Dark Sourcery: Halaman Web Beracun, 374 Merek, dan Jawaban yang Tak Diperiksa Siapa pun

Pada 23 September 2026, perusahaan keamanan Vigilance Security menerbitkan penelitian yang menjelaskan kampanye aktif yang mereka sebut Dark Sourcery: penyerang membanjiri web terbuka dengan postingan, PDF, ulasan, dan halaman dukungan palsu yang dioptimalkan sehingga ChatGPT, Google Gemini, dan Google AI Overviews menampilkan nomor telepon, alamat email, dan halaman login yang curang sebagai detail kontak resmi sebuah perusahaan. Dark Reading melaporkan penelitian tersebut pada hari yang sama, dengan menyebut Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb, dan TripAdvisor di antara setidaknya 374 perusahaan yang terjerat di dalamnya, dengan puluhan ribu halaman berbahaya di belakangnya. Tidak ada model yang dibobol — halaman yang diracuni hanyalah apa yang dibaca oleh model, dan penipuan itu hadir dengan membawa kredibilitas asisten itu sendiri. Catatan ini adalah salah satu entri dalam Arsip Insiden AI OrcaRouter, yang melacak insiden AI dan temuan penelitian dengan bidang yang sama seperti yang digunakan di sini: tingkat keparahan, keyakinan, status sengketa, dan kerugian nyata.

Apa yang sebenarnya diterbitkan oleh Vigilance Security

Penelitian itu adalah postingan Medium oleh Ariel Simon, wakil presiden riset di Vigilance, berjudul "Dark Sourcery: Bagaimana Peretas Memanipulasi AI untuk Menipu Anda," yang diterbitkan pada 23 September 2026. Laporan Dark Reading, oleh penulis kontributor Elizabeth Montalbano dan bertanda waktu 14:47 UTC hari itu, tertaut langsung ke postingan tersebut dan mengutip Simon di sepanjang tulisan. Postingan itu menggambarkan operasi konten, bukan eksploitasi: tidak ada kerentanan yang dieksploitasi, tidak ada kredensial yang dicuri langsung oleh penyerang, dan tidak ada apa pun yang dikirim ke model yang dapat dipelajari model untuk ditolak.

Vigilance mengatakan pihaknya mengidentifikasi "puluhan ribu halaman berbahaya" yang berisi nomor dukungan palsu, alamat email, halaman login, informasi pembaruan perangkat lunak, dan detail penipuan lainnya, yang dibuat untuk membentuk apa yang dikatakan chatbot. Pihaknya menyebut jumlah perusahaan yang terdampak "setidaknya 374," yang digambarkan mencakup organisasi Fortune 100, maskapai penerbangan besar, bank, perusahaan perjalanan, dan penyedia perangkat lunak. Merek yang disebutkan dalam laporan Dark Reading adalah Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb, dan TripAdvisor.

Baik tulisan riset tersebut maupun pemberitaan yang menyusulnya tidak memberikan rincian per merek — nomor palsu mana milik perusahaan mana, berapa banyak halaman yang diracuni ditujukan untuk masing-masing, atau kapan setiap halaman individual muncul. Angka 374 disajikan sebagai total, dan catatan itu membawanya dengan cara yang sama.

Simon juga mengutip sebuah studi oleh Exploding Topics, yang diterbitkan pada Agustus 2026, yang menemukan bahwa 91% orang yang menggunakan chatbot AI tidak memverifikasi jawaban yang diberikan. Angka tersebut merupakan premis kampanye itu, bukan hasil pengukurannya: angka itu dikutip dalam riset tersebut dan diulang oleh Dark Reading dan IANS, dan metodologinya sendiri tidak dijelaskan dalam bagian mana pun dari liputan yang ditinjau di sini. Dalam kerangka Simon, "jika penyerang mengendalikan AI, dan kita memercayainya secara buta, pada dasarnya mereka mengendalikan kita."

Bagaimana peracunan itu dibangun

Mekanisme ini memiliki tiga bagian, dan hanya bagian pertama yang dapat dikaitkan dengan penyerang dalam pengertian apa pun yang lazim. Pertama, menyemai web dengan halaman-halaman yang mencantumkan detail kontak palsu. Kedua, membuat halaman-halaman itu tampak seolah-olah berasal dari sumber yang seharusnya dipercaya oleh sistem pengambilan. Ketiga, membiarkan asisten melakukan pengutipan.

