Perkembangan Artificial Intelligence (AI) telah mengubah cara pengembang perangkat lunak bekerja. Saat ini, Large Language Model (LLM) banyak digunakan untuk membantu menulis kode, memperbaiki kesalahan pemrograman, menjelaskan fungsi program, hingga merekomendasikan library atau package yang dibutuhkan dalam pengembangan aplikasi. Penggunaan AI mampu meningkatkan produktivitas dan mempercepat proses pengembangan.
Namun, LLM memiliki kelemahan berupa halusinasi AI (AI Hallucination), yaitu kondisi ketika AI menghasilkan informasi yang tampak benar tetapi sebenarnya tidak sesuai dengan fakta. Salah satu bentuk halusinasi yang mulai menjadi perhatian adalah ketika AI merekomendasikan library fiktif, yaitu library yang sebenarnya tidak pernah ada. Kondisi ini dapat dimanfaatkan oleh pelaku kejahatan siber dengan membuat library menggunakan nama yang direkomendasikan AI, kemudian menyisipkan kode berbahaya agar diunduh oleh pengembang.
Apa Itu Library Fiktif?
Library fiktif adalah library atau package yang sebenarnya tidak tersedia pada repositori resmi, tetapi disebutkan oleh AI seolah-olah merupakan library yang valid. Nama library tersebut biasanya terlihat meyakinkan sehingga sulit dibedakan dari library yang benar-benar ada.
Sebagai contoh, seorang pengembang meminta AI untuk merekomendasikan library enkripsi atau autentikasi. AI kemudian memberikan nama library yang terdengar profesional, padahal library tersebut tidak pernah dibuat oleh komunitas pengembang. Jika peretas lebih dahulu membuat library dengan nama tersebut, pengembang dapat menginstalnya tanpa menyadari bahwa library tersebut berbahaya.
Bagaimana Peretas Memanfaatkan Library Fiktif?
Pelaku kejahatan siber dapat memanfaatkan kondisi tersebut melalui beberapa tahapan berikut:
1. Memantau Rekomendasi AI
Peretas mempelajari library fiktif yang sering direkomendasikan oleh AI kepada pengguna.
2. Membuat Library Palsu
Setelah mengetahui nama library yang sering muncul, peretas membuat package dengan nama yang sama dan mengunggahnya ke repositori publik.
3. Menyisipkan Kode Berbahaya
Library palsu dapat berisi malware, backdoor, spyware, atau script yang mencuri data ketika digunakan dalam aplikasi.
4. Menunggu Korban Menginstal Library
Pengembang yang mempercayai rekomendasi AI tanpa melakukan verifikasi berpotensi langsung menginstal library tersebut sehingga perangkat lunak yang dikembangkan ikut terinfeksi.
Dampak terhadap Keamanan Perangkat Lunak
Eksploitasi library fiktif yang direkomendasikan AI dapat menimbulkan berbagai dampak, antara lain:
Terpasangnya malware pada proyek pengembangan.
Kebocoran kode sumber dan data sensitif.
Penyisipan backdoor ke dalam aplikasi.
Kompromi terhadap rantai pasok perangkat lunak (Software Supply Chain).
Gangguan terhadap proses pengembangan dan distribusi aplikasi.
Kerugian finansial serta reputasi organisasi.
Menurunnya kepercayaan terhadap penggunaan AI dalam proses pemrograman.
Jika library berbahaya digunakan dalam proyek yang memiliki banyak pengguna, dampaknya dapat menyebar ke berbagai sistem yang bergantung pada aplikasi tersebut.
Cara Mencegah Eksploitasi Library Fiktif
Untuk mengurangi risiko akibat rekomendasi library fiktif dari AI, beberapa langkah yang dapat dilakukan adalah:
Memastikan library benar-benar tersedia pada repositori resmi seperti npm, PyPI, Maven, atau NuGet.
Memeriksa dokumentasi, jumlah unduhan, riwayat pembaruan, dan identitas pengembang library.
Tidak langsung menginstal library yang baru pertama kali direkomendasikan AI tanpa verifikasi.
Menggunakan alat Software Composition Analysis (SCA) untuk memeriksa keamanan dependensi.
Melakukan pemindaian keamanan (security scanning) terhadap seluruh package yang digunakan.
Menggunakan kebijakan persetujuan sebelum library baru ditambahkan ke proyek.
Kesimpulan
Rekomendasi library fiktif akibat halusinasi AI merupakan ancaman baru dalam keamanan pengembangan perangkat lunak. Pelaku kejahatan siber dapat memanfaatkan kelemahan tersebut dengan membuat library palsu yang mengandung malware atau backdoor, kemudian menunggu hingga diunduh oleh pengembang. Oleh karena itu, setiap rekomendasi AI harus diverifikasi melalui repositori resmi dan proses pemeriksaan keamanan agar proyek perangkat lunak tetap terlindungi dari ancaman terhadap rantai pasok (software supply chain).
