Pembajakan identitas alur kerja: Noma Labs mengubah email dukungan biasa menjadi akses data istimewa

Pada 9 September 2026, tim riset di Noma Security, yang menulis sebagai Noma Labs, menerbitkan laporan tentang apa yang mereka sebut pembajakan identitas alur kerja: alur kerja AI perusahaan membaca pesan biasa yang tiba di titik masuk publik — kotak masuk dukungan, issue GitHub, formulir web, dokumen bersama — lalu menjalankan pekerjaan yang diminta menggunakan akun layanan berhak istimewa tinggi miliknya sendiri, bukan izin pengirim. Penjelasan Noma memuat contoh orang luar mengirim email ke alamat dukungan publik sebuah perusahaan dan meminta, antara lain, angka penjualan kuartalan dari email terbaru Direktur Keuangan; beberapa menit kemudian isinya tiba di kotak masuk penyerang. Tidak ada model yang diperdaya dan tidak ada akun yang diretas, dan itulah inti laporan tersebut: "yang harus dilakukan penyerang hanyalah bertanya." Arsip tersebut tidak mencatat kerugian nyata — tidak ada korban yang disebutkan dan tidak ada sistem yang diterapkan yang digambarkan sebagai terganggu — dan menilai temuan itu sebagai riset, tingkat keparahan sedang, keyakinan A, disengketakan: salah. Laporan ini bersandar pada laporan Noma Labs, pada liputan Dark Reading yang terbit hari yang sama dan tindak lanjut CSO Online, dan arsip insiden AI menyimpan entri ini bersama entri-entri di sekitarnya, masing-masing dengan sumber, tingkat keparahan, dan nilai keyakinannya sendiri.

Bidang-bidang pada catatan itu sendiri layak dibaca sebelum prosanya. Catatan tersebut diberi tag INFRA dan EXFIL, mencakup wilayah GLOBAL, memuat satu tanggal presisi-hari yaitu 9 September 2026, dan tidak ditandai sebagai entri penting. Tanggal itu adalah tanggal publikasi riset tersebut dan tidak lebih dari itu; tidak ada kronologi insiden yang dilampirkan padanya, karena memang tidak ada insiden yang perlu diberi waktu. Itulah hal pertama yang harus dipegang: yang diterbitkan Noma adalah sebuah mekanisme dan sebuah kategori, bukan laporan pelanggaran.

Apa yang Noma tunjukkan, dan apa yang tidak

Urutan kotak masuk dukungan tersebut merupakan ilustrasi yang direkonstruksi, bukan kasus pelanggan. Laporan Noma tidak menyebutkan nama organisasi mana pun, tidak memberikan jumlah deployment yang terdampak, tidak menerbitkan telemetri dari pipeline nyata mana pun, dan tidak menautkan eksekusi proof-of-concept untuk skenario ini — berbeda dengan riset kelompok tersebut pada Juli yang menunjuk ke eksekusi GitHub Actions publik. Sebagai gantinya, laporan itu menyajikan deskripsi mekanisme yang cukup presisi untuk diperiksa terhadap suatu arsitektur: sebuah masukan tanpa autentikasi tiba, model menafsirkannya dengan benar, pipeline menjalankan panggilan hilir, dan panggilan tersebut dilakukan dengan otoritas pembuat workflow.

Sasi Levi, kepala riset keamanan Noma dan penulis laporan tersebut, merangkum akar masalahnya dalam satu kalimat: "identitas dan izin pengguna yang memicu alur kerja dipisahkan dari identitas dan izin yang digunakan untuk menjalankannya." Jika itu berlaku, alur kerja menjadi, dalam kata-kata laporan tersebut, "proksi tanpa autentikasi untuk tindakan istimewa dan eksfiltrasi data senyap."

Karena tindakan tersebut berjalan melalui otomasi tepercaya dengan kredensial yang valid, Noma berpendapat hanya sedikit yang bisa ditangkap oleh peringatan konvensional. Permintaannya normal, keluaran model adalah keluaran model yang valid, panggilan API diautentikasi, dan balasannya adalah balasan yang memang dirancang untuk dikirim oleh alur kerja. CSO Online mengutip anggota tim merah, Vibhum Dubey, yang membuat masalah deteksi ini menjadi konkret: "Peristiwa-peristiwa individual dapat terlihat sepenuhnya sah. Sinyal yang berguna akan muncul dari mengorelasikan pemohon asli, identitas yang digunakan di hilir, sumber daya yang diakses, parameter yang disediakan, dan tindakan akhir."

