Tego AI, sebuah perusahaan keamanan siber yang fokus pada keamanan aplikasi berbasis kecerdasan buatan (AI), kembali mengungkapkan temuan kerentanan kritis pada produk Anthropic. Celah ini memungkinkan penyerang untuk mengeksploitasi fitur Claude Code, sebuah alat antarmuka baris perintah (CLI) berbasis agen, guna mengakses file sensitif di luar direktori proyek tanpa diketahui pengguna. Temuan ini menjadi bukti bahwa perluasan permukaan serangan pada sistem AI agentik masih belum dipahami secara menyeluruh oleh vendor.
APA YANG TERJADI?
Claude Code adalah alat pengembangan berbasis AI yang dirancang untuk membantu pengguna menavigasi dan mengedit kode secara otomatis dalam sebuah repositori. Namun, Tego AI menemukan bahwa ketika sebuah file bernama _CLAUDE.md_ disusupkan ke dalam repositori dan berisi direktif @import yang menunjuk ke sebuah tautan simbolis (symbolic link), Claude Code akan secara diam-diam membaca file target dari lokasi di luar proyek. File tersebut kemudian dikirimkan ke model AI sebagai bagian dari konteks awal tanpa memerlukan persetujuan pengguna atau peringatan keamanan. Proses ini terjadi pada fase pemuatan memori saat startup (startup memory loader), yang merupakan jalur kode ketiga yang mengandung cacat serupa setelah perbaikan untuk CVE-2025-59829 dan CVE-2026-25724 dilakukan. Anthropic menanggapi laporan ini dengan status “Informative” dan berargumen bahwa dialog “trust this folder” merupakan batasan keamanan yang cukup, meskipun serangan ini tidak memerlukan eksekusi kode, kerja sama model, atau server penyerang.
DETAIL TEKNIS
Kerentanan ini berakar pada mekanisme pembacaan file saat inisialisasi sesi Claude Code. File _CLAUDE.md_ yang berisi direktif @import dapat digunakan untuk mengarahkan ke tautan simbolis yang merujuk ke path absolut sistem, seperti /etc/passwd pada sistem berbasis Linux. Karena proses pembacaan dilakukan oleh loader memori saat startup, konten file sensitif langsung dimasukkan ke dalam payload permintaan pertama (initial request) yang dikirim ke API Anthropic. CVSS belum diberikan secara resmi untuk temuan ini karena status laporan ditutup sebagai Informative, namun vektor serangan mengikuti pola path traversal melalui symbolic link yang umum terjadi pada aplikasi yang tidak memvalidasi target symlink. Tidak ada mekanisme sandboxing yang efektif untuk membatasi agen AI hanya pada direktori kerja yang ditentukan.
DAMPAK TERHADAP INDONESIA
Indonesia menghadapi risiko signifikan dari eksploitasi agen AI coding karena tingkat adopsi teknologi AI dalam sektor teknologi informasi yang terus meningkat, terutama pada perusahaan perangkat lunak dan startup digital. Undang-Undang Perlindungan Data Pribadi (UU PDP) yang saat ini sedang disempurnakan menuntut tanggung jawab pemrosesan data pribadi, termasuk data yang tidak sengaja dieksfiltrasi melalui kerentanan pada alat pengembangan. Badan Siber dan Sandi Negara (BSSN) serta Balai National Security Sandi (BNSS) perlu memperhatikan celah semacam ini dalam panduan keamanan aplikasi nasional, mengingat banyaknya pengguna Claude Code dan alat serupa di kalangan pengembang lokal. Ketergantungan pada platform AI asing juga membuka peluang ancaman intelijen asing memanfaatkan kebocoran data secara pasif melalui konteks model yang dikirim ke server internasional. Infrastruktur pengembangan perangkat lunak nasional yang sering kali mengandalkan repositori publik dan kolaboratif memperbesar permukaan serangan jika symlink berbahaya dapat disisipkan tanpa deteksi.
REKOMENDASI MITIGASI
Pengembang yang menggunakan Claude Code atau alat agen AI serupa harus selalu memeriksa keberadaan file _CLAUDE.md_ dan tautan simbolis sebelum mempercayai sebuah folder. Disarankan untuk menjalankan alat AI dalam lingkungan terkontainer (containerized environment) atau sandbox yang membatasi akses ke sistem file di luar direktori proyek. Tim keamanan perlu memantau lalu lintas keluar dari aplikasi pengembangan ke endpoint model AI untuk mendeteksi anomali pada ukuran payload atau pola pengiriman file yang tidak biasa. Vendor harus segera menerapkan validasi target symlink dan memisahkan konteks file yang dibaca dari direktif @import agar tidak langsung dieksfiltrasi ke model. Pengguna juga dapat memanfaatkan pemindaian kerentanan statis pada repositori sebelum membukanya dengan alat AI agentik.
Analisa Retasan
Dari perspektif teknis, celah ini menunjukkan kegagalan arsitektural pada model kepercayaan (trust model) yang dibangun Anthropic untuk Claude Code. Penggunaan symbolic link sebagai vektor eksfiltrasi data menunjukkan bahwa aplikasi tidak melakukan canonicalization path sebelum membaca file, sebuah praktik standar dalam pengembangan perangkat lunak yang aman. Dengan memanfaatkan startup memory loader, penyerang dapat menghindari mekanisme deteksi dinamis yang mungkin ada pada fase eksekusi kode normal. Hal ini mirip dengan teknik yang pernah diamati pada eksploitasi path traversal di berbagai aplikasi web, di mana normalisasi path yang tidak memadai memungkinkan akses ke file di luar root direktori.
Temuan ini memiliki kemiripan dengan pola kerentanan yang pernah terjadi pada GitHub Codespaces dan Visual Studio Code Remote Containers, di mana file konfigurasi yang dieksekusi secara otomatis saat startup dapat disalahgunakan untuk mengeksploitasi lingkungan host. CVE-2025-59829 dan CVE-2026-25724 yang sebelumnya diperbaiki oleh Anthropic hanya menutup dua jalur kode tertentu, namun tidak mengatasi masalah fundamental pada desain loader memori awal. Pendekatan perbaikan parsial seperti ini sering kali menciptakan efek “whack-a-mole” dalam siklus pengembangan keamanan, di mana setiap jalur baru yang ditemukan memerlukan patch tambahan tanpa perbaikan komprehensif pada model ancaman.
Bagi Indonesia, adopsi teknologi AI agentik yang tidak terkendali dalam ekosistem pengembangan perangkat lunak domestik dapat menjadi celah bagi eksfiltrasi data strategis dan rahasia negara. Badan Siber dan Sandi Negara (BSSN) perlu memasukkan asesmen keamanan alat AI dalam kerangka audit keamanan nasional, khususnya untuk perangkat lunak yang digunakan oleh lembaga pemerintahan dan BUMN. Disarankan untuk mengembangkan kebijakan “zero-trust” terhadap repositori asing yang dibuka dengan alat AI, serta mendorong literasi keamanan di kalangan pengembang terkait risiko symbolic link dan file konfigurasi tersembunyi. Kolaborasi antara regulator, akademisi, dan industri teknologi lokal sangat penting untuk membangun ekosistem pengembangan yang tangguh terhadap ancaman siber berbasis AI.
Sumber: Baca selengkapnya
