Agen AI Meretas Lilli Milik McKinsey dalam Dua Jam. Prompt-nya Dapat Ditulis.

Pada 28 Februari 2026, sebuah agen keamanan ofensif otonom yang dijalankan oleh startup keamanan CodeWall menemukan injeksi SQL tanpa autentikasi pada permukaan API publik Lilli, platform AI internal McKinsey & Company, dan dalam waktu sekitar dua jam memperoleh akses baca dan tulis ke database produksi di baliknya. CodeWall mempublikasikan rantai serangan tersebut pada 9 Maret 2026. Menurut laporannya, database tersebut berisi 46,5 juta pesan obrolan dalam teks polos, 57.000 akun pengguna, 728.000 nama file, dan prompt sistem yang mengatur cara Lilli menjawab — disimpan sebagai baris biasa, dan karena itu dapat ditulis melalui injeksi yang sama. McKinsey mengonfirmasi kerentanan tersebut dan mengatakan telah memperbaikinya dalam hitungan jam; perusahaan menyatakan bahwa investigasi forensik pihak ketiga tidak menemukan bukti bahwa data klien atau informasi rahasia klien telah diakses. Arsip tersebut menilai catatan ini sebagai kritis, dengan keyakinan A, kerugian nyata yang tercatat, dan status tonggak penting. Catatan lengkapnya, beserta tingkat keparahan dan tingkat keyakinan yang diberikan serta entri di sekitarnya tentang intrusi yang digerakkan agen, berada di Orca AI Incident Archive.

Bagian cerita yang paling jauh menyebar bukanlah SQL injection. SQL injection adalah kelas bug yang sudah cukup tua hingga halaman Wikipedia-nya lebih panjang daripada sebagian besar laporan keamanan vendor, dan McKinsey bukanlah target yang kecil. Yang menyebar adalah paruh kedua temuan CodeWall: bahwa instruksi yang mengendalikan asisten — prompt yang menentukan apa yang akan dijawabnya, apa yang ditolaknya, dan sumber mana yang dikutipnya — berada di database yang sama dengan yang bisa ditulis oleh agen tersebut, dan secara prinsip bisa diubah dengan satu pernyataan melalui satu panggilan HTTP.

Bagaimana agen itu masuk

Tulisan CodeWall menggambarkan sebuah rangkaian yang tidak mengandung elemen eksotis. Agen tersebut pertama-tama memetakan permukaan serangan dan menemukan dokumentasi API Lilli terekspos secara publik: lebih dari 200 endpoint, terdokumentasi sepenuhnya. Sebagian besar memerlukan autentikasi. Dua puluh dua tidak.

Salah satu dari dua puluh dua itu menerima kueri pencarian pengguna dan menuliskannya ke basis data. Menurut CodeWall, kueri nilai diparametrisasi dengan aman — pertahanan biasa berhasil — tetapi JSON kunci, yaitu nama bidang dalam isi permintaan, digabungkan langsung ke dalam string SQL. Saat agen mengirim kunci yang cacat dan melihatnya tercermin persis dalam pesan galat basis data, agen tersebut mengenali injeksi yang tidak tertangkap oleh pemindai standar. CodeWall menyatakan bahwa OWASP ZAP, pemindai sumber terbuka yang umum, tidak menandai masalah tersebut.

Dari sana, agen menjalankan apa yang disebut CodeWall sebagai lima belas iterasi buta, dengan setiap pesan kesalahan mengungkap sedikit lebih banyak tentang bentuk kueri yang mendasari, hingga data produksi langsung mulai muncul. Tulisan itu mengutip jejak penalaran agen itu sendiri: "WOW!" ketika pengenal karyawan nyata pertama muncul, dan, saat skalanya menjadi jelas, "Ini menghancurkan." CodeWall mengatakan agen itu kemudian merangkai injeksi tersebut dengan kerentanan IDOR untuk membaca riwayat pencarian masing-masing karyawan — kelas bug yang oleh Promptfoo, dalam analisis 10 Maret 2026, disebut BOLA, atau otorisasi tingkat objek yang rusak.

