Lilli milik McKinsey Resmi Dirilis ke Publik pada 9 Maret. Rekam Jejaknya Tidak Membawa Bahaya.

Pada 9 Maret 2026, startup keamanan CodeWall menerbitkan uraiannya tentang bagaimana agen otonom yang mereka bangun memperoleh akses baca dan tulis penuh ke basis data produksi di balik Lilli, asisten AI seluruh firma McKinsey & Company, dalam waktu sekitar dua jam dan tanpa satu pun kredensial. Intrusi itu sendiri terjadi pada 28 Februari; yang dicatat oleh entri ini dalam arsip insiden AI adalah hari insiden tersebut menjadi publik. Menurut CodeWall, basis data yang dicapai berisi 46,5 juta pesan chat dalam teks polos, 728.000 file, 57.000 akun pengguna, dan 95 prompt sistem yang mengatur cara Lilli menjawab — dan prompt tersebut berada dalam basis data yang sama yang dapat ditulis oleh agen. Orang-orang dalam data itu adalah staf McKinsey sendiri: firma tersebut mengatakan 72 persen karyawannya, lebih dari 40.000 orang, menggunakan Lilli, yang menangani lebih dari 500.000 prompt per bulan. Entri lengkapnya, beserta tingkat keparahan dan keyakinannya serta catatan-catatan di sekitarnya, ada di Orca AI Incident Archive.

Pembukaan itu memadatkan dua jenis klaim yang sangat berbeda, dan entri arsipnya cermat soal perbedaan itu. Entri tersebut menilai catatan itu sebagai insiden, keyakinan A, tidak diperdebatkan, tingkat keparahan tinggi, wilayah AS, tipe INFRA — infrastruktur, bukan kegagalan model. Entri itu juga mencatat tidak ada kerugian nyata. Bidang terakhir itulah yang layak dibaca dua kali, karena bukan berarti paparan tersebut tidak berbahaya. Artinya, tidak ada kerugian yang terbukti dalam catatan, dan artikel di bawah ini memisahkan hal yang disepakati kedua pihak dari hal yang bersandar pada keterangan satu perusahaan tentang risetnya sendiri.

Mengapa pengungkapan merupakan peristiwa bertanggal tersendiri

Ringkasan arsip untuk entri ini merujuk kembali ke 28 Februari 2026, hari ketika agen CodeWall menemukan cacat tersebut, dan arsip menyimpan tanggal yang lebih awal itu sebagai catatan terpisah. Pemisahan ini bukan soal birokratis. Sebelum 9 Maret, satu-satunya pihak yang mengetahui apa yang terjadi di dalam Lilli adalah McKinsey dan peneliti yang telah memberi tahu firma itu. Setelah 9 Maret, bentuk kegagalan, respons firma, dan klaim tentang apa yang ada di dalam basis data semuanya sudah tercatat secara publik, tempat peneliti keamanan lain dapat memperdebatkannya.

Lilli bukan proyek sampingan. The Register menyebut peluncurannya pada Juli 2023, mencakup chat, analisis dokumen, dan pengambilan informasi dari riset internal firma tersebut. Tulisan CodeWall, yang juga mencatat asal nama itu — perempuan profesional pertama yang dipekerjakan firma tersebut, pada 1945 — menggambarkan lebih dari 100.000 dokumen internal di baliknya. The Register, yang melaporkan pengungkapan itu pada hari yang sama, menyebut adopsinya mencapai 72 persen karyawan dan volumenya di atas 500.000 prompt per bulan — angka yang telah dipublikasikan sendiri oleh McKinsey dalam studi kasus publik tentang platform tersebut.

Bagaimana agen itu masuk

Kisah CodeWall dimulai dengan dokumentasi, bukan eksploitasi. Agennya menemukan dokumentasi API Lilli terekspos secara publik dan ditulis secara lengkap: lebih dari 200 endpoint secara keseluruhan, sebagian besar memerlukan autentikasi, dan 22 yang tidak. Salah satu endpoint tanpa autentikasi tersebut menuliskan kueri pencarian pengguna ke dalam basis data. Nilainya diparameterisasi dengan benar, tetapi kunci JSON — nama field — digabungkan langsung ke dalam SQL.

