Paket npm tensorlake versi 0.5.144 dipublikasikan dengan payload berbahaya pada 8 Oktober 2026. Peneliti keamanan mengaitkan malware tersebut dengan keluarga worm Shai-Hulud atau variannya. Karena payload dijalankan melalui skrip preinstall, kode berbahaya dapat aktif ketika paket dipasang, tanpa menunggu aplikasi atau agen AI yang menggunakannya dijalankan.
Versi 0.5.144 kini telah ditarik dari npm. Pengelola proyek juga menyediakan versi lebih baru yang bersih. Pengguna yang sempat memasang versi terdampak disarankan segera mengaudit lingkungan pengembangan, memeriksa lockfile dan log CI/CD, serta memutar ulang kredensial yang mungkin terekspos.
Mengapa kompromi ini penting
Tensorlake merupakan SDK atau komponen infrastruktur untuk platform sandbox dan agen AI. Komponen semacam ini dapat berada di dalam proyek pengembangan, pipeline otomatis, maupun lingkungan yang memiliki akses ke layanan cloud dan repositori kode.
Risiko utama tidak hanya berasal dari aplikasi Tensorlake itu sendiri. Paket npm biasanya dipasang bersama dependensi lain dan dapat dijalankan secara otomatis melalui lifecycle script. Dalam kasus ini, skrip preinstall membuat payload aktif pada tahap instalasi paket. Dengan demikian, lingkungan pengembang atau runner CI/CD dapat terpapar sebelum pengguna menjalankan fitur utama SDK.
Peneliti keamanan melaporkan bahwa payload menargetkan berbagai jenis rahasia yang lazim tersimpan di mesin pengembang dan sistem otomatis. Sasaran tersebut mencakup token npm, kredensial GitHub, rahasia CI/CD, kunci SSH, kredensial cloud, serta data browser. Payload juga dilaporkan memiliki kemampuan untuk mencoba menyebar ke repositori atau paket lain dengan memanfaatkan kredensial yang dicurinya.
Versi yang terdampak
Versi yang diidentifikasi terkompromi adalah tensorlake 0.5.144, yang dipublikasikan pada 8 Oktober 2026. Informasi tersebut tidak berarti seluruh versi Tensorlake berbahaya atau semua pengguna proyek telah terkena dampak. Fokus insiden berada pada paket dan versi tertentu yang membawa payload berbahaya.
Penghapusan versi 0.5.144 dari npm mengurangi risiko pemasangan baru, tetapi tidak menghilangkan kemungkinan paparan pada sistem yang sebelumnya sudah memasangnya. Paket yang telah terunduh, tercantum dalam cache, atau tersimpan di lingkungan build tetap perlu diperiksa secara terpisah.
Pengguna sebaiknya tidak hanya mengandalkan pembaruan dependensi. Audit perlu memastikan versi berbahaya tidak masih tercatat dalam package-lock, lockfile lain, cache runner, artefak build, atau konfigurasi instalasi yang digunakan oleh pipeline.
Langkah yang perlu dilakukan pengguna
Organisasi yang menggunakan Tensorlake atau menduga versi 0.5.144 pernah terpasang dapat mengikuti pemeriksaan berikut:
- Periksa lockfile dan inventaris paket. Cari referensi ke tensorlake 0.5.144 di file dependensi, cache, artefak build, serta log instalasi. Pemeriksaan ini penting untuk mengetahui apakah paket pernah dipasang secara langsung atau melalui dependensi lain.
- Hapus instalasi yang terdampak. Ganti versi tersebut dengan rilis pengganti yang dinyatakan bersih oleh pengelola proyek. Bersihkan lingkungan build sementara dan pastikan pipeline tidak mengambil kembali paket dari cache lama.
- Putar ulang kredensial. Token npm, token GitHub, rahasia CI/CD, kunci SSH, kredensial cloud, dan rahasia lain yang tersedia di mesin atau runner terdampak perlu dianggap berpotensi terekspos. Penerbitan ulang harus dilakukan sesuai prosedur masing-masing layanan.
- Audit repositori dan workflow. Periksa perubahan kode, branch, konfigurasi, dependensi, workflow otomatis, serta aturan akses yang tidak dikenal. Kemampuan penyebaran worm membuat pemeriksaan tidak boleh terbatas pada satu proyek yang memasang Tensorlake.
- Tinjau log CI/CD dan aktivitas akun. Cari instalasi paket pada 8 Oktober 2026 dan periode sesudahnya, lalu cocokkan dengan perubahan pada repositori, publikasi paket, penggunaan token, serta aktivitas cloud.
Prioritas pemulihan dapat berbeda menurut lingkungan. Runner CI/CD dengan akses tulis ke repositori atau kredensial produksi perlu diperlakukan lebih mendesak daripada mesin yang tidak memiliki akses tersebut. Namun, keterbatasan hak akses tidak boleh dijadikan alasan untuk melewati rotasi kredensial dan pemeriksaan.
Risiko terhadap rantai pasok agen AI
Insiden ini memperlihatkan bagaimana komponen pendukung agen AI dapat menjadi bagian penting dari permukaan serangan. SDK untuk sandbox dan infrastruktur agen sering terhubung dengan repositori, layanan cloud, pipeline deployment, serta alat pengembangan. Satu paket yang disusupi dapat membuka jalur menuju beberapa sistem apabila proses instalasi berjalan dengan hak akses yang luas.
Ancaman semacam ini juga menyoroti perbedaan antara keamanan kode aplikasi dan keamanan proses pengadaan perangkat lunak. Pemeriksaan terhadap source code proyek saja belum tentu cukup jika paket yang diterima dari registri telah berubah atau jika lifecycle script berjalan otomatis saat instalasi.
Tim pengembang dapat mengurangi risiko dengan membatasi hak akses token, menggunakan kredensial berumur pendek, memisahkan runner CI/CD, meninjau skrip lifecycle sebelum pemasangan, dan menjaga daftar dependensi yang dapat diaudit. Penguncian versi memang membantu menjaga konsistensi build, tetapi tetap perlu disertai pemantauan integritas paket dan prosedur respons insiden.
Yang perlu dipastikan sebelum melanjutkan penggunaan
Pengguna Tensorlake perlu memastikan dependensi telah mengarah ke versi pengganti yang bersih dan tidak lagi mengambil 0.5.144 dari lockfile atau cache. Setelah kredensial dirotasi, organisasi juga perlu mengonfirmasi bahwa token lama telah dicabut, bukan sekadar membuat token baru.
Pemeriksaan sebaiknya mencakup repositori yang dapat diakses oleh mesin terdampak. Alasannya, payload dilaporkan mencoba memanfaatkan kredensial yang dicuri untuk menyebar melalui paket atau repositori lain. Temuan mencurigakan perlu ditangani sebagai bagian dari insiden rantai pasok, dengan pembatasan akses dan pemulihan akun sesuai tingkat risikonya.
Kompromi Tensorlake npm 0.5.144 menjadi pengingat bahwa keamanan ekosistem agen AI bergantung pada seluruh rantai dependensi, bukan hanya model atau aplikasi akhir. Selama pengguna memastikan versi yang terpasang, menutup akses kredensial lama, dan memeriksa jejak aktivitas setelah instalasi, risiko lanjutan dapat dikurangi secara lebih terukur.
