Perkembangan Large Language Model (LLM) telah mengubah cara pengembang perangkat lunak bekerja. AI kini mampu membantu menulis kode, menjelaskan fungsi program, memberikan solusi terhadap error, hingga merekomendasikan package atau library yang dapat digunakan dalam sebuah proyek. Walaupun sangat membantu, AI masih memiliki kelemahan berupa halusinasi (AI Hallucination), yaitu menghasilkan informasi yang terlihat benar tetapi sebenarnya tidak akurat.
Salah satu bentuk halusinasi yang berbahaya adalah ketika AI menyebutkan nama package yang sebenarnya tidak pernah ada. Kondisi ini dapat dimanfaatkan oleh pelaku kejahatan siber dengan membuat package menggunakan nama tersebut dan menyisipkan malware di dalamnya. Ketika pengembang menginstalnya karena mempercayai rekomendasi AI, malware dapat masuk ke dalam sistem dan membahayakan keamanan aplikasi maupun perangkat yang digunakan.
Apa Itu Halusinasi Nama Package?
Halusinasi nama package terjadi ketika AI menghasilkan nama library atau package yang terdengar meyakinkan, tetapi sebenarnya tidak tersedia pada repositori resmi seperti npm, PyPI, Maven, atau NuGet.
Karena nama package tersebut tampak masuk akal, pengembang sering kali langsung mencarinya. Jika peretas telah lebih dahulu membuat package dengan nama yang sama, package palsu tersebut dapat diunduh dan dijalankan tanpa disadari.
Bagaimana Malware Dapat Disusupkan?
Pelaku kejahatan siber dapat memanfaatkan kondisi tersebut melalui beberapa tahapan berikut.
1. Mengidentifikasi Halusinasi AI
Peretas mencari nama package yang sering direkomendasikan AI tetapi belum tersedia di repositori resmi.
2. Membuat Package Palsu
Package dengan nama tersebut kemudian diunggah ke repositori publik sehingga tampak seperti package yang sah.
3. Menyisipkan Malware
Di dalam package, peretas menambahkan kode berbahaya, seperti pencuri data, backdoor, keylogger, atau script yang dijalankan secara otomatis saat proses instalasi.
4. Korban Menginstal Package
Pengembang yang mengikuti rekomendasi AI menginstal package tersebut tanpa melakukan pemeriksaan lebih lanjut. Setelah instalasi selesai, malware mulai bekerja di komputer pengembang atau pada server tempat aplikasi dibangun.
Dampak terhadap Keamanan
Penyusupan malware melalui package hasil halusinasi AI dapat menimbulkan berbagai dampak, antara lain:
Infeksi malware pada komputer pengembang.
Pencurian API Key, token, dan kredensial.
Kebocoran data perusahaan atau pengguna.
Penyisipan backdoor ke dalam aplikasi.
Kompromi terhadap software supply chain.
Gangguan operasional akibat aplikasi yang telah terinfeksi.
Kerugian finansial dan rusaknya reputasi organisasi.
Apabila aplikasi yang telah terinfeksi dipublikasikan, malware dapat menyebar ke lingkungan produksi dan berdampak pada lebih banyak pengguna.
Cara Mencegah Serangan
Untuk mengurangi risiko penyusupan malware melalui nama package hasil halusinasi AI, beberapa langkah berikut dapat diterapkan:
Selalu memverifikasi keberadaan package melalui repositori resmi.
Memeriksa reputasi package, jumlah unduhan, dan riwayat pengembangnya.
Menggunakan alat Software Composition Analysis (SCA) untuk mendeteksi package berisiko.
Tidak langsung mempercayai seluruh rekomendasi yang diberikan AI.
Melakukan pemeriksaan kode dan dependensi sebelum digunakