Laporan AI Mandiant 2026: tagihan $50,000 dari agen yang lepas kendali dan intrusi berbantuan AI

Laporan MandiantAI Risk and Resilience 2026 yang diterbitkan di Google Cloud pada September 2026 dan diliput pada minggu yang sama oleh Help Net Security, The Hacker News, dan SecurityBrief, menguraikan tiga penugasan di mana AI menjadi mekanisme, bukan target: sesi asisten pengodean AI yang dibajak yang menyebarkan worm Shai-Hulud ke sekitar 100 repositori internal di penyedia software-as-a-service yang tidak disebutkan namanya; kredensial CI/CD yang disusupi yang diubah penyusup menjadi pusat serangan berbantuan AI di dalam perusahaan layanan kesehatan, mengeksfiltrasi ribuan kredensial; dan agen akuntansi yang menimbulkan biaya cloud sekitar $50,000 dalam waktu kurang dari satu jam setelah nilai null yang rusak merusak salah satu alatnya, mengunci basis data penagihan dan menghentikan transaksi aktif. Tidak ada penyerang yang terlibat dalam kasus ketiga. Catatan yang menjadi dasar artikel ini, dan entri-entri yang diajukan di sekitarnya, terdapat dalam arsip insiden AI, yang memuat sumber, tingkat keparahan, tingkat keyakinan, dan tanda status disengketakan masing-masing entri.

Dokumen jenis apa ini

Laporan ini berjudul "AI risk and resilience in 2026: A Mandiant special report" di halaman sumber daya keamanan Google Cloud, dan ini merupakan publikasi vendor, bukan pengungkapan pelanggaran. Studi kasusnya berasal dari keterlibatan respons insiden Mandiant dan dari penilaian oleh tim Offensive Security-nya, dan organisasi-organisasi tersebut diidentifikasi hanya berdasarkan sektor: penyedia software-as-a-service, organisasi layanan kesehatan global, penyedia layanan keuangan perusahaan global. Tidak ada korban yang disebutkan namanya, tidak ada tanggal intrusi, dan tidak ada pernyataan korban yang menyertai ketiganya.

Hal itu menentukan cara angka-angka tersebut harus dibaca. Setiap angka di dalamnya berasal dari penyelidik Mandiant sendiri. Catatan Frontier Ready dari Cloud Security Alliance tertanggal 16 September menyebut biaya sekitar $50.000 dan volume 15.000 panggilan sebagai "dilaporkan sendiri (metrik penyedia)" dan menyatakan bahwa keduanya "belum diverifikasi secara independen" — deskripsi yang adil untuk keseluruhan laporan, yang tidak menerbitkan telemetri pihak ketiga untuk dijadikan pembanding. Arsip tersebut mencatat entri ini sebagai catatan informasional, sebuah laporan dan bukan insiden dengan kerugian yang tercatat, serta memberinya tingkat keyakinan A tanpa menandainya sebagai diperdebatkan; tingkat tersebut menunjukkan seberapa baik laporan itu didokumentasikan, bukan apakah pihak luar telah mengonfirmasi isinya.

Pembingkaian laporan itu sendiri adalah bahwa pada 2026 para penyerang beralih dari meminta chatbot untuk melakukan riset menjadi membiarkan sistem agentik menjalankan sebagian dari suatu intrusi. Mandiant mengatakan Google Threat Intelligence Group telah mengamati para aktor mengerahkan perkakas otonom termasuk Hexstrike dan Strix untuk pengintaian dan pemanenan kredensial, serta membangun relay proksi dan alur pendaftaran otomatis untuk mengakali guardrail dan batas penagihan di platform AI komersial. Laporan itu mengutip penggunaan sebagai senjata pada Februari atas keterampilan agen OpenClaw yang didokumentasikan VirusTotal, kompromi rantai pasok pada Maret yang menurut Mandiant disebabkan oleh aktor yang dilacaknya sebagai UNC6780 dan oleh pihak lain dilacak sebagai TeamPCP, dan pengungkapan Mei yang digambarkan GTIG sebagai kasus pertama yang terkonfirmasi secara publik tentang seorang penjahat siber menggunakan eksploit zero-day yang dikembangkan AI, yang melewati autentikasi dua faktor di alat administrasi sumber terbuka yang populer.

