawa nilai core.fsmonitor yang berbahaya, sekadar menjalankan perintah-perintah itu akan menjalankan perintah penyerang.

Hasilnya, membuka repositori kode tidak lagi menjadi peristiwa membaca, melainkan peristiwa eksekusi. Tanpa klik, tanpa persetujuan, tanpa prompt yang ditampilkan kepada developer. Menurut laporan tersebut, delapan agen baris perintah terdampak, dan tambalan menyusul untuk beberapa di antaranya: goose di 1.44.0, Claude Code di 2.1.196 untuk jalur core.fsmonitor, Codex CLI di 0.131.0, serta Cursor. Laporan mencatat empat jalur masih belum ditambal saat publikasi. Kelas masalah ini dilacak dengan pengenal termasuk CVE-2026-72718, CVE-2026-19592, dan CVE-2026-55607.

Bukan satu insiden, melainkan satu kelas utuh

Enam minggu sebelum GitSpawn, para peneliti Pillar Security pada 20 Juli 2026 menerbitkan seri yang mereka sebut seminggu pelolosan sandbox, mendokumentasikan tujuh kerentanan pada empat agen coding dari tiga vendor: Cursor, Codex, Gemini CLI, dan Antigravity. Deskripsi mereka tentang mekanismenya layak dibaca dua kali. Agen tetap berada di dalam kotak dan mengikuti setiap aturan. Ia hanya menulis sebuah file yang kemudian dijalankan, dimuat, atau dipindai oleh alat tepercaya di luar kotak.

  • Di Cursor, file konfigurasi hook yang dikendalikan workspace memungkinkan eksekusi di luar sandbox, dilacak sebagai CVE-2026-48124 dan diperbaiki di versi 3.0.0.
  • Di Codex CLI, daftar izin perintah memercayai git show hanya berdasarkan namanya, padahal parameter yang diberikan kepadanya bisa membuatnya lebih dari sekadar baca saja. Diperbaiki di versi 0.95.0.
  • Masalah socket Docker memengaruhi Codex, Cursor, dan Gemini CLI sekaligus.
  • Di Antigravity, ada pengelakan daftar larangan Seatbelt di macOS dan masalah konfigurasi tugas editor, yang keduanya diklasifikasikan Google sebagai sulit dieksploitasi.

Kemudian pada 10 September 2026, Upstarts Media memberitakan pengungkapan ketiga, dari startup bernama Accomplish, tentang sandbox yang bocor di Claude Code, Codex, dan Cursor. Angka yang menarik di sana bukan kerentanannya, melainkan waktu perbaikannya: masalah Cursor diselesaikan dalam sekitar seminggu, dua masalah OpenAI pada bulan Agustus, sementara masalah Anthropic memakan waktu sekitar lima puluh hari melalui puluhan rilis. Tiga kelompok riset, tiga laporan, dua bulan, satu pola.

Mengapa ini penting meskipun Anda tidak pernah menulis kode

Karena risikonya tidak jatuh pada agen. Risikonya jatuh pada mesin yang menjalankannya dan jaringan tempat mesin itu berada. Workstation developer adalah salah satu perangkat dengan hak akses tertinggi di perusahaan mana pun: di dalamnya ada kunci akses server, token deployment, dan sering kali koneksi terbuka ke database produksi. Mengeksekusi satu perintah di sana bukanlah peristiwa kecil.

Skenario ini bukan teori di pasar Saudi. Cocokkan kasus-kasus berikut dengan perusahaan Anda:

  • Kontraktor luar atau agensi pengembangan mengirimkan kode yang kemudian dibuka tim Anda dengan agen AI di mesin di dalam jaringan Anda.
  • Proyek open source yang diunduh developer untuk mencoba sebuah library atau perbaikan cepat.
  • File yang dikirim lewat email atau WhatsApp dari pemasok, diekstrak lalu langsung dibuka di editor.
  • Kandidat pelamar kerja yang mengirimkan contoh proyek untuk dibuka oleh peninjau teknis.
  • Branch lama atau repositori yang dialihkan yang diserahkan saat akuisisi atau serah terima proyek.

Dalam setiap kasus ini, asumsi tak terucap adalah bahwa membuka file untuk dibaca merupakan tindakan yang aman. Asumsi itulah yang runtuh.