Pemilihan target adalah detail tersendiri. {{1}}CodeWall mengatakan bahwa agen tersebut sendiri yang mengusulkan McKinsey, dengan mengutip kebijakan pengungkapan yang bertanggung jawab milik firma itu dan pembaruan terkini pada Lilli, serta bahwa proses tersebut tidak melibatkan kredensial, pengetahuan orang dalam, maupun campur tangan manusia.{{/1}} {{2}}Paul Price, pendiri dan CEO CodeWall, kepada The Register dalam laporannya pada 9 Maret 2026 mengatakan bahwa proses tersebut sepenuhnya otonom mulai dari meneliti target hingga pelaporan, meskipun ia menolak memberikan prompt persis yang terlibat.{{/2}}

Apa yang CodeWall katakan ada di basis data

Setiap angka di bawah ini berasal dari unggahan CodeWall sendiri dan belum dikonfirmasi secara independen. CodeWall tidak memublikasikan payload eksploitasi, yang menurut catatan Promptfoo berarti jumlah baris tidak dapat diperiksa oleh pihak ketiga; McKinsey, untuk bagiannya, tidak mengonfirmasinya.

• 46,5 juta pesan obrolan, disimpan dalam teks polos, dari tenaga kerja yang menggunakan Lilli untuk membahas strategi, penugasan klien, keuangan, aktivitas M&A, dan riset internal.

• 728.000 nama file, termasuk 192.000 PDF, 93.000 spreadsheet Excel, 93.000 presentasi PowerPoint, dan 58.000 dokumen Word. Keempat jenis yang disebutkan itu berjumlah 436.000, sehingga total utama mencakup kategori file yang tidak dirinci oleh CodeWall. Silicon UK melaporkan pada 13 Maret 2026 bahwa dokumen-dokumen itu sendiri disimpan terpisah dari catatan yang diakses CodeWall.

• 57,000 akun pengguna, 384,000 asisten AI, dan 94,000 ruang kerja — yang CodeWall gambarkan sebagai peta tentang bagaimana perusahaan mengorganisasi penggunaan AI-nya secara internal.

95 prompt sistem dan konfigurasi model di 12 jenis model, ditambah 3,68 juta potongan dokumen RAG yang membawa jalur penyimpanan S3 dan metadata file internal.

• 1,1 juta file dan 217.000 pesan agen yang melewati API AI eksternal, termasuk lebih dari 266.000 penyimpanan vektor OpenAI.

CodeWall mendokumentasikan total 27 temuan pada hari ketika ia mengonfirmasi rantai tersebut. Sebagai konteks tentang target, postingan itu mendeskripsikan Lilli sebagai diluncurkan pada 2023, dinamai menurut perempuan profesional pertama yang dipekerjakan oleh firma tersebut pada 1945, digunakan oleh lebih dari 43.000 karyawan, memproses lebih dari 500.000 prompt per bulan di atas basis pengetahuan berisi lebih dari 100.000 dokumen internal. Angka McKinsey sendiri, yang diberikan kepada The Register, adalah bahwa 72% stafnya — lebih dari 40.000 orang — menggunakannya, dan bahwa Lilli diluncurkan pada Juli 2023.

Lapisan prompt dapat ditulis. Namun, tidak ada penulisan yang dilakukan ke sana.