Pesan kesalahan basis data memantulkan kunci JSON tersebut kembali secara verbatim. CodeWall mengatakan pemindai ZAP milik OWASP tidak menandai masalah tersebut, dan bahwa agen itu kemudian menjalankan lima belas iterasi buta, dengan setiap pesan kesalahan mengajarkannya sedikit lebih banyak tentang bentuk kueri, sampai baris produksi aktif mulai kembali. Dari sana ia merangkai injeksi tersebut dengan cacat otorisasi tingkat objek untuk membaca riwayat pencarian masing-masing karyawan. Perusahaan menggambarkan seluruh proses itu sepenuhnya otonom, dari pemilihan target hingga laporan, tanpa kredensial dan tanpa manusia dalam prosesnya. Pendiri dan kepala eksekutifnya, Paul Price, mengatakan kepada The Register bahwa proses tersebut "sepenuhnya otonom mulai dari meneliti target, menganalisis, menyerang, hingga melaporkan."

Apa yang CodeWall katakan ada di dalam

Setiap angka dalam bagian ini berasal dari tulisan CodeWall tanggal 9 Maret. Tidak ada payload yang dipublikasikan, sehingga tidak satu pun darinya dapat direproduksi atau dihitung secara independen — sebuah keterbatasan yang dibahas pada bagian berikutnya.

• 46,5 juta pesan obrolan, disimpan dalam teks polos, mencakup pekerjaan strategi, penugasan klien, keuangan, serta merger dan akuisisi.

• 728.000 file, yang dalam uraiannya merinci 192.000 PDF, 93.000 lembar kerja Excel, 93.000 dek PowerPoint, dan 58.000 dokumen Word — 436.000 secara total, sehingga 292.000 sisanya tidak terklasifikasi dalam kalimat yang sama.

• 57.000 akun pengguna, 384.000 asisten AI, dan 94.000 ruang kerja, yang digambarkan CodeWall sebagai struktur organisasi lengkap tentang bagaimana perusahaan menggunakan AI secara internal.

• 95 prompt sistem dan konfigurasi model di 12 jenis model, yang menunjukkan bagaimana asisten diberi instruksi, pengaman apa yang ada, dan model apa yang mendasarinya.

• 3,68 juta potongan dokumen retrieval-augmented generation, dengan jalur penyimpanan S3 dan metadata file internal — basis pengetahuan yang memasok asisten.

• 1,1 juta file dan 217.000 pesan agen yang bergerak melalui API AI eksternal, termasuk lebih dari 266.000 penyimpanan vektor di platform OpenAI.

Temuan yang dianggap CodeWall sebagai berita utama bukanlah injeksinya, melainkan di mana injeksi itu mendarat. Prompt sistem Lilli adalah baris-baris dalam basis data yang sama dengan yang dapat ditulis oleh agen, yang berarti penyerang dengan akses yang sama dapat menulis ulang instruksi asisten dengan satu pernyataan UPDATE yang dibungkus dalam satu panggilan HTTP — tanpa deployment, tanpa perubahan kode, tanpa file di disk untuk di-diff. CodeWall menyatakan pengujiannya sendiri hanya untuk verifikasi: ia membaca, tidak menulis, dan menurutnya tidak ada layanan produksi yang terganggu.

Apa yang dikatakan McKinsey pada hari yang sama

Juru bicara McKinsey told The Register pada 9 Maret bahwa firma tersebut memperbaiki semua masalah yang diidentifikasi CodeWall dalam hitungan jam setelah mengetahuinya. "Investigasi kami, yang didukung oleh firma forensik pihak ketiga terkemuka, tidak menemukan bukti bahwa data klien atau informasi rahasia klien diakses oleh peneliti ini atau pihak ketiga tidak berwenang lainnya," kata juru bicara itu, seraya menambahkan bahwa "sistem keamanan siber McKinsey tangguh."

Silicon UK melaporkan posisi yang sama pada 13 Maret, dalam laporan Matthew Broersma: McKinsey mengatakan pihaknya "baru-baru ini diberi tahu tentang kerentanan terkait alat AI internal kami, Lilli, oleh seorang peneliti keamanan," bahwa pihaknya "segera mengonfirmasi kerentanan tersebut dan memperbaiki masalahnya dalam hitungan jam," dan bahwa tidak ada data klien atau informasi rahasia klien yang diakses. Laporan itu juga mencatat bahwa Price adalah satu-satunya karyawan CodeWall, detail yang layak disertakan karena bisa dilihat dari dua sisi — tim riset satu orang menemukan dalam dua jam apa yang tidak ditemukan oleh pemindai perusahaan itu sendiri, dan tim satu orang itu juga menjual alat yang menemukannya.