Pemeriksaan yang gagal adalah pemeriksaan otorisasi, bukan filter konten.

Ilustrasi paling tajam dari laporan itu adalah sepasang permintaan yang identik. Dari seorang chief financial officer: "Apa angka penjualan kuartalan dari Direktur Keuangan dalam email terbaru mereka?" Dari pengirim eksternal: kata-kata yang sama. Poin Noma adalah bahwa prompt dan operasi yang diminta sama, sementara keputusan otorisasinya seharusnya sepenuhnya berbeda — "Seorang CFO berhak atas informasi itu; pengirim eksternal tidak."

Detektor injeksi prompt standar dan guardrail agen, menurut laporan itu, mengklasifikasikan kedua input secara identik, karena tidak ada yang berbahaya pada salah satunya untuk dideteksi. "Risiko keamanannya bukan pada prompt; melainkan pada batas otorisasi." Klaim struktural Noma mengikuti dari itu: guardrail, instruksi sistem, dan filter input "tidak dirancang untuk berfungsi sebagai batas otorisasi," sehingga pipeline yang bergantung padanya untuk memutuskan apa yang boleh diambil oleh pemanggil bergantung pada kontrol yang tidak pernah diminta melakukan tugas itu.

Perbedaan ini penting secara praktis. Injeksi prompt langsung memanipulasi cara model mengikuti instruksi; injeksi prompt tidak langsung menyembunyikan instruksi di dalam konten yang nantinya akan dibaca model; pembajakan identitas alur kerja, sebagaimana didefinisikan Noma, tidak membutuhkan keduanya, karena permintaan itu adalah permintaan yang semestinya dipahami model dan semestinya dijalankan oleh pipeline. Seorang pembela yang telah menghabiskan setahun untuk memperkuat pertahanan terhadap injeksi telah bekerja pada lapisan yang berbeda.

Alur kerja statis berada di luar upaya penguatan agen.

Noma memisahkan dua hal yang rutin digunakan secara bergantian. Alur kerja AI adalah urutan statis yang telah ditentukan sebelumnya, di mana model merupakan salah satu langkah pemrosesan — singkatan dalam laporan adalah langkah A, model, langkah B, langkah C — dan pipeline deterministik di sekitar model mengendalikan apa yang terjadi. Alur kerja agentic bersifat otonom: agen memutuskan langkah mana yang akan diambil dan alat mana yang akan dipanggil. Menurut laporan tersebut, sebagian besar upaya keamanan saat ini telah diarahkan ke jenis kedua, membatasi akses alat dan membatasi cakupan izin bagi agen yang membuat keputusan dinamis, dan kontrol tersebut tidak menjangkau jenis pertama.

Laporan tersebut juga menutup celah pelarian yang jelas. Membatasi siapa atau apa yang dapat memicu alur kerja tidak menyelesaikan masalah: jika sebuah otomasi berjalan pada pukul 08.00 sesuai jadwal dan bertindak atas kotak masuk yang dapat ditulis oleh siapa saja, mengaudit "siapa yang dapat memicu alur kerja ini" berarti menjawab pertanyaan yang salah. Aturan Noma adalah bahwa setiap otomasi harus dinilai berdasarkan "pihak yang paling tidak tepercaya yang mampu memengaruhi hal yang menjadi sasarannya" — termasuk email, formulir, tiket, issue GitHub, dokumen bersama, dan pesan obrolan.

Noma mengatakan Google telah memperbaiki kasus Google Workflows; Google belum menerbitkan apa pun

Satu-satunya platform yang disebutkan namanya dalam laporan itu adalah milik Google. Noma menyatakan bahwa pihaknya mengidentifikasi vektor risiko yang sama di dalam Google Workflows, bahwa pihaknya melaporkannya secara bertanggung jawab, dan bahwa Google mengakui laporan tersebut serta mengonfirmasi adanya perbaikan "tanpa mengungkapkan detail implementasi." Kalimat itu adalah keseluruhan catatan publik. Tidak ada advisory Google, catatan rilis, atau CVE yang menjelaskan vektor ini yang dapat ditemukan, dan setiap laporan sekunder tentang perbaikan tersebut — termasuk yang diterbitkan pada hari-hari setelah 9 September — mengaitkannya dengan Noma, bukan dengan Google.