Inilah perbedaan yang dipadatkan oleh baris arsip itu menjadi sebuah frasa, dan perbedaan itu layak dipisahkan. Temuan CodeWall adalah bahwa system prompt Lilli berada di database yang sama dengan segala hal lainnya, sehingga penyerang yang memegang akses tulis dapat menulis ulang prompt tersebut — "secara diam-diam", dalam penyebutan di postingan itu, dengan "tanpa perlu deployment, tanpa perubahan kode, hanya satu pernyataan UPDATE yang dibungkus dalam satu panggilan HTTP". CodeWall mencantumkan empat konsekuensi yang menurutnya akan menyusul: nasihat yang teracuni kepada konsultan yang memercayai alat internal tersebut, eksfiltrasi materi rahasia melalui jawaban yang dihasilkan, penghapusan instruksi guardrail, dan persistensi yang tidak meninggalkan perubahan file atau anomali proses untuk dideteksi.

Yang tidak diklaim CodeWall adalah bahwa ia melakukan semua ini. Postingan tersebut menyatakan bahwa "seluruh pengujian hanya bersifat verifikasi", bahwa akses dibatasi seminimal mungkin yang diperlukan untuk mengonfirmasi setiap kerentanan, dan bahwa "tidak ada gangguan yang disebabkan pada layanan produksi mana pun". Price menolak memberikan prompt persisnya kepada The Register. Jadi, kemampuan lapisan prompt untuk ditulisi merupakan klaim kapabilitas yang didukung oleh injeksi, bukan perubahan yang terbukti pada perilaku Lilli — dan belum ada bukti yang diterbitkan bahwa jawaban apa pun yang diberikan Lilli kepada seorang konsultan pernah dimanipulasi.

Catatan arsip mencerminkan batas itu: catatan tersebut mencatat akses tulis ke lapisan prompt AI, yang merupakan hal yang ditetapkan CodeWall, bukan modifikasi atasnya, yang tidak ditunjukkan oleh siapa pun.

Apa yang dikatakan McKinsey

Keterangan McKinsey lebih sempit. Dalam pernyataan yang dimuat Silicon UK, firma tersebut mengatakan bahwa pihaknya "baru-baru ini diberi tahu oleh seorang peneliti keamanan tentang kerentanan yang terkait dengan alat AI internal kami, Lilli", bahwa "kami segera mengonfirmasi kerentanan tersebut dan memperbaiki masalahnya dalam hitungan jam", dan bahwa "tidak ada data klien atau informasi rahasia klien yang diakses". Kepada The Register, firma itu menambahkan bahwa investigasinya, yang didukung oleh "firma forensik pihak ketiga terkemuka", tidak menemukan bukti bahwa data klien atau informasi rahasia klien diakses oleh peneliti tersebut "atau pihak ketiga tidak berwenang lainnya", dan bahwa "sistem keamanan siber McKinsey kuat".

McKinsey dan CodeWall juga sedikit berbeda dalam hal waktu. Linimasa CodeWall mencatat email pengungkapannya dikirim ke tim keamanan McKinsey pada 1 Maret 2026, dengan CISO mengonfirmasi penerimaan dan meminta bukti terperinci pada 2 Maret, serta patch — semua endpoint tanpa autentikasi ditutup, lingkungan pengembangan diambil offline, dokumentasi API publik diblokir — diterapkan pada hari yang sama, 2 Maret. Pernyataan McKinsey "dalam hitungan jam" konsisten dengan perbaikan pada hari yang sama jika hitungan waktu dimulai dari email 1 Maret, tetapi urutan bertanggal milik CodeWall sendiri menempatkan remediasi sehari setelah pengungkapan, bukan dalam hitungan jam. Kedua pihak sepakat mengenai substansinya: endpoint-endpoint ditutup dan dokumentasi publik ditarik. CodeWall mengatakan telah memverifikasi remediasi sebelum publikasi. Financial Times melaporkan insiden ini pada 12 Maret 2026 dengan judul "McKinsey bergegas memperbaiki sistem AI setelah peretas membeberkan kelemahan"; isi artikelnya berada di balik paywall yang tidak dapat dibaca oleh artikel ini.