Langkah kedua adalah bagian yang paling ditekankan Vigilance. "Kami menduga bahwa domain dengan otoritas tinggi (universitas, pemerintah) yang dikombinasikan dengan sumber opini publik (media sosial, forum, ulasan pengguna) mencapai tingkat keberhasilan tinggi dalam meracuni jawaban AI," kata Simon kepada Dark Reading. "Bergantung pada modelnya, AI melihat sumbernya dan lebih mempercayai konten jika berasal dari entitas yang berwenang." Itu adalah gambaran tentang reputasi yang dipinjam: halaman universitas yang disusupi atau disalahgunakan memasok otoritas, dan sebaran pos forum serta ulasan memasok kesan bahwa klaim tersebut didukung di tempat lain.

Ground Truth, media yang memeriksa klaim AI terhadap sumbernya, merangkum taktik penyemaian yang tercantum dalam unggahan Simon: kontak palsu yang sama atau serupa tersebar di unggahan buatan pengguna, PDF, halaman yang dihosting, ulasan, platform penggalangan dana dan lowongan kerja, serta konten bergaya tanya jawab; detail yang disesuaikan untuk pengambilan informasi dengan format dan frasa berulang seperti "24/7" dan "updated 2026"; dan nomor telepon yang sama ditampilkan dengan spasi, titik, emoji, karakter mirip Unicode, atau kata-kata yang dieja. Teknik terakhir itu berfungsi ganda — ia mengalahkan deteksi string duplikat sementara model tetap membaca satu nomor. Ground Truth menggambarkan tujuannya dengan tepat: bukan satu halaman viral, melainkan "kesan adanya konfirmasi independen."

Tulisan GIGAZINE tentang riset tersebut memberikan satu ilustrasi konkret: sebuah unggahan dukungan printer HP dan gambar yang direkayasa yang mencantumkan nomor telepon yang bukan milik HP. Ini adalah contoh dari pola tersebut, bukan kasus yang telah diaudit, dan media tersebut mengaitkannya dengan riset Vigilance, bukan dengan investigasi mereka sendiri.

Bukan prompt injection — tetapi dicatat seperti itu

Perbedaan itu penting, dan Simon menyatakannya secara eksplisit. Dark Reading mengutipnya yang mengatakan kampanye tersebut berbeda dari injeksi prompt "karena tidak melibatkan penyerang yang memberikan instruksi atau prompt eksplisit kepada AI, yang mungkin dapat digagalkan oleh pertahanan AI." Formulasinya yang lebih tajam: "Di sini, disinformasi yang ditampilkan sebagai fakta membuat AI menjawab pengguna dengan informasi palsu, tanpa pernah mengikuti instruksi/prompt apa pun dari penyerang, pada dasarnya melewati semua pertahanan."

Ini juga berbeda dari peracunan data pelatihan, yang merusak apa yang dipelajari model sebelum penerapan. Semua yang terjadi di sini berlangsung pada waktu pengambilan, terhadap web langsung, setelah model dirilis — itulah sebabnya pelatihan ulang tidak dapat memperbaikinya dan mengapa halaman yang diracuni dapat diturunkan tanpa jawabannya harus berubah.

Arsip mengarsipkan catatan ini di bawah IPI, tag indirect-prompt-injection-nya. Baca dengan cermat: tag dan riset tersebut membicarakan hal-hal yang berdekatan. IPI mencakup konten yang mencapai model secara tidak langsung, di dalam materi yang diminta untuk diproses model, bukan yang diketik oleh penggunanya. Dark Sourcery adalah saluran itu dengan instruksinya dihilangkan — payload-nya adalah fakta, bukan perintah. Tag tersebut adalah keputusan pengarsipan tentang saluran itu; penjelasan Simon adalah klaim tentang payload, dan keduanya tidak bertentangan. Yang tidak boleh dibaca dari tag tersebut adalah anggapan bahwa prompt dari penyerang telah dikirimkan, karena menurut penjelasan riset itu sendiri tidak ada yang dikirimkan.

Apa yang ditetapkan oleh catatan, dan apa yang tidak.

Arsip memberi nilai B untuk catatan ini — terdokumentasi, tetapi dari sumber tunggal atau sekunder — dan nilai itu adalah hal paling berguna di dalamnya. Tidak ada apa pun dalam cakupan yang ditinjau di sini yang bertentangan dengan penelitian tersebut. Masalahnya bukan pertentangan; masalahnya adalah rantai buktinya hanya selebar satu dokumen.

• Terbukti: Vigilance Security menerbitkan penelitian tersebut pada 23 September 2026 atas nama Simon, dan penelitian itu memuat klaim-klaim yang dijelaskan di atas — 374 perusahaan, puluhan ribu halaman, merek-merek yang disebutkan namanya, mekanismenya, serta taktik meminjam otoritas.