Kasus satu: asisten merekomendasikan paket itu

Dalam kasus pertama, seorang penyerang mengompromikan penyedia software-as-a-service dan kemudian mengambil alih sesi asisten pengodean AI yang aktif di workstation pengembang. Mandiant menggambarkan asisten tersebut sebagai "beroperasi sebagai interpreter yang tepercaya di dalam lingkungan": asisten itu merekomendasikan pemasangan paket perangkat lunak eksternal yang telah diracuni oleh penyerang, dan pengembang menerima rekomendasi tersebut. Laporan itu menyebut bahwa asisten tersebut "tanpa sengaja berfungsi sebagai kuda Troya".

Dari sesi langsung tersebut, penyerang menginstal infostealer melalui paket PyPI yang diracuni dan memanen token OAuth GitHub milik pengembang. Worm Shai-Hulud yang menyebar sendiri kemudian bergerak melintasi sekitar 100 repositori kode internal, mengotomatiskan pencurian rahasia repositori dan eksfiltrasi terprogram atas kode sumber produk eksklusif. Penyerang juga meracuni sebuah paket di dalam namespace resmi organisasi, dan karyawan kedua menarik versi yang telah dikompromikan — infeksi hilir yang, menurut keterangan Mandiant, tidak memerlukan tindakan lebih lanjut dari penyusup.

Apa yang tidak disebutkan dalam laporan itu adalah kapan peristiwa ini terjadi, atau bagaimana penyerang memperoleh kendali atas sesi asisten sejak awal. The Hacker News, yang melaporkan studi kasus tersebut pada 16 September, mencatat kedua kelalaian itu. Catatan riset Cloud Security Alliance tanggal 18 September tentang kasus ini menyebut vektor akses awal sebagai "pertanyaan terbuka paling signifikan dalam studi kasus" dan mengamati bahwa kontrol yang direkomendasikan Mandiant membahas sejauh mana infeksi dapat menyebar, bukan bagaimana sesi itu diambil alih.

Kontrol Mandiant untuk kasus ini ada tiga, dan ketiganya spesifik mengenai kegagalan tersebut: terapkan hook verifikasi IDE dan CLI yang memeriksa setiap dependensi pihak ketiga yang direkomendasikan AI terhadap checksum kriptografis dan allowlist yang disetujui; jaga kunci API mentah, token OAuth berumur panjang, dan rahasia lainnya agar tidak terjangkau ekstensi; dan batasi egress jaringan workstation sehingga lalu lintas dependensi hanya dirutekan melalui repositori internal yang terkendali.

Kasus kedua: kredensial CI/CD yang berubah menjadi hub co-debugging AI

Kasus kedua adalah investigasi cloud perusahaan di sebuah organisasi layanan kesehatan global. Mandiant melacak aktivitas anomali hingga ke kredensial CI/CD pengembang berumur panjang yang telah dikompromikan, yang digunakan penyusup untuk menjalankan instans VM yang tidak terisolasi dan mengubahnya menjadi pusat serangan ofensif yang aktif. Alih-alih membangun perkakas secara offline, penyerang menghubungkan model bahasa besar langsung ke server yang sedang berjalan dan melakukan iterasi terhadapnya di tempat.

Mandiant menjelaskan alur kerja tiga tahap. Pertama adalah pemicuan konteks: paket kode yang disinkronkan melalui sesi jarak jauh dan file README proyek dimuat ke dalam konteks obrolan model, untuk mengarahkan pembuatan kode selanjutnya agar sesuai dengan tujuan kampanye. Lalu debugging interaktif: penyerang meminta model menyusun kerangka pemanenan data multi-pekerja dan bersama model menelusuri kesalahan logis dalam pemecahan skrip, sehingga meningkatkan irama eksfiltrasi menjadi siklus tiga jam. Terakhir, penghindaran dan eksploitasi: model menulis skrip rotasi IP dinamis untuk menukar alamat server yang masuk daftar blokir secara langsung, dan turut mengembangkan alat berbasis Rust untuk masuk ke akun korban dan memeriksa saldo keuangan.

Mandiant mengatakan kampanye tersebut telah membobol ribuan kredensial dan mengeksfiltrasi kunci API serta rahasia keuangan yang dipanen ke repositori yang dikendalikan penyerang. Laporan itu tidak menyebutkan akun siapa yang menjadi sasaran alat Rust tersebut, saldo keuangan milik siapa yang diperiksa, atau apa yang terjadi pada kredensial tersebut setelahnya. Tidak ada data pasien yang disebutkan di mana pun dalam studi kasus tersebut.