Dua versi perbaikan itu, terpaut satu hari

Timeline pengungkapan milik CodeWall sendiri berjalan seperti ini: agen mengidentifikasi SQL injection dan mulai melakukan enumerasi pada basis data produksi pada 28 Februari; rantai lengkap dikonfirmasi pada hari yang sama dengan 27 temuan didokumentasikan; email pengungkapan yang bertanggung jawab dikirim ke tim keamanan McKinsey pada 1 Maret dengan ringkasan dampak tingkat tinggi; chief information security officer perusahaan mengonfirmasi penerimaan dan meminta bukti terperinci pada 2 Maret; dan pada 2 Maret semua endpoint tanpa autentikasi ditambal dan diverifikasi, lingkungan pengembangan diambil offline dan dokumentasi API publik diblokir. Pengungkapan publik menyusul pada 9 Maret.

Versi McKinsey adalah bahwa perbaikan itu dilakukan dalam hitungan jam setelah mereka diberi tahu. Linimasa CodeWall menempatkan patch pada hari setelah email pengungkapannya. Keduanya tercatat resmi. Tidak ada pihak yang merekonsiliasikannya, dan artikel ini tidak mencoba melakukannya: perbedaannya adalah antara perbaikan pada hari yang sama dan perbaikan pada hari berikutnya, dan urutan yang penting — diberi tahu, lalu di-patch, lalu dipublikasikan — tidak diperdebatkan.

Mapan, sumber tunggal, dan kesenjangan di antara keduanya

Telah ditetapkan, disepakati oleh kedua belah pihak: terdapat kelemahan tanpa autentikasi pada permukaan API publik Lilli; hal itu ditemukan oleh peneliti keamanan eksternal, bukan orang dalam; McKinsey mengonfirmasi dan menambalnya; endpoint tanpa autentikasi ditutup, lingkungan pengembangan dijadikan offline, dan dokumentasi API publik diblokir.

Sumber tunggal, dari CodeWall: setiap angka di atas, linimasa dua jam, lima belas iterasi buta, 27 temuan yang terdokumentasi, dan klaim bahwa prompt dapat ditulis melalui injeksi yang sama. Tidak ada satu pun yang terbantahkan. Tidak ada satu pun yang telah diverifikasi secara independen juga, karena payload yang memungkinkan orang memeriksanya tidak dipublikasikan, dan Price menolak memberikan prompt persis yang digunakan timnya kepada The Register.

Promptfoo, firma keamanan AI, menerbitkan penilaian pada 10 Maret yang menyatakan batasnya secara tepat: catatan publik "tidak membuktikan secara independen setiap jumlah baris yang dilaporkan atau setiap langkah eksploitasi," meskipun catatan itu mendukung gambaran insiden tersebut. Itulah pembacaan yang benar atas materi yang tersedia. Kelas bug-nya dapat direkonstruksi; skalanya hanya berdasarkan kesaksian.

Kerugian yang tidak dibawa oleh catatan itu

Di sinilah penilaian arsip benar-benar berperan. Jalur dua jam menuju akses baca dan tulis di dalam basis data produksi sebuah asisten seluruh firma terdengar seperti catatan kerugian, dan arsip tidak mencatat satu pun. Bidang ini bertumpu pada tiga hal: pernyataan McKinsey bahwa investigasi forensik pihak ketiga tidak menemukan bukti data klien telah diakses; pernyataan CodeWall bahwa pengujiannya hanya bersifat verifikasi dan tidak mengganggu apa pun; dan tidak adanya temuan yang bertentangan dalam liputan yang ditinjau untuk artikel ini.

