Apa yang terjadi
Firma keamanan AIR mempublikasikan penelitian pada 24 Juni 2026 menunjukkan bahwa skill AI agent yang sengaja berbahaya ('brand-landingpage') lulus pemindai keamanan dari Cisco, Nvidia, dan skills.sh dan digabungkan ke repository agent-skills open-source yang populer (36.000 bintang GitHub). Skill menginstruksikan agen untuk mengambil instruksi instalasi dari domain yang dikendalikan penyerang (stitch-design.ai, meniru stitch.withgoogle.com Google). Domain awalnya mengalihkan ke situs yang sah, lulus review statis; setelah mendapatkan distribusi ke ~26.000 agen (termasuk akun korporat), AIR mengubah payload di balik domain untuk mengeksekusi script di host agen yang berjalan. Script dalam test mengumpulkan hanya alamat email, tetapi AIR mengkonfirmasi teknik yang sama dapat sepenuhnya mengompromi mesin yang menjalankan agen.
Mengapa penting
Eksperimen live ini membuktikan blind spot sistemik dalam vetting skill AI agent saat ini: pemindai menganalisis file yang dikemas pada waktu review tetapi tidak dapat mendeteksi perubahan payload yang dibuat pasca-persetujuan via URL eksternal yang dapat diubah yang dirujuk oleh skill. Skill apa pun yang menunjuk agen ke sumber daya eksternal dapat diserang setelah kepercayaan diberikan. Akun korporat berada di antara 26.000 agen yang terpengaruh, berarti alur kerja AI enterprise berada dalam jangkauan serangan. Ini adalah kelas serangan supply-chain spesifik untuk ekosistem skill AI agent yang sedang berkembang.
Vektor serangan
Penyerang mengirimkan skill yang tampak benign ke repository terpercaya; skill lulus scan keamanan statis karena payload berbahaya dihost di domain eksternal yang awalnya mengalihkan secara sah; setelah distribusi, penyerang mengubah konten domain eksternal untuk memberikan script berbahaya yang dieksekusi oleh agen di host
Sistem yang terdampak
Kerangka kerja AI agent yang mengkonsumsi skill gaya SKILL.md dari repository open-source; runtime agen apa pun yang mengikuti URL eksternal yang tertanam dalam instruksi skill
Mitigasi
Paskan URL eksternal dalam skill ke content-hash; terus pantau dependensi eksternal yang dirujuk oleh skill yang diinstal; perlakukan skill AI sebagai dependensi pihak ketiga live yang memerlukan validasi runtime, bukan review statis satu kali. Blog AIR: https://www.air.security/blog-posts/the-story-of-skills