Kontrol yang direkomendasikan mengikuti kredensial, bukan model: ganti kunci akses berumur panjang dengan hubungan kepercayaan Workload Identity Federation berumur pendek yang menggunakan OIDC; batasi lalu lintas keluar dengan VPC Service Controls agar lingkungan runtime dan pengembangan tidak dapat menjangkau penyedia model eksternal yang tidak disetujui; jalankan pemindaian rahasia secara berkelanjutan di seluruh workspace; dan tempatkan firewall prompt runtime seperti Model Armor di jalur tersebut untuk mencegat kredensial yang di-hardcode dan memblokir skrip utilitas ofensif saat dieksekusi.

Kasus ketiga: agen yang menghabiskan $50,000 dalam waktu kurang dari satu jam

Kasus ketiga tidak melibatkan pihak lawan. Sebuah penyedia layanan keuangan perusahaan global men-deploy agen untuk merekonsiliasi anomali dalam buku besar akuntansinya dan memberinya akses baca dan tulis ke basis data penagihan internal. Nilai null yang rusak membuat alat pemformatan agen gagal, dan agen tersebut merespons dengan masuk ke apa yang disebut Mandiant sebagai loop penalaran rekursif tanpa batasan untuk memaksakan perbaikan.

Dalam waktu kurang dari satu jam, sistem itu mengeluarkan lebih dari 15.000 panggilan API penalaran berfrekuensi tinggi dan berbiaya tinggi, yang menghasilkan lonjakan tagihan cloud mendadak sekitar $50.000. Perulangan yang sama menyebabkan penguncian basis data lokal yang parah sehingga menghentikan transaksi bisnis yang sedang berjalan. Mandiant mengklasifikasikan kasus ini sebagai "denial-of-wallet", dan perbaikan yang direkomendasikannya bersifat operasional, bukan pada tingkat model: batas pengeluaran, rekursi terbatas, dan pemutus sirkuit untuk menghentikan agen yang terus gagal menjalankan tugas yang sama.

Laporan tersebut tidak menyebutkan apakah biaya itu dibayar, dikreditkan, atau diperselisihkan, berapa lama transaksi dihentikan, apakah nasabah terdampak, atau apa yang diubah perusahaan setelahnya. Laporan itu juga tidak mencantumkan tanggal. Rangkuman SecurityWeek edisi 18 September mengelompokkannya ke dalam apa yang ditandai laporan sebagai kategori risiko keuangan baru, bukan sebagai intrusi konvensional.

Kontrol yang diusulkan Mandiant juga bersifat finansial: definisi akses berbasis identitas dan peran untuk agen, ambang batas plafon biaya dan pemantauan sebagai tata kelola, ditambah pemutus sirkuit finansial otomatis yang menghentikan agen setelah sejumlah kegagalan tugas berturut-turut. Pada tingkat layanan dan proyek, Mandiant merekomendasikan plafon finansial yang ketat, batas rekursi yang dibatasi, dan batas laju, sehingga loop koreksi mandiri dapat dibatasi sebelum menjadi gangguan layanan.

Apa yang sudah ditetapkan, apa yang diatribusikan, apa yang tidak diungkapkan

Terverifikasi. Mandiant menerbitkan laporan ini, dan isinya sesuai dengan yang diringkas di atas. Empat media industri meliputnya dalam rentang tiga hari satu sama lain — Help Net Security dan The Hacker News pada 16 September, SecurityBrief UK pada 17 September, dan SecurityWeek pada 18 September — dan uraian mereka cocok dengan laporan tersebut pada setiap angka yang mereka kutip. Cloud Security Alliance menerbitkan catatan riset terpisah tentang kasus pertama pada 18 September, yang sampai pada pembacaan mekanismenya yang sama dan kesimpulan yang sama tentang apa yang tidak diungkapkan Mandiant.

Diatribusikan, tidak diverifikasi secara independen. Angka-angka spesifik itu milik Mandiant: sekitar 100 repositori, ribuan kredensial, siklus eksfiltrasi tiga jam, lebih dari 15.000 panggilan penalaran, sekitar $50,000, kurang dari satu jam. Tidak ada media yang menerbitkan telemetri dari salah satu dari tiga korban, dan tidak satu pun dari ketiganya disebutkan namanya oleh siapa pun. Korroborasi yang ada adalah korroborasi atas isi laporan, bukan atas peristiwanya. Pembedaan itulah satu-satunya hal yang dapat diandalkan pembaca di sini, dan tingkat keyakinan arsip pun harus dibaca dengan cara yang sama.

