Symantec Threat Hunter menemukan agen serangan otonom yang mencari endpoint model bahasa besar atau large language model (LLM) tanpa perlindungan, kemudian memakai model yang dibajak sebagai mesin penalaran untuk membantu menjalankan aktivitas siber. Analisis mengenai temuan tersebut dipublikasikan pada 21 Oktober 2026.
Operator menyebut mode otonom agen itu sebagai “Skynet”. Berdasarkan analisis Symantec, mode tersebut dirancang untuk berjalan hingga 100.000 langkah tanpa persetujuan manusia. Kemampuan ini membuat model LLM yang terekspos tidak hanya menjadi sasaran penyalahgunaan biaya, tetapi juga berpotensi dijadikan komponen otomatis dalam rantai serangan.
Meski demikian, temuan ini belum membuktikan bahwa perangkat tersebut telah digunakan dalam serangan nyata berskala luas. Penemuan berasal dari pengamatan terhadap honeypot yang menyamar sebagai layanan AI tanpa perlindungan. Symantec menilai instruksi dan keluaran agen menunjukkan kemampuan yang lebih konkret daripada sekadar konsep, tetapi cakupan penggunaan di dunia nyata masih belum diketahui.
Agen mencari endpoint LLM yang terbuka
Dalam skenario yang diamati, agen tersebut melakukan pencarian terhadap endpoint LLM yang dapat diakses tanpa autentikasi atau perlindungan memadai. Endpoint semacam ini biasanya disediakan untuk menerima permintaan ke model AI, tetapi dapat menjadi risiko apabila dibiarkan terbuka ke internet.
Setelah menemukan layanan yang dapat digunakan, agen memanfaatkan model tersebut untuk membantu penalaran selama proses serangan. Dengan kata lain, model yang dibajak berfungsi sebagai sumber kemampuan pemrosesan dan pengambilan keputusan bagi agen, sementara pemilik endpoint dapat tetap tidak menyadari bahwa infrastrukturnya sedang dipakai pihak lain.
Pola ini memperluas pengertian LLMjacking. Penyalahgunaan model sebelumnya sering dibahas dalam konteks pihak tidak berwenang yang memakai kapasitas komputasi AI untuk menghasilkan keluaran atau menghindari biaya inferensi. Pada kasus ini, model yang terekspos ditempatkan sebagai bagian dari alur kerja agen yang dirancang untuk aktivitas siber.
Sekitar 74 definisi alat dalam instruksi agen
Analisis Symantec menemukan sekitar 74 definisi alat dalam instruksi agen. Cakupannya meliputi sejumlah tahap yang lazim ditemukan dalam operasi serangan siber, mulai dari pencarian target hingga pemrosesan hasil.
- Pemindaian target dan layanan yang dapat diakses.
- Eksploitasi terhadap layanan web.
- Pencurian kredensial.
- Akses ke metadata cloud.
- Eksfiltrasi data.
- Penambangan kripto.
Keberadaan definisi alat tersebut menunjukkan bahwa agen tidak dirancang hanya untuk memberikan jawaban teks. Ia dipersiapkan untuk mengoordinasikan beragam tindakan teknis dan menggunakan hasil dari satu tahap untuk mendukung tahap berikutnya.
Namun, daftar kemampuan tidak secara otomatis membuktikan bahwa setiap alat berhasil digunakan terhadap target nyata. Bukti utama yang tersedia berasal dari interaksi dengan honeypot. Karena itu, temuan tersebut lebih tepat dipahami sebagai indikasi kemampuan dan niat desain agen, bukan laporan tentang kampanye serangan berskala besar yang telah terkonfirmasi.
Mode “Skynet” mengurangi kebutuhan persetujuan manusia
Fitur yang paling menonjol adalah mode otonom yang disebut “Skynet”. Mode ini dirancang untuk memungkinkan agen berjalan hingga 100.000 langkah tanpa meminta persetujuan manusia pada setiap tahap.
Dalam sistem agen, jumlah langkah yang panjang dapat berarti proses berlangsung melalui banyak keputusan, pemanggilan alat, dan evaluasi hasil. Jika tidak terdapat pembatas yang memadai, agen dapat terus melanjutkan aktivitas berdasarkan keluaran sebelumnya. Risiko tersebut menjadi lebih besar ketika model penalaran dan alat operasional berada dalam satu rangkaian otomatis.
Desain seperti ini tidak membuktikan bahwa agen selalu mampu menyelesaikan seluruh serangan secara mandiri. Hasil operasional tetap dapat dipengaruhi oleh kualitas instruksi, akses yang tersedia, konfigurasi target, serta keberhasilan setiap alat. Akan tetapi, kemampuan untuk berjalan dalam jumlah langkah yang sangat besar memperlihatkan arah perkembangan ancaman: otomatisasi tidak lagi terbatas pada satu permintaan atau satu tindakan.
