GTIG AI Threat Tracker: dari sebuah prompt menjadi ribuan kredensial dalam enam jam

Google Threat Intelligence Group menerbitkan edisi Q2 2026 dari AI Threat Tracker pada 8 September 2026. Kasus utama yang diangkat laporan ini cukup singkat untuk diungkapkan secara gamblang: aktor yang diduga bermotif finansial mengambil sumber daya cloud milik korban, memasukkan prompt dan serangkaian instruksi agen yang telah ditulis sebelumnya ke dalam chatbot pemrograman AI, dan telah memanen ribuan kredensial pihak ketiga dalam kurang dari enam jam, dengan agen tersebut mengelola pemindaian kerentanan, pemecahan masalah, dan rotasi IP secara mandiri. Laporan yang sama menjelaskan server MCP yang ditanami trojan di PyPI, pencuri kredensial yang mencuri identitas sistem build itu sendiri sehingga paketnya yang telah disisipi backdoor tiba dengan atestasi SLSA Build 3 yang valid dan ditandatangani secara kriptografis, serta teks adversarial yang bertujuan membuat pemindai keamanan berbasis LLM menolak membaca kode di bawahnya. Semuanya merupakan catatan Google atas telemetrinya sendiri. Laporan ini dikatalogkan, bersama tingkat keyakinannya dan sumber-sumber yang dikutipnya, di arsip insiden AI, yang menyimpan setiap insiden lain yang terdokumentasi dalam seri ini bersamanya.

Tidak satu pun klaim substantif telah diverifikasi oleh pihak yang tidak sekadar mengulangi Google. Help Net Security meliput pelacak tersebut pada hari publikasi, Cloud Security Alliance menerbitkan catatan riset pada hari berikutnya, dan Lineaje menerbitkan analisis DUSTMAKER pada 17 September; masing-masing merupakan ringkasan atau lapisan analitis atas pengungkapan Google, dan Lineaje sendiri menyatakannya demikian, dengan mencatat bahwa GTIG "menguraikan beberapa kemampuan DUSTMAKER terkait alih-alih satu jejak eksekusi end-to-end tunggal yang teramati." Sumber kedua yang dikutip bersama catatan ini, entri "threat pulse" threatops.tech bertanggal 11 September 2026, merupakan pengulangan pernyataan, bukan saksi kedua: entri itu tidak menambahkan pelaporan, tidak membantah angka apa pun, dan menaikkan label keparahan tanpa menjelaskan terhadap apa label itu diukur. Liputan bahkan tidak sepenuhnya sepakat tentang nama edisinya — Help Net Security menyebutnya pelacak Q3 2026 sementara memberi tanggal kasus utamanya pada Q2 2026 — yang merupakan perbedaan penomoran, bukan konflik faktual.

Arsip tersebut mengarsipkannya sebagai laporan, bukan insiden: tingkat keyakinan A, tidak disengketakan, tidak ada angka kerugian nyata terkuantifikasi yang tercatat untuknya. Penilaian itu menggambarkan kualitas dokumentasi, bukan skala kerusakan. Google menghitung kredensial, bukan korban. Pelacak itu tidak menyebutkan berapa banyak organisasi yang terjebak dalam kampanye enam jam tersebut, siapa mereka, chatbot mana yang digunakan, atau apakah kredensial yang dicuri kemudian dijual atau digunakan.

Enam jam yang diuraikan GTIG, dan tiga tugas yang dikerjakan agen itu sendirian

Urutan dalam laporan tersebut berjalan dari akses hingga hasil dengan sangat sedikit keterlibatan manusia di antaranya. Pelaku mengompromikan sumber daya cloud, lalu menggunakan chatbot pengodean AI komersial bersama dengan apa yang disebut GTIG sebagai "sebuah prompt" dan "serangkaian instruksi agen" — playbook markdown yang kini berada di repositori sebagai file AGENTS.md — untuk merencanakan, membangun, dan menjalankan operasi. Rumusan Google sendiri untuk hasilnya adalah "kampanye pemanenan kredensial massal yang diaktifkan agen," yang diselesaikan "dalam waktu kurang dari enam jam."

Tiga tugas digambarkan sebagai otonom, dan ketiganya adalah tiga tugas yang jika tidak demikian akan menyita perhatian operator:

• Pipeline pemindaian kerentanan, yang menurut instruksi agen memungkinkan AI {{1}}"mengelola secara otonom,"{{/1}} dalam frasa yang dikutip Help Net Security dari GTIG.

• Pemecahan masalah secara real-time atas apa pun yang ditemukan oleh pemindaian, sehingga suatu kegagalan tidak menghentikan jalannya proses karena menunggu keputusan.

• Rotasi IP, sehingga upaya berturut-turut berasal dari alamat yang berbeda tanpa ada yang mengeluarkan perintah itu.

Di mana operasi dijalankan sama pentingnya dengan seberapa cepat operasi itu berjalan. Dengan beroperasi dari infrastruktur cloud milik korban sendiri, aktor mengarahkan lalu lintas melalui rentang IP sah milik korban. Permintaan yang tampak berasal dari dalam organisasi justru merupakan permintaan yang paling tidak mampu dipertanyakan oleh pertahanan berbasis reputasi, dan laporan mencatatnya sebagai konsekuensi dari beroperasi dari aset milik korban sendiri.

Apa yang tidak dimuat dalam laporan itu sama informatifnya dengan apa yang dimuat. Tidak ada pengukuran waktu per langkah, sehingga "di bawah enam jam" adalah satu pengukuran tunggal untuk keseluruhan proses dan tidak dapat diuraikan menjadi bagan. Tidak ada nama pelaku selain "diduga bermotif finansial," tidak ada korban, dan tidak ada keterangan tentang model atau chatbot vendor mana yang terlibat. Pelacak ini memperlakukan kasus tersebut sebagai contoh nyata dari suatu tren, dan ditulis pada tingkat kedalaman yang sesuai untuk tujuan itu, bukan pada tingkat kedalaman yang diinginkan seorang penanggap insiden.

Server yang terekspos yang berkembang menjadi dasbor berisi 23.800 rahasia

Temuan kedua di bagian yang sama lebih konkret, dan ini merupakan kasus terpisah. GTIG menemukan server command-and-control yang terekspos dan menjalankan kerangka kerja manajemen kredensial serta pengintaian otomatis yang mereka sebut Recon. Daftar direktori tersebut dapat dibaca dan membocorkan desainnya: AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md, ditambah direktori modular .openclaw/ dan direktori memory/. Nama-nama berkas itu adalah sidik jari sebuah tumpukan agen, bukan implant yang dibuat khusus — instruksi, pengetahuan yang terakumulasi, dan rencana riset, semuanya tersimpan di disk tempat perkakas operator dapat membacanya.

Direktori yang sama, belakangan, berfungsi sebagai dasbor frontend aktif yang mengorganisasi dan memvalidasi lebih dari 23.800 rahasia yang dipanen, termasuk kunci API untuk layanan cloud dan AI. GTIG menggambarkan pergeseran yang diwakilinya sebagai peralihan "dari infostealer pasif yang berfokus pada endpoint ke pemanenan agentik yang ofensif" — yaitu, dari malware yang mengambil apa pun yang bisa diambilnya dari satu laptop ke perkakas yang terus menggarap target yang sudah dijangkauinya.

Ada dua peringatan yang menyertai angka itu. Dua puluh tiga ribu delapan ratus adalah hitungan rahasia, bukan hitungan orang atau perusahaan, dan laporan itu tidak menerjemahkan yang satu menjadi yang lain. Dan GTIG tidak menyatakan apakah server Recon dan kampanye enam jam itu merupakan operasi yang sama; keduanya disajikan sebagai observasi terpisah dalam bagian yang sama, sehingga memperlakukannya sebagai satu alur cerita merupakan inferensi yang tidak dibuat oleh laporan tersebut.

DUSTMAKER dan atestasi yang dengan benar menyatakan bahwa paket tersebut asli

Bagian rantai pasok dari pelacak ini menyangkut UNC6780, yang juga dilacak Google sebagai TeamPCP, kelompok bermotif finansial yang telah membobol infrastruktur open-source sejak Maret 2026 di PyPI, npm, dan Docker Hub. Metodenya terhadap perkakas AI bersifat langsung: akun pengembang yang dibobol digunakan untuk menerbitkan fork yang ditunggangi trojan dari server MCP yang sah, dengan tiktoken_mcp disebut sebagai contoh di PyPI, dan kode berbahaya disuntikkan ke repositori resmi organisasi, termasuk azure-functions-mcp-extension. GTIG mencatat bahwa payload dan hook workspace berbahaya kemudian terserap secara otomatis setiap kali aset tersebut diunduh atau di-clone — tanpa umpan terpisah, tanpa langkah kedua.