• Terkonfirmasi: riset tersebut dilaporkan pada hari yang sama oleh {{1}}Dark Reading{{/1}}, dan dalam lima hari oleh {{2}}IANS{{/2}} (24 September), {{3}}GIGAZINE{{/3}} dan {{4}}Ground Truth{{/4}} (25 September), {{5}}NEWSru.co.il{{/5}} dengan mengutip media Israel {{6}}Israel Defense{{/6}} (27 September), serta halaman riset vendor di {{7}}Aviatrix{{/7}} (23 September) dan {{8}}Kronus Intelligence Group{{/8}} (28 September).

• Tidak dibuktikan oleh itu: verifikasi independen. Masing-masing tulisan tersebut bersumber pada pos Simon atau laporan Dark Reading tentangnya, sehingga tulisan-tulisan itu menyebarkan klaim tersebut alih-alih mengujinya. URL kedua yang dikutip arsip itu sendiri, bestsec.net, adalah ringkasan berita keamanan siber yang berganti setiap hari; pada 26 Oktober 2026 halaman depannya tidak memuat item Dark Sourcery, sehingga artikel Dark Reading adalah rujukan yang bertahan lama.

• Belum dapat dipastikan: skalanya. Ground Truth menyatakan secara gamblang bahwa "klaim dalam pengungkapan tentang 374 perusahaan terdampak dan puluhan ribu halaman belum diaudit secara independen," dan bahwa tidak ada kumpulan data publik, korpus halaman berbahaya, atau log kueri yang dapat direproduksi yang dirilis. Analisis Kronus Intelligence Group tanggal 28 September mencapai kesimpulan yang sama dan mengusulkan label yang berguna: gambarkan mekanismenya sebagai sudah terbukti dan skalanya sebagai "dilaporkan-tetapi-belum-diverifikasi."

• Tidak terbukti: reprodusibilitas, menurut pengakuan para peneliti sendiri. Ground Truth melaporkan bahwa Simon menggambarkan hasilnya sebagai statistik dan mengatakan bahwa hasilnya tidak terulang setiap kali kueri dijalankan. Itu adalah sifat biasa dari sistem retrieval-augmented — peringkat, versi model, lokasi, waktu, dan susunan kata semuanya berubah — dan itu juga alasan temuan tersebut tidak dapat ditunjukkan berdasarkan permintaan.

• Belum terbukti: besarnya kerugian. Arsip mencatat kerugian nyata sebagai ada, dan dasar untuk itu sempit. Simon mengatakan kepada Dark Reading bahwa Vigilance telah melihat "beberapa kejadian" orang mengeluh karena ditipu agar menyerahkan detail pembayaran atau data kartu pembayaran oleh nomor palsu yang diberikan dalam jawaban chatbot. Para peneliti juga menelepon beberapa nomor palsu itu sendiri dan mencapai seorang perwakilan yang menawarkan untuk "memindahkan penerbangan kami" atau "membuka kunci rekening bank kami," lalu meminta detail kartu. Tidak ada korban yang disebutkan namanya, tidak ada kerugian yang dikuantifikasi, dan tidak ada keluhan atau tindakan penegakan hukum yang dikutip.

• Tidak disengketakan: arsip mencatat entri tersebut sebagai tidak terbantahkan, dan hal itu pun terbukti benar — pertanyaan-pertanyaan yang masih terbuka dalam liputan merupakan kelalaian dalam pengungkapan, bukan pertentangan dengannya.

Apa yang dikatakan kedua platform itu

Menurut NEWSru.co.il, yang mengutip Israel Defense, para peneliti melaporkan perilaku tersebut kepada kedua vendor. Posisi Google yang dilaporkan adalah bahwa jenis disinformasi ini berada di luar cakupan program pengungkapan kerentanannya. OpenAI dilaporkan menutup laporan tersebut dengan alasan bahwa temuan itu tidak dapat direproduksi secara andal, mengingat variabilitas respons model bahasa. Kedua ringkasan tersebut merupakan parafrasa: artikel itu tidak menyebutkan juru bicara di kedua perusahaan, tidak memberikan kutipan langsung, dan tidak mencantumkan tanggal respons.

Kedua respons tidak menyangkal bahwa jawaban yang diracuni itu ada. Jika dibaca sebagai keputusan triase alih-alih sanggahan, keduanya setidaknya koheren secara internal — program bug bounty dirancang untuk memberi imbalan atas cacat dalam kode yang dapat direproduksi, dan ini tidak dapat direproduksi sesuai permintaan maupun merupakan cacat dalam kode. Halaman yang diracuni berada di situs web orang lain. Apa yang ditunjukkan oleh pertukaran ini adalah adanya celah: kerugiannya cukup nyata untuk menghasilkan korban dan perilakunya cukup bervariasi untuk gagal dalam uji reproduksi, sehingga hal itu berada di ruang antara "kerentanan keamanan" dan "masalah konten," tempat tidak ada saluran pengungkapan yang menantinya.