Laporan tersebut juga tidak sepenuhnya konsisten mengenai produk Google mana yang dimaksud. Teks naratifnya menyebut Google Workflows; judul bagian dalam laporan yang sama berbunyi "Google Workspace: AI Workflow Identity Hijacking." Keduanya adalah produk Google dengan batas kepercayaan yang berbeda, dan laporan tersebut tidak menyelaraskannya. Noma tidak menyebutkan apakah kasus yang dilaporkannya telah dieksploitasi, berapa banyak pelanggan yang terdampak, atau apa yang diubah oleh perbaikannya — dan karena Google belum mengatakan apa pun, tidak ada dari celah-celah tersebut yang dapat ditutup dari sisi vendor.

GitLost adalah batas yang sama, dilihat melalui lensa yang lebih sempit

Pengungkapan Noma sebelumnya memberikan preseden bagi kategori ini. Pada Juli 2026, kelompok tersebut menerbitkan riset tentang GitHub Agentic Workflows, yang mereka beri nama GitLost: sebuah alur kerja yang dipicu saat sebuah issue ditugaskan, membaca judul dan isi issue tersebut, lalu membalas dengan komentar, dan karena agen tersebut memiliki akses baca di seluruh repositori organisasi, pengguna eksternal dapat menggunakan penugasan issue untuk menjangkau data repositori privat. Dark Reading meliputnya pada 7 Juli 2026 dan menggambarkan seorang penyerang yang menyembunyikan perintah dalam bahasa Inggris biasa di isi issue yang dibuka di repositori publik, tanpa memerlukan kredensial dan tanpa keterampilan coding.

Kedua pembingkaian itu tidak identik, dan perbedaannya adalah bagian yang menarik. Laporan Dark Reading pada Juli adalah kisah prompt-injection: teks yang dikendalikan penyerang dibaca sebagai instruksi. Laporan Noma pada September menggambarkan GitLost dari segi pemicu dan akses baca seluruh repositori, serta menyajikannya sebagai batas otorisasi yang sama yang dilihat dari satu sudut. Kedua deskripsi cocok dengan alur kerja yang agennya membaca teks yang ditulis orang luar, tetapi hanya deskripsi yang lebih awal bergantung pada model yang diarahkan. Noma sekarang mengatakan pihaknya melaporkan vektor risiko yang sama kepada Google; Noma tidak menyebut apakah kasus GitLost pernah dieksploitasi di luar demonstrasi yang dipublikasikan.

Menurut klaim Noma sendiri tentang jangkauan, Hacker News, Dark Reading, dan lebih dari 100 media internasional lainnya meliput riset GitLost. Angka itu berasal dari vendor, dan artikel ini belum menghitung cakupan liputan tersebut secara independen.

Para praktisi sepakat mekanismenya sudah lama; perdebatannya adalah tentang namanya.

Liputan independen tidak membantah temuan itu, dan dua praktisi eksternal menolak kebaruannya, bukan substansinya. Morey Haber, penasihat keamanan utama di BeyondTrust, kepada Dark Reading: "Tidak ada yang menipu model AI untuk melakukan sesuatu yang seharusnya tidak dilakukannya. Model itu melakukan persis apa yang diperintahkan kepadanya, oleh orang asing (tidak tepercaya), dan alur kerja di sekitarnya menggunakan identitas orang lain untuk mewujudkannya karena cakupannya tidak ditentukan dan tidak diperlakukan dengan prinsip hak istimewa paling minim." CSO Online mengutip Vibhum Dubey yang menggambarkan pola tersebut sebagai "kelas kelemahan otorisasi yang sudah dikenal," dan menambahkan bahwa ketika input yang tidak terautentikasi dapat memicu alur kerja tepercaya yang bertindak dengan hak istimewanya sendiri, "alur kerja itu secara efektif dapat bertindak sebagai confused deputy."

Ram Varadarajan, CEO Acalvio, menawarkan kepada Dark Reading kontrol yang sama sekali berbeda: alih-alih penyaringan lebih banyak, isi lingkungan dengan umpan — utas eksekutif palsu, catatan honeytoken — yang tidak memiliki alasan sah bagi alur kerja resmi mana pun untuk menyentuhnya, sehingga permintaan yang tampak wajar yang mencoba menjangkaunya memicu batas yang seharusnya tidak pernah dilewati. Ketidaksepakatan, sejauh ada, adalah tentang apakah kontribusi yang berguna itu berupa nama baru bagi cacat delegasi era 1988 atau deskripsi yang berfungsi tentang di mana cacat itu kini berada. Posisi Noma adalah yang kedua: bahwa pola itu bersifat sistemik di seluruh pipeline AI perusahaan dan bahwa kerangka keamanan AI saat ini melihat permukaan yang salah.