Pencuri kredensialnya, DUSTMAKER, adalah bagian yang memuat poin teknis paling berguna dalam laporan itu. Rantainya pendek. Pencuri itu mendeteksi bahwa ia berjalan di lingkungan CI/CD; GTIG menulis bahwa "jika terkonfirmasi," ia mengekstrak token OIDC dari memori proses runner GitHub Actions. Ia menggunakan token tersebut untuk mengotorisasi dirinya sebagai penerbit tepercaya. Kemudian ia menerbitkan versi paket terkompromi yang membawa atestasi SLSA Build 3 yang valid dan ditandatangani secara kriptografis. Tidak ada yang dipalsukan dalam rantai itu. Atestasi itu nyata, diterbitkan untuk identitas nyata, untuk build yang benar-benar terjadi — atas kode yang ditulis penyerang. Kesimpulan GTIG adalah kalimat yang penting bagi siapa pun yang mengandalkan provenans: "Paket yang diterbitkan dengan token valid akan lolos pemeriksaan kepercayaan otomatis agen pengodean AI."

Sisa perilaku DUSTMAKER ditujukan ke tempat-tempat yang tidak diawasi tim pertahanan. Ia menaruh dan memodifikasi file di dalam direktori workspace asisten pengodean AI dan IDE — .claude/, .vscode/, .cursor/ — tempat ia menyatu dengan kebisingan aktivitas developer dan menghindari lokasi yang benar-benar dipantau oleh deteksi endpoint, seperti kunci registry Windows atau /etc/cron.*. Ia menulis konfigurasi yang membuat IDE atau ekstensi AI menjalankan skrip seperti setup.mjs saat workspace dibuka, yang mengubah pembukaan folder menjadi eksekusi kode. Ia membuat tugas pipeline dengan nama bertema AI seperti "Copilot Setup" untuk berburu token, dan mengeluarkan panggilan API untuk menghapus log eksekusi workflow agar proses tersebut tidak muncul di antarmuka GitHub.

Malware yang meminta pemindai untuk mengalihkan pandangan

Mekanisme terakhir adalah yang paling sedikit terverifikasi dari ketiganya. Skrip loader JavaScript milik DUSTMAKER dibuka dengan teks prompt adversarial yang disematkan sebagai komentar — dalam _index.js antara lain — yang merujuk pada senjata biologis dan nuklir, serta menyertakan permintaan untuk spesifikasi perangkat fisi tipe implosi 20 kiloton. Penilaian GTIG adalah bahwa ini "kemungkinan dimaksudkan untuk menyebabkan pemindai keamanan LLM gagal atau melewati analisis kode JavaScript berbahaya di bawahnya karena penolakan terkait keselamatan atau kebijakan."

Label pada kalimat itu penting. Itu adalah pernyataan tentang niat, yang disimpulkan dari teks yang dibawa loader, bukan demonstrasi bahwa ada scanner yang benar-benar menolak. Laporan tersebut tidak menyebutkan scanner yang melewati file itu, tidak melaporkan tingkat bypass, dan tidak menyatakan bahwa teknik tersebut berhasil. Yang terbukti adalah bahwa seseorang menulis umpan tersebut dan mengirimkannya di dalam credential stealer — yang dengan sendirinya merupakan bukti bahwa para penyerang memperkirakan triase berbasis LLM akan berada di jalur tersebut.

UNC6508, MIDNIGHT NEPTUNE, dan CALANQUE ION berada dalam laporan yang sama

Materi pelacak yang terkait dengan negara lebih luas daripada materi kriminalnya, dan sebagian besar kurang terotomatisasi. UNC6508, kelompok dengan keterkaitan RRT, telah menjalankan kampanye spionase selama bertahun-tahun terhadap riset akademik, medis, dan militer Amerika Utara dan kini secara khusus menyasar riset AI eksklusif; GTIG menduga kelompok tersebut mengompromikan lingkungan cloud untuk menerapkan model open-weight lokal, yang menghindari pemantauan API komersial dan memanfaatkan daya komputasi milik korban sendiri.