Baik OpenAI maupun Google tidak secara publik mengonfirmasi atau membantah angka 374 perusahaan tersebut per analisis Kronus pada 28 September, dan tidak ada pernyataan dari kedua perusahaan itu yang muncul dalam liputan yang ditinjau di sini.

Apa yang berubah setelahnya

Tidak ada perubahan platform yang diumumkan sebagai respons. Kampanye tersebut digambarkan masih berlangsung saat dipublikasikan pada 23 September, dan penilaian Simon sendiri adalah bahwa perhitungannya belum selesai: "Kami percaya dampak nyata dari penipuan-penipuan ini sedang terjadi sekarang, dan kami masih belum mampu sepenuhnya memahami atau mengukur dampak penuhnya."

Yang ada sebagai gantinya adalah saran. Rekomendasi Simon, sebagaimana dilaporkan oleh Dark Reading, bergerak ke tiga arah. Bagi pengguna: verifikasi apa yang dikatakan asisten kepada Anda alih-alih menganggapnya tak mungkin salah. Bagi merek: tanggapi dengan serius keluhan pelanggan tentang penipuan, pantau jawaban AI yang sebenarnya diterima pelanggan dan sumber yang dikutip jawaban tersebut, dan prioritaskan kategori yang kesalahan nomornya berdampak mahal — dukungan, pemulihan akun, pengembalian dana, pembayaran, dan unduhan perangkat lunak. Bagi organisasi yang menjalankan agen: pantau saat runtime, verifikasi setiap sumber dan konten yang masuk ke konteks model, dan periksa detail penting — nomor telepon, tautan, paket perangkat lunak, baris perintah — sebelum bertindak berdasarkan detail tersebut. Langkah perbandingan yang ia sarankan sengaja dilakukan secara manual: "Bandingkan nomor telepon, alamat email, dan URL yang dikembalikan dengan catatan perusahaan yang terverifikasi, lalu selidiki detail yang tidak dikenal dan indikator berulang di berbagai situs web yang tidak terkait."

IANS menjalankan saran yang sama melalui tinjauan fakultasnya, dengan Josh More menempatkan kampanye itu dalam suatu rangkaian — "Kami sudah melihat ini di mesin pencari selama bertahun-tahun" — dan George Gerchow merangkum mekanismenya menjadi kalimat yang layak diingat: "Tidak ada yang membobol model. Mereka menyemai sumber-sumber yang dipercayainya dan membiarkannya berbicara. Chatbot itu tidak diretas; ia diberi makan." Rekomendasi fakultas IANS menambahkan pemantauan merek dan pembatasan otonomi agen ke saran verifikasi, dan tidak satu pun dari itu merupakan perbaikan.

Mengapa catatan itu layak disimpan

Keracunan hasil pencarian sudah lama ada. Yang dijelaskan catatan ini adalah titik ketika hasil pencarian berhenti menjadi hal yang dilihat pengguna. Dalam versi konvensional, korban tiba di sebuah halaman, dan halaman itu adalah buktinya — banyak salah ejaan, dihosting secara aneh, jelas bukan bank tersebut. Di sini halaman tidak pernah dirender. Sebuah model membacanya, menyetujuinya, dan menulis kalimat yang dimulai dengan nama merek dan diakhiri dengan nomor penyerang. Sitasi mungkin ada, tetapi penilaian yang biasanya didukung sitasi telah dibuat oleh sesuatu yang tidak mengenal lelah atau rasa curiga.

Itulah sebabnya nilai keyakinan catatan itu benar-benar berfungsi, bukan sekadar urusan administratif. Mekanismenya tidak diragukan secara serius — begitulah sistem yang diperkuat dengan pengambilan informasi dibangun, dan para analis industri yang menulis tentangnya menganggapnya masuk akal begitu melihatnya. Skalanya diragukan, dan akan tetap diragukan sampai seseorang merilis korpus atau log kueri. Pengukuran satu perusahaan, yang disebarkan oleh media yang semuanya mengutip postingan yang sama, adalah alasan untuk mencatat insiden itu dan alasan untuk tidak mengulang angka tersebut seolah-olah telah dihitung dua kali.

Pembingkaian dari arsip itu sendiri menempatkannya pada tingkat keparahan tinggi, dengan keterlibatan AI yang telah dikonfirmasi, kerugian nyata yang tercatat, dan tanpa sanggahan apa pun. Yang sebenarnya didokumentasikan oleh entri tersebut adalah peralihan kepercayaan: reputasi merek menjadi bahan mentahnya, kelancaran asisten menjadi mekanisme penyampaiannya, dan langkah verifikasi yang seharusnya dapat menangkapnya justru merupakan langkah yang disebut dilewati oleh 91% pengguna.