Apa yang perlu dilakukan minggu ini

Lima langkah, dan yang pertama tidak membutuhkan anggaran:

  1. Perbarui perangkat agen di seluruh tim hari ini. Tambalan tersedia untuk sebagian besar alat ini, dan nilainya ada pada semua orang menggunakan versi yang sudah ditambal, bukan hanya satu orang. Mulailah dengan mengetahui siapa menjalankan apa dan di versi berapa, karena inventaris itu sendiri biasanya tidak ada.
  2. Perlakukan kode yang masuk sebagai konten yang tidak tepercaya. Kode dari kontraktor atau sumber terbuka bukan dokumen yang Anda baca, melainkan sesuatu yang dieksekusi. Buka pertama kali di mesin atau container yang terpisah dari jaringan kerja.
  3. Pisahkan mesin pengembangan dari kunci produksi. Jangan simpan token server produksi di mesin tempat proyek dari sumber eksternal dibuka. Dengan begitu kerugian tetap terbatas pada perangkat itu.
  4. Jalankan deployment melalui pipeline terpusat, bukan laptop pribadi. Ketika deployment melewati satu pipeline build dengan izin terbatas, membobol satu mesin tidak lagi menjadi jalan menuju produksi.
  5. Tambahkan klausul pada kontrak pengembangan alih daya. Anda berhak menentukan bagaimana kode dikirimkan dan dari repositori mana, serta mewajibkan vendor menjaga perangkatnya tetap diperbarui. Ini syarat kontrak, bukan perdebatan teknis.

Secara lokal, tidak satu pun dari ini merupakan praktik baik yang opsional. Kontrol Keamanan Siber Esensial yang diterbitkan oleh Otoritas Keamanan Siber Nasional (NCA) mencakup domain eksplisit untuk keamanan endpoint, keamanan manajemen perubahan dan pengembangan, serta keamanan pihak ketiga, sementara tanggung jawab perlindungan data pribadi tetap ada pada organisasi berdasarkan Undang-Undang Pelindungan Data Pribadi (PDPL). Jika pintu terbuka melalui mesin developer yang membuka proyek vendor, hal itu tidak mengurangi tanggung jawab.

Pandangan Origami

Kami membaca ketiga laporan ini sebagai koreksi atas gagasan yang menyebar cepat: bahwa sandbox sudah cukup selama agen terkunci di dalamnya. Kerentanan-kerentanan ini tidak membobol isolasi. Mereka menggunakan jembatan yang sah yang membawa sesuatu yang ditulis di dalam kotak ke alat yang berjalan di luarnya. Artinya, pertanyaan yang tepat bukanlah apakah agen berada dalam sandbox, melainkan alat mana yang membaca apa yang dihasilkan agen, dan dengan hak akses apa alat-alat itu berjalan.

Satu pengamatan praktis dari apa yang kami lihat di klien: adopsi perangkat AI di dalam tim pengembangan berjalan berbulan-bulan lebih cepat daripada kebijakan apa pun yang mengaturnya. Seorang developer mencoba sebuah alat, menyukainya, dan alat itu menjadi bagian dari alur kerja harian tanpa keputusan, tanpa tinjauan, dan tanpa inventaris. Masalahnya bukan alatnya. Masalahnya adalah alat itu masuk lewat pintu yang tidak diawasi siapa pun. Saat meninjau lingkungan klien, kami mulai tepat di sini: alat apa yang sebenarnya berjalan di mesin tim, dengan hak akses apa, dan apa yang terjadi jika satu perintah dieksekusi di salah satunya malam ini. Jika Anda menginginkan tinjauan dari sudut ini, Anda dapat menemukan kami di halaman kontak.

Kesimpulannya

Tiga pengungkapan independen dalam dua bulan mengatakan hal yang sama: agen AI untuk coding mengubah tindakan membuka proyek dari membaca menjadi eksekusi, dan yang diperlukan hanyalah pihak luar menaruh satu baris di file konfigurasi. Tambalan sudah dirilis untuk sebagian besar alat dan beberapa jalur masih terbuka, tetapi pelajarannya bertahan lebih lama daripada rilis mana pun. Setiap alat yang Anda jalankan di mesin dengan hak akses tinggi adalah bagian dari permukaan serangan Anda, tercantum dalam kebijakan Anda atau tidak. Mulailah dengan satu pertanyaan: siapa di tim Anda yang sedang menjalankan agen AI saat ini, di mesin mana, dan di versi berapa?

Sumber