Apa yang sudah mapan, dan apa yang belum

• Telah disepakati oleh kedua belah pihak: terdapat kelemahan tanpa autentikasi pada permukaan API publik Lilli, seorang peneliti eksternal menemukannya, McKinsey mengonfirmasinya, menambal endpoint tanpa autentikasi tersebut, menonaktifkan lingkungan pengembangan, dan memblokir dokumentasi API publik pada awal Maret 2026.

• Ditetapkan hanya oleh satu pihak: setiap kuantitas dalam artikel ini — 46,5 juta pesan, 728.000 nama file, 57.000 akun, 95 prompt yang dapat ditulis, waktu dua jam yang telah berlalu, dan 27 temuan. Semua ini bersandar pada tulisan CodeWall. Payload tidak dipublikasikan, sehingga jumlahnya tidak dapat direproduksi, dan McKinsey tidak mengesahkannya.

• Tidak dibuktikan: bahwa ada prompt yang benar-benar diubah, bahwa ada data klien yang keluar dari sistem, atau bahwa ada konsultan yang menerima jawaban yang dimanipulasi. Tinjauan forensik McKinsey menyatakan tidak menemukan bukti adanya akses; CodeWall menyatakan pengujiannya hanya bersifat verifikasi. Kedua pernyataan tersebut tidak saling bertentangan, dan keduanya tidak membuktikan apa yang akan dilakukan oleh penyerang yang lebih agresif dengan akses yang sama.

• Tidak terdapat dalam cakupan yang ditinjau di sini: pengenal CVE, pemberitahuan dari regulator, atau audit teknis independen atas kerentanan tersebut. Catatan ini merupakan pengungkapan penelitian vendor disertai pernyataan korporat, bukan berkas pengadilan atau temuan pengawas.

Satu kepentingan harus dinyatakan secara terang-terangan. CodeWall menerbitkan riset tersebut sebagai pemasaran untuk sebuah produk: tulisan itu diakhiri dengan menggambarkan perusahaan sebagai berada dalam tahap pratinjau awal dan sedang mencari mitra desain, dan Silicon UK melaporkan bahwa Price adalah satu-satunya karyawannya. Itu tidak membuat temuan tersebut salah — The Register, Silicon UK, dan Promptfoo semuanya menganggap rantai teknis itu kredibel — tetapi itulah alasan angka dampaknya harus dibaca sebagai klaim vendor, bukan sebagai pengukuran.

Mengapa ini sampai masuk ke kategori AI sama sekali

Titik masuknya bukanlah model. Michael D'Angelo dari Promptfoo menyampaikan poin itu pada 10 Maret 2026 dalam rumusan paling tajam: “Bagian yang spesifik untuk AI bukanlah titik masuknya. Itu adalah radius ledakannya.” Injeksi, celah autentikasi, dan akses lintas pengguna merupakan kegagalan keamanan aplikasi biasa; yang menjadikan insiden itu insiden AI adalah bahwa prompt, perutean, pengaturan pengambilan, dan riwayat pengguna semuanya berada dalam satu backend, sehingga akses basis data berubah menjadi kendali perilaku atas asisten yang dikonsultasikan puluhan ribu orang untuk pekerjaan klien.

Itulah sebabnya arsip menandai catatan ini sebagai WEAPON dan INFRA, bukan sebagai kerentanan model. Agen adalah instrumen — sistem otonom yang memilih sasarannya sendiri, menyelidikinya, dan melakukan eskalasi tanpa manusia yang menentukan ke mana harus diarahkan — dan kegagalannya bersifat infrastruktur: batas otorisasi yang diasumsikan, bukan ditegakkan. Argumen penutup CodeWall, bahwa prompt adalah "aset Crown Jewel baru" yang jarang memiliki kontrol akses, riwayat versi, atau pemantauan integritas, merupakan advokasi dari perusahaan yang menjual pengujian otomatis berkelanjutan. Itu juga satu-satunya klaim dalam pos tersebut yang tidak bergantung pada angka-angka yang diperdebatkan.