Di tempat lain, polanya adalah model siap pakai yang melakukan pekerjaan biasa dalam skala besar. Milik Korea UtaraMIDNIGHT NEPTUNE, sebelumnya UNC1069, menggunakan DeepSeek-Coder untuk menulis trojan akses jarak jauh Python dengan persistensi lintas platform dan injeksi proses, menggunakan LLM untuk skrip pergerakan lateral Bash, menjalankan persona rekayasa sosial dan umpan teknis, meracuni konfigurasi repositori internal, mengubah Claude CLI hook, dan menyebarkan SOMBERMEME backdoor ketika seorang pengembang berinteraksi dengan repositori. Milik IranCALANQUE ION, sebelumnya APT42, menggunakan model untuk mengidentifikasi alamat email target, menjalankan OSINT, melokalkan umpan, merangkum data yang dieksfiltrasi dan mencoba rekayasa balik kode lisensi. PRC-nexus BASIN CASTLE menggunakan Gemini untuk pembuatan profil target, penerjemahan materi Tiongkok ke laporan politik bahasa Inggris formal, dan pemecahan masalah PowerShell; RAVINE CASTLE meneliti bypass VMware vCenter SAML dan pasca-eksploitasi Active Directory dengannya; Milik RusiaSANDWORM RELIC membuat Gemini menulis kode penyemprotan kata sandinya. Bermotif finansial UNC6240, juga dilacak sebagai ShinyHunters, menggunakan Claude Code prompt untuk menulis kode terobfuskasi, melewati Cloudflare, dan mengurai direktori yang dieksfiltrasi melalui alat MCP kustom.

Satu kasus di bagian ini melangkah lebih jauh daripada yang lain. Sebuah kelompok dengan keterkaitan PRC menggunakan Gemini untuk merancang kerangka kerja pengujian penetrasi otomatis yang dinamis yang dimaksudkan untuk mengamati keadaan target, menalar tentang apa yang harus dilakukan selanjutnya, serta melakukan pemindaian port dan penguraian layanan. Google mengatakan pihaknya mengambil tindakan yang lebih luas terhadap kampanye yang diidentifikasinya, dengan menonaktifkan aset, proyek, dan akun terkait. Secara terpisah, pada Juni 2026, Google mengganggu "Outsider Enterprise," sebuah layanan kejahatan siber berbasis di Tiongkok yang memasok kit phishing, dan menyebutnya sebagai kali pertama Google menempuh tindakan hukum atas penyalahgunaan Gemini. Itu adalah dua pernyataan yang berbeda, dan ringkasan yang menggabungkan keduanya akan menyatakan lebih dari yang dilaporkan: kerangka kerja pentest termasuk dalam bahasa penonaktifan aset, sedangkan tindakan hukum termasuk dalam Outsider Enterprise.

LLMJacking, dan berapa biaya akun AI curian saat ini

Pelacak ini juga mematok harga pasar untuk akses AI yang dicuri. Permintaan bawah tanah terkonsentrasi pada kredensial Claude dan Gemini, bersama dengan IDE pengodean otonom Cursor Pro dan Devin, yang terakhir dibuat oleh Cognition, dan harga rata-rata pasar per akun naik lebih dari dua kali lipat sepanjang 2026. Para infostealer yang melakukan pengumpulan — LUMMAC.V2, STEALC.V2, VIDAR dan ACRSTEALER — diperbarui untuk menargetkan konfigurasi pengembang AI. Pada Mei 2026, pengendali ACRSTEALER mendorong aturan file-grabber untuk berkas milik Cline, secrets.json dan berkas milik Continue AI, config.yaml, yang keduanya dapat menyimpan kunci API teks biasa dan endpoint perutean model khusus.

Salah satu intrusi yang dijelaskan GTIG menunjukkan betapa berharganya sebuah akun AI setelah diambil alih. Pada April 2026, sebuah personal access token GitHub yang terekspos cukup untuk mengaktifkan Gemini Enterprise, menyediakan komputasi berperforma tinggi, membuat repositori Docker untuk deployment API LiteLLM dan framework agen Manus, serta menjalankan layanan Cloud Run yang diekspos ke allUsers melalui binding invoker IAM. Sesi yang sama membuat akun layanan tidak sah dengan hak istimewa Editor dan mengekspor kuncinya, mengueri BigQuery untuk variabel lingkungan dan kredensial, mencoba mengalihkan kepemilikan proyek ke alamat eksternal, dan menggunakan API Cloud Quotas untuk meminta kapasitas NVIDIA RTX 6000 serta instans 48-vCPU tambahan.

Gambaran ekstraksi model adalah ekonomi yang sama pada skala lebih besar. GTIG mengatakan kampanye distilasi kini terjadi secara rutin, "beberapa di antaranya melampaui 100 juta prompt," dengan kueri dirotasikan di ribuan akun yang disusupi dan akun curang serta dirutekan melalui infrastruktur proxy, dan bahwa Google telah menerapkan tindakan penanggulangan yang dapat menurunkan kinerja model siswa dan metode untuk mengidentifikasi model hasil distilasi Gemini berdasarkan asal-usulnya.