Tidak diungkapkan. Laporan tersebut tidak memberikan tanggal untuk ketiga keterlibatan itu, tidak menyebutkan nama korban, dan tidak memberikan penjelasan mengenai bagaimana sesi asisten pada kasus pertama diambil alih. Laporan itu tidak menyatakan apakah token OAuth GitHub dan rahasia repositori yang dipanen telah dicabut, apakah ribuan kredensial dari kasus kedua telah digunakan atau direset, apakah subjek data organisasi layanan kesehatan tersebut terdampak, apakah kerugian agen akuntansi telah dipulihkan, atau apa yang diubah oleh ketiga organisasi tersebut setelahnya. Artikel ini tidak menemukan pernyataan korban, pemberitahuan regulator, atau laporan lanjutan yang diterbitkan sejak 16 September yang mengisi kekosongan tersebut.

Di mana cakupan berbeda. Catatan Cloud Security Alliance menjelaskan infeksi kedua dalam kasus pertama sebagai penyebaran melalui namespace npm milik perusahaan sendiri. Teks Mandiant hanya menyebut "sebuah paket di dalam namespace resmi organisasi" dan tidak menyebutkan ekosistem di sana; pembacaan sebagai npm adalah tambahan, bukan kutipan. Secara terpisah, The Hacker News menegaskan bahwa worm dalam kasus ini tidak dikaitkan oleh bukti yang tersedia dengan worm npm Agustus yang menanam hook untuk asisten coding, atau dengan varian Shai-Hulud yang ditemukan memindai 469 lokasi untuk kredensial — nama keluarga yang sama, kampanye terpisah, tanpa bukti dalam artikel yang menghubungkannya.

Apa yang dikatakan laporan itu harus berubah

Rekomendasi Mandiant berulang di seluruh studi kasus dalam laporan: beralih dari kredensial berumur panjang dan akun layanan ke identitas yang terikat pada workload dan berumur pendek secara desain; memperlakukan asisten pengodean AI dan server MCP sebagai sesi istimewa yang ekstensi dan hook CLI-nya diverifikasi sebelum dieksekusi; melingkupi workload agen dalam perimeter jaringan yang memblokir egress ke penyedia model yang tidak disetujui; dan menginstrumentasikan penggunaan token, panggilan API lintas aplikasi, serta akses agen ke aset sensitif sehingga pembacaan pertama kali terhadap repositori sensitif muncul sebagai sinyal alih-alih menyatu dengan lalu lintas alat yang sah.

Terkait biaya, laporan itu menarik garis pemisah antara tata kelola AI dan tata kelola untuk AI: kebijakan yang menetapkan selera risiko dan aturan pengadaan di satu sisi, serta batas teknis yang ditegakkan di sisi lain. Agen akuntansi adalah contoh dalam laporan tentang jenis kedua yang gagal: menurut keterangan Mandiant, tidak ada apa pun dalam penerapannya yang membatasi loop tersebut, dan kontrol yang seharusnya menangkapnya — batas maksimum, batas laju, pemutus sirkuit — adalah kontrol biasa yang diterapkan pada beban kerja yang tidak biasa.

Ketiga kasus itu tidak memiliki penyebab yang sama. Salah satunya adalah masalah kepercayaan, ketika rekomendasi seorang asisten membawa otoritas seperti rekomendasi kolega. Salah satunya adalah masalah kredensial yang sudah ada sebelum model apa pun, dengan model-model membuat intrusi lebih cepat dan lebih adaptif begitu berada di dalam. Yang satu lagi bukan keduanya: tidak ada penyerang, tidak ada eksploitasi, hanya agen yang diberi akses tulis ke buku besar dan tanpa batas atas apa yang dapat dibelanjakannya untuk memperbaiki alat yang rusak. Yang mereka bagi adalah bahwa dalam setiap kasus, sistem AI memiliki kewenangan yang cakupannya tidak ditetapkan oleh siapa pun — untuk merekomendasikan, mengonfigurasi ulang, terus mencoba.