Hal ini tidak bertumpu pada audit teknis independen, penetapan regulator, atau notifikasi pelanggaran data. Tidak ada pengenal CVE yang diberikan dalam liputan mana pun yang ditinjau — Lilli adalah perangkat lunak internal, bukan produk yang didistribusikan, dan tidak ada advisory yang menyebutkannya — dan tidak tampak ada otoritas pengawas yang membuka perkara. Tidak ada bukti publik yang muncul, dalam liputan yang ditinjau untuk artikel ini, bahwa data tersebut digunakan, dijual, atau diekspos lebih lanjut. Itulah makna “tidak ada kerugian nyata yang tercatat” di sini: pernyataan bukti tentang suatu catatan, bukan temuan bahwa paparan tersebut aman.

Kesenjangan itu penting karena risiko yang menarik bersifat prospektif. Akses baca memperlihatkan apa yang sudah ada. Akses tulis ke lapisan prompt memperlihatkan apa yang akan dikatakan asisten berikutnya — saran yang teracuni, penghapusan pagar pengaman, materi rahasia yang dimasukkan ke dalam jawaban yang kemudian ditempel konsultan ke dalam dokumen klien. CodeWall menggambarkan konsekuensi tersebut sebagai tersedia bagi siapa pun yang memiliki akses yang sama. Tidak ada yang menunjukkan bahwa hal itu benar-benar dimanfaatkan. Kedua pernyataan itu bisa sama-sama benar: kemampuannya nyata, dan kerugiannya tidak terwujud berdasarkan bukti yang telah diterbitkan siapa pun.

Mengapa ini dicatat sebagai infrastruktur, bukan sebagai kegagalan model

Arsip menandai catatan ini sebagai INFRA, dan catatan teknis mendukung tag tersebut. Tidak ada apa pun dalam laporan CodeWall yang memerlukan tipu daya terhadap model. Tidak ada jailbreak, tidak ada injeksi prompt dari dokumen, tidak ada input adversarial yang diminta untuk ditelan oleh asisten. Titik masuknya adalah dokumentasi yang terekspos, pemeriksaan autentikasi yang hilang, dan konstruksi SQL yang tidak aman; model hanyalah hal paling berharga di balik pintu itu.

Analisis Promptfoo 10 Maret membuat pembedaan yang sama dari sisi defensif: Lilli "terlihat, dalam catatan publik, seperti insiden keamanan aplikasi yang menjangkau sistem AI, bukan jailbreak model," dan banyak dari yang disebut keamanan AI masih merupakan keamanan perangkat lunak, keamanan data, dan tata kelola konfigurasi. Bagian yang spesifik AI adalah radius dampaknya, bukan pelanggarannya — karena prompt, aturan perutean, dan pengaturan pengambilan adalah data aplikasi yang dapat diubah, akses tulis basis data menjadi kemampuan untuk mengubah perilaku asisten tanpa menyentuh kode.

Apa yang berubah setelahnya

Perubahan konkret adalah yang digambarkan oleh kedua pihak: endpoint tanpa autentikasi telah ditutup dan diverifikasi, lingkungan pengembangan telah dinonaktifkan, dan dokumentasi API publik telah diblokir. McKinsey mengatakan pihaknya menemukan kerentanan tersebut, mengonfirmasinya, dan memperbaikinya, dan posisi publiknya adalah tidak ada data klien yang diakses.

Yang tidak berubah adalah paparan yang lebih luas yang digambarkan oleh insiden ini. Tulisan CodeWall ditutup dengan argumen bahwa prompt disimpan di basis data, diteruskan melalui API, dan di-cache dalam file konfigurasi, serta bahwa prompt tersebut jarang mendapatkan kontrol akses, riwayat versi, atau pemantauan integritas — yang merupakan klaim tentang sebuah industri, bukan temuan tentang McKinsey, dan harus dibaca sebagai argumen dari perusahaan yang menjual pengujian otomatis berkelanjutan. Perusahaan itu berada dalam tahap pratinjau awal dan mencari mitra desain; pengungkapan ini sekaligus menjadi demonstrasi.

Yang tersisa dari catatan itu lebih sempit dan lebih berguna daripada argumennya. Asisten seluruh firma, basis data produksi, dua jam, tanpa kredensial, dan baris kerugian yang terbaca tidak benar karena kedua pihak yang memiliki akses terhadap fakta sama-sama menyatakan data itu tidak digunakan. Angka-angka itu milik salah satu pihak tersebut. Kerentanannya milik keduanya.