Apa yang sudah mapan, apa yang merupakan penilaian, dan apa yang menurut GTIG belum terlihat

Mapan, dalam arti bahwa Google menggambarkan telemetri pihak pertamanya sendiri dan tindakan akunnya sendiri: laporan dan tanggalnya; artefak yang dikatakannya diamati, termasuk nama paket, nama file loader, nama direktori, dan dasbor yang berisi 23.800 rahasia; serta langkah-langkah disrupsi yang Google katakan telah diambil, yang dapat ia buktikan karena menonaktifkan akun adalah sesuatu yang ia lakukan, bukan sesuatu yang ia simpulkan. Help Net Security, Cloud Security Alliance, dan Lineaje semuanya melaporkan hal-hal tersebut tanpa kontradiksi, meskipun tidak ada dari mereka yang membawa bukti independen sendiri.

Penilaian, dalam pengertian bahwa itu adalah penilaian yang dibuat oleh Google: setiap atribusi negara-bangsa dalam laporan; pembacaan atas umpan penolakan sebagai disengaja; dan klaim bahwa token yang dicuri akan lolos "pemeriksaan kepercayaan otomatis agen pengodean AI," yang merupakan pernyataan tentang bagaimana pemeriksaan tersebut umumnya dibangun alih-alih pengukuran kegagalan produk tertentu dalam salah satu pemeriksaan itu.

Belum dapat dipastikan: identitas aktor enam jam, para korban dan jumlah mereka, chatbot serta model yang terlibat, dan apakah server Recon terhubung sama sekali dengan kampanye tersebut.

Dan batas atas laporan itu sendiri lebih rendah daripada yang disiratkan judulnya. GTIG menyatakan bahwa pihaknya belum mengamati pipeline eksploitasi yang sepenuhnya otonom di alam liar, dan menilai bahwa penggunaan oleh pihak lawan "mungkin sedang berkembang menuju kasus penggunaan ini." Pemisahannya ada di dalam serangan, bukan di sekitarnya: manusia memasok tujuan, prompt, dan berkas instruksi; agen memasok pemindaian, pemecahan masalah, dan rotasi, serta tidak berhenti untuk meminta izin. Jika dibaca dengan cermat, kampanye enam jam itu bukan bukti bahwa otonomi telah tiba. Itu adalah bukti bahwa porsi pekerjaan manusia menyusut ke bagian yang memerlukan manusia — memutuskan apa yang harus dilakukan — sementara segala sesuatu antara keputusan dan hasil berjalan sendiri.

Apa yang Google katakan telah diubahnya, dan kontrol yang sebenarnya ditunjuk laporan

Respons yang dinyatakan Google berjalan di dua jalur. Terkait penyalahgunaan, Google mengatakan bahwa aktivitas tersebut "memicu respons keamanan Gemini," bahwa pihaknya mengambil "tindakan tambahan yang lebih luas" terhadap kampanye tersebut berdasarkan kegagalan keamanan operasional para aktor, bahwa pihaknya menonaktifkan aset, proyek, dan akun terkait, dan bahwa Google DeepMind menggunakan temuan tersebut untuk memperkuat pengklasifikasi dan model itu sendiri agar menolak permintaan-permintaan ini. Di sisi pertahanan, Google telah menerapkan Google AI Threat Defense, yang menggabungkan Gemini dan model frontier dengan prioritisasi risiko Wiz, remediasi Gemini dan CodeMender, serta intelijen Mandiant, menggunakan model yang lebih ringan untuk pemindaian berkelanjutan dan model frontier untuk temuan berisiko tinggi; Google juga memperkenalkan Gemini 3.8 Flash Cyber untuk deteksi kerentanan dan penambalan otomatis, serta menerbitkan panduan penguatan rantai pasok sumber terbuka.

Perbaikan spesifik yang dituntut oleh kasus DUSTMAKER lebih sempit daripada tumpukan itu, dan analisis dari luar mengarah pada hal yang sama. Atestasi SLSA menjawab apakah suatu paket dibangun oleh identitas yang diklaimnya. Atestasi itu tidak menjawab apakah identitas tersebut masih milik pihak yang dimaksudkan untuk Anda percaya, dan seluruh metode DUSTMAKER adalah meminjam identitas alih-alih memalsukannya. Ringkasan Lineaje tentang pergeseran mendasar di baliknya adalah pernyataan yang paling jernih: "Konten repositori menjadi otoritas eksekusi." Nama paket, nama server MCP, lencana atestasi, dan file instruksi di dalam repositori semuanya kini hadir dengan semacam klaim untuk dipatuhi, dan token OIDC yang dicuri itulah yang membuat klaim tersebut tampak terverifikasi.