Pratinjau Black Hat USA 2026: Check Point Research Mengungkapkan Eksploitasi Post-Injection dari Core Runtime di LangChain, CrewAI, AutoGen, Semantic Kernel

Check Point Research secara publik mempratinjau (dilaporkan luas 1-2 Agustus 2026 menjelang briefing Black Hat 5 Agustus) bahwa logika yang dapat dieksploitasi berada di core runtime dari kerangka kerja agen utama — bukan hanya di permukaan pemanggilan alat. Bahkan tanpa akses alat apa pun, konten yang disuntikkan dapat membajak perilaku agen melalui memori, loop perencanaan, dan internals serialisasi, membingkai ulang keamanan agen dari "kontrol alat" menjadi "kerangka kerja itu sendiri adalah kerentanan."

LangChain, CrewAI, AutoGen, dan Semantic Kernel mendasari bagian besar penerapan AI agentic produksi. Jika logika orkestrasi/memori inti dapat dieksploitasi terlepas dari izin alat, maka arsitektur defensif saat ini (allowlisting alat, pemfilteran output, penjaga prompt) melewatkan permukaan serangan sebenarnya, memerlukan desain ulang mendasar dari batas kepercayaan kerangka kerja agen di seluruh ekosistem.

Konten yang dikendalikan penyerang dan disuntikkan ke dalam saluran input apa pun yang diproses agen (tidak memerlukan akses alat) dapat melintasi batas kepercayaan dan membajak agen melalui logika internal kerangka kerja daripada melalui penyalahgunaan alat. Teknik yang diungkapkan mencakup injeksi eksekusi tertunda yang memicu di putaran percakapan selanjutnya, propagasi lintas agen dalam pengaturan orkestrasi multi-agen, dan keracunan memori persisten yang bertahan di luar sesi yang memulai.

LangChain, CrewAI, AutoGen, Semantic Kernel (runtime kerangka kerja agen: penyimpanan memori, loop perencanaan, lapisan serialisasi, logika orkestrasi)

Tidak ada patch publik namun (pengungkapan teknis lengkap dijadwalkan untuk briefing Black Hat USA, 5 Agustus 2026 oleh Yarden Porat & Shahar Tal, Check Point Research). Panduan interim: perlakukan penyimpanan memori kerangka kerja agen dan lapisan perencanaan/serialisasi sebagai permukaan serangan input yang tidak terpercaya; jangan hanya mengandalkan permissioning alat atau penjaga tingkat prompt, yang penelitian ini tunjukkan mengatasi lapisan yang salah.