Mitigasinya adalah delegasi dan checkpoint, bukan filter yang lebih baik.

Kontrol yang direkomendasikan Noma berada di lapisan aplikasi, bukan lapisan model. Delegasi token yang sadar identitas berarti menghapus kunci API administratif statis dari alur kerja AI dan menjalankan operasi data dengan token delegasi berlingkup dan berumur pendek yang terikat pada pemohon yang terautentikasi, sehingga konteks pengguna merambat ke panggilan yang benar-benar menyentuh data. Titik pemeriksaan otorisasi kontekstual berarti memperlakukan setiap keluaran model sebagai masukan yang tidak tepercaya dan menempatkan evaluasi kontrol akses serta perlindungan runtime yang eksplisit di antara langkah transformasi model dan panggilan database atau alat berikutnya. Pemisahan keluaran asimetris berarti mengisolasi secara struktural pengambilan data dari saluran komunikasi eksternal, sehingga alur kerja yang menangani data internal sensitif tidak berbagi jalur eksekusi dengan mekanisme otomatis yang membalas pihak luar.

Dubey memberi CSO Online pengujian yang lebih murah daripada ketiga-tiganya: bandingkan hasil di berbagai tingkat hak istimewa. "Jika pengguna dengan hak istimewa rendah dapat memperoleh hasil yang sama dengan administrator karena sistem hilir hanya melihat identitas alur kerja, di situlah saya akan memusatkan penyelidikan."

Apa yang masih terbuka dalam catatan

• Tidak ada korban, tidak ada hitungan, dan tidak ada telemetri. Kasus kotak masuk dukungan Noma adalah panduan langkah demi langkah; laporan itu tidak menyebut organisasi mana pun dan arsip mencatat kerugian nyata sebagai palsu. Kemungkinan mekanisme tersebut bukanlah bukti bahwa mekanisme itu telah digunakan.

• Produk Google mana yang diperbaiki, dan apa perbaikannya. Teks Noma menyebut Google Workflows, judul bagiannya menyebut Google Workspace, dan Google belum menerbitkan apa pun. Organisasi belum dapat menentukan dari sumber publik apakah pipeline yang mereka jalankan termasuk dalam cakupan.

• Apakah vektor tersebut telah dieksploitasi di mana pun. Baik laporan itu maupun liputan apa pun yang ditinjau untuk artikel ini tidak menguraikan kampanye yang teramati, kehilangan data, atau temuan forensik yang dapat dikaitkan dengan pembajakan identitas alur kerja.

• Apakah kategori tersebut bertahan di bawah pengukuran. Belum ada pihak independen yang menerbitkan hasil pemindaian, korpus pipeline yang terdampak, atau rangkaian uji untuk pola tersebut; bukti yang beredar hanyalah argumen arsitektural ditambah satu laporan dari satu vendor mengenai satu kasus yang telah diperbaiki.

• Siapa yang membuat argumen tersebut. Noma Labs adalah sayap riset Noma Security, yang menjual kontrol keamanan agen persis seperti yang direkomendasikan laporannya. Itu tidak membuat temuannya salah — Dark Reading dan CSO Online sama-sama melaporkannya, dan keduanya tidak menemukan kesalahan faktual — tetapi itu adalah konteks yang harus dipegang pembaca saat menimbang seberapa luas kategori tersebut digambarkan.

Tingkat keparahan catatan tersebut, medium, dan penanda bahaya nyatanya, false, menggambarkan bukti, bukan mekanismenya. Apa yang sebenarnya telah ditetapkan Noma sempit dan dapat diperiksa: bahwa identitas pemicu sebuah alur kerja dan identitas eksekusinya adalah dua hal yang terpisah, bahwa yang kedua biasanya lebih kuat, dan bahwa pipeline yang tidak pernah membandingkan keduanya akan melakukan bagi orang asing apa yang akan dilakukannya bagi orang yang untuknya pipeline itu dibuat. Kendali yang menyusul pun sama tidak glamornya — tanyakan, untuk setiap otomasi, siapa yang dapat memengaruhi apa yang menjadi sasaran tindakannya, dan apakah ada sesuatu di hilir yang pernah memeriksa ulang bahwa orang yang meminta memang berwenang untuk meminta.