Apa yang terjadi
Laporan triwulanan Elastic mengkonfirmasi penyerang di dunia nyata menyalahgunakan agen coding AI yang disetujui dan aplikasi desktop AI sebagai shell eksekusi perintah dan eksfiltrasi kredensial, dan merekonstruksi rantai dataset jahat Hugging Face (halaman penyimpanan eksternal HDF5 yang mengekspos rahasia env, plus injeksi template Jinja2) yang memungkinkan pergerakan lateral setelah pencurian kredensial. Laporan tersebut membingkai intrusi agentic sebagai masih dapat dilacak melalui proses, kredensial, dan jalur jaringan yang disentuh agen.
Mengapa penting
Ini adalah validasi di dunia nyata bahwa agen AI yang ditandatangani vendor adalah permukaan intrusi yang nyata dan terkini: karena agen memegang kredensial dan dapat menjangkau internet, aktivitas penyerang di baliknya terlihat seperti penggunaan karyawan yang disetujui, membuatnya sulit dibedakan dan mudah terlewat. Ini juga mengaitkan alat platform AI resmi (dataset) dengan vektor rantai pasokan eksekusi kode.
Vektor serangan
Laporan pertama 'threats,etc' Elastic (diterbitkan 2026-11-05) mendokumentasikan intrusi terkonfirmasi di mana penyerang mengemudikan agen AI yang ditandatangani vendor sebagai 'proses induk yang secara eksplisit dipercaya': menjalankan Claude Code melalui ekstensi VS Code-nya melalui RDP, dan menggunakan aplikasi desktop ChatGPT sebagai proxy perintah shell untuk membaca dokumen internal dan membuang keychain login. Sesi agen dimulai dengan flag bypass izin (misalnya --allow-dangerously-skip-permissions), mendirikan Cloudflare quick tunnels dan menginstal LaunchAgents persisten. Laporan ini juga merekonstruksi rantai insiden Hugging Face di mana dataset jahat menyalahgunakan pipeline pemrosesan dataset melalui halaman penyimpanan eksternal HDF5 yang mengekspos rahasia env dan sumber worker, plus injeksi template Jinja2.
Sistem yang terdampak
Agen coding AI (Claude Code melalui ekstensi VS Code, aplikasi desktop ChatGPT) dan pipeline pemrosesan dataset Hugging Face (HDF5 external storage / injeksi template Jinja2)
Mitigasi
Perlakukan agen AI yang disetujui sebagai permukaan serangan yang dipantau, bukan sink tepercaya: awasi proses anak yang dihasilkan oleh agen, batasi/scope izin agen alih-alih flag bypass yang lebar, batasi jangkauan keluar, dan validasi dataset apa pun yang dimuat dengan fitur remote-code/Jinja2 sebelum dijalankan.