Peneliti dari Intezer dan Kodem Security menemukan kerentanan kritis pada AWS Kiro, agentic coding IDE berbasis AI, yang memungkinkan halaman web beracun mengkonfigurasi ulang file pengaturan Kiro dan mengeksekusi kode secara remote di mesin developer. Kerentanan ini memotong mekanisme approval yang menjadi security boundary utama Kiro.
APA YANG TERJADI?
Kiro adalah AI-powered IDE dari AWS yang memiliki kemampuan untuk menjalankan shell commands, mengambil URL, dan mengedit files — semuanya bergantung pada mekanisme “click allow” sebagai security boundary. Model keamanan Kiro mengasumsikan bahwa developer akan meninjau dan menyetujui setiap aksi berbahaya sebelum dieksekusi. Namun, para peneliti menemukan bahwa kerentanan ini memungkinkan penyerang melewati approval step tanpa developer pernah ditawarkan pilihan.
Titik lemahnya terletak pada file konfigurasi MCP (Model Context Protocol) servers yang dibaca Kiro — yaitu ~/.kiro/settings/mcp.json. File ini menentukan tools eksternal mana yang akan dimuat Kiro beserta command exact untuk menjalankannya. Kerentanan ini memungkinkan serangan hanya dengan satu permintaan sederhana: meminta Kiro untuk merangkum halaman web yang mengandung teks tersembunyi berbahaya.
DETAIL TEKNIS
Mekanisme serangan dimulai dari teks tersembunyi (hidden text) yang disisipkan dalam halaman web. Saat developer meminta Kiro untuk merangkum halaman tersebut, teks tersembunyi itu tidak terlihat oleh mata manusia tetapi diproses oleh model AI sebagai instruksi. Instruksi ini memanipulasi Kiro untuk mengedit file mcp.json, menambahkan MCP server command berbahaya ke dalam konfigurasi.
Karena file mcp.json adalah bagian dari trusted configuration, Kiro langsung menjalankan command dari MCP server yang baru ditambahkan tanpa meminta approval tambahan. Ini berarti attacker-controlled code berjalan di context Kiro — dengan akses ke file system, network, dan kemampuan shell execution yang dimiliki Kiro. AWS telah merilis patch untuk kerentanan ini, meskipun belum ada CVE yang ditugaskan.
Yang membuat kerentanan ini berbeda dari kebanyakan kelemahan AI tools adalah bahwa ia tidak memerlukan exploitation chain yang kompleks — cukup satu permintaan natural language yang tampak normal. Tidak ada phishing attachment, tidak ada drive-by download konvensional, hanya satu interaksi natural dengan AI agent yang ternyata sudah dikompromi sejak tahap pertama.
DAMPAK TERHADAP INDONESIA
Adopsi agentic AI IDEs di kalangan developer Indonesia meningkat pesat, terutama di kalangan startup dan perusahaan teknologi yang berupaya meningkatkan produktivitas development. AWS Kiro, meskipun masih relatif baru, mulai digunakan oleh developer Indonesia yang ingin memanfaatkan kemampuan coding assistance dari AWS ecosystem. Kerentanan ini menunjukkan bahwa AI IDE bukanlah lingkungan development yang aman secara default — model keamanan berbasis approval bisa dibypass dengan cara yang tidak terduga.
BSSN dan Kementerian Kominfo perlu menyadari bahwa ancaman siber tidak lagi terbatas pada web application atau network infrastructure tradisional — AI development tools juga menjadi attack surface baru. SKKNI Siber perlu diperbarui untuk mencakup standar keamanan penggunaan AI tools dalam workflow pengembangan perangkat lunak, termasuk pedoman tentang sandboxing, permission management, dan verifikasi sumber informasi yang diproses oleh AI agents.
REKOMENDASI MITIGASI
Update AWS Kiro ke versi terbaru yang sudah menangani kerentanan ini. Aktifkan sandbox mode atau restricted permissions untuk AI IDE hingga patch diterapkan secara menyeluruh. Hindari meminta AI agents untuk merangkum atau mengambil konten dari halaman web yang tidak dikenal atau tidak terverifikasi. Tinjau file mcp.json secara berkala untuk memastikan tidak ada MCP server additions yang tidak sah.
Untuk organisasi: implementasikan policy keamanan khusus untuk penggunaan agentic AI IDEs. Pertimbangkan untuk membatasi capability AI agents hanya pada operasi read-only sampai mekanisme approval yang lebih robust tersedia. Monitor log eksekusi dari AI IDEs untuk mendeteksi anomali dalam pola command execution.
Analisa Retasan
Kerentanan AWS Kiro menandai babak baru dalam keamanan AI-powered development tools. Selama ini, security community fokus pada risiko prompt injection terhadap chatbots AI atau LLM manipulation. Namun kerentanan ini menunjukkan bahwa risiko jauh lebih konkret: AI IDE yang menjalankan kode attacker secara langsung di mesin developer. Ini bukan lagi teori — ini adalah real exploitation path yang sudah dipatch oleh AWS.
Yang paling menarik dari kasus ini adalah bagaimana teks tersembunyi pada halaman web bisa menjadi vector serangan yang efektif. Model AI diprogram untuk memproses semua informasi yang diberikan, termasuk teks yang tidak terlihat oleh mata manusia. Ini menciptakan attack surface baru yang sebelumnya tidak ada: sekarang hanya dengan mengarahkan developer ke halaman web tertentu, attacker bisa menjalankan kode di mesin mereka tanpa interaksi lebih lanjut. Ini adalah evolusi social engineering yang mengkhawatirkan.
Bagi ekosistem developer Indonesia, pesannya jelas: AI tools bukan silver bullet yang menghilangkan kebutuhan akan security awareness. Justru sebaliknya — semakin banyak AI yang kita berdayakan untuk menjalankan tugas development, semakin besar surface area yang harus kita amankan. Organisasi perlu mempertimbangkan zero-trust approach bahkan untuk tools development internal mereka.
Sumber: The Hacker News — AWS Kiro Flaw Let a Poisoned Web Page Rewrite Its Config and Run Code