Risiko bagi pemilik infrastruktur AI
Organisasi yang mengekspos endpoint AI tanpa autentikasi menghadapi setidaknya dua risiko. Pertama, pihak lain dapat menggunakan kapasitas model tanpa izin sehingga pemilik layanan menanggung biaya inferensi. Kedua, endpoint tersebut berpotensi membantu aktivitas terhadap target lain, termasuk pemindaian, eksploitasi, dan pemrosesan data.
Risiko ini berbeda dari serangan yang hanya menargetkan aplikasi AI untuk memperoleh jawaban berbahaya. Dalam skenario LLMjacking oleh agen, endpoint yang terbuka dapat menjadi sumber daya komputasi sekaligus bagian dari infrastruktur operasional. Pemilik model mungkin tidak melihat aktivitas serangan secara langsung karena permintaan yang masuk dapat tampak seperti penggunaan layanan biasa, terutama jika pemantauan dan pencatatan tidak memadai.
Akses ke metadata cloud juga menjadi perhatian penting. Metadata dapat memberikan informasi lingkungan yang berguna bagi penyerang apabila layanan berjalan di infrastruktur cloud dengan konfigurasi yang salah. Temuan Symantec tidak menyatakan bahwa setiap endpoint yang terbuka pasti memberikan akses tersebut, tetapi memasukkan kemampuan ini ke dalam rancangan agen menunjukkan pentingnya pemisahan hak akses antara model, alat, dan lingkungan eksekusi.
Temuan honeypot belum sama dengan serangan luas
Symantec menemukan agen tersebut melalui honeypot yang dibuat menyerupai layanan AI tanpa perlindungan. Metode ini memungkinkan peneliti mengamati bagaimana agen berinteraksi dengan layanan yang dianggapnya tersedia, termasuk instruksi yang dikirim dan keluaran yang dihasilkan.
Menurut analisis tersebut, sebagian keluaran pemindaian menyerupai aktivitas terhadap target langsung. Hal ini membuat perangkat itu dinilai lebih dari sekadar konsep teoretis. Meski demikian, observasi honeypot memiliki batasan. Temuan itu tidak menunjukkan berapa banyak organisasi yang telah menjadi sasaran, apakah agen telah memperoleh akses berkelanjutan, atau seberapa sering perangkat tersebut digunakan dalam operasi nyata.
Pembedaan ini penting agar risiko dipahami secara proporsional. Organisasi perlu memperlakukan endpoint LLM terbuka sebagai permukaan serangan yang serius, tetapi belum ada dasar untuk menyimpulkan bahwa agen “Skynet” telah menjalankan kampanye global berskala luas.
Langkah pertahanan yang perlu diperhatikan
Temuan mengenai agen AI Skynet LLMjacking menegaskan perlunya pengamanan pada lapisan layanan AI dan infrastruktur yang menjalankannya. Endpoint model seharusnya tidak dibiarkan menerima permintaan anonim apabila tidak benar-benar diperlukan.
- Gunakan autentikasi dan otorisasi yang kuat pada endpoint model.
- Batasi akses jaringan berdasarkan identitas, sumber, dan kebutuhan layanan.
- Terapkan pembatasan laju serta kuota untuk mendeteksi penggunaan tidak wajar dan mengendalikan biaya inferensi.
- Pantau pola permintaan, volume token, dan lonjakan penggunaan yang tidak sesuai kebiasaan.
- Pisahkan model dari alat berisiko tinggi dan berikan hak akses minimum.
- Gunakan persetujuan manusia untuk tindakan yang mengubah sistem, mengakses data sensitif, atau mengirimkan informasi keluar.
- Audit konfigurasi cloud, termasuk izin akses terhadap metadata dan kredensial.
Perlindungan tersebut tidak hanya ditujukan untuk mencegah penyalahgunaan model. Tujuannya juga memastikan bahwa agen otomatis tidak dapat mengubah layanan AI menjadi sumber daya yang mendukung serangan terhadap pihak lain.
Kasus ini memperlihatkan perubahan penting dalam keamanan agen AI. Ancaman tidak lagi hanya berasal dari pengguna yang meminta model menghasilkan keluaran berbahaya. Model yang tidak terlindungi juga dapat dibajak dan dimasukkan ke dalam rantai serangan otomatis. Karena bukti saat ini masih berpusat pada observasi honeypot, pemantauan lanjutan akan diperlukan untuk menentukan apakah pola tersebut berkembang menjadi serangan nyata dengan jangkauan yang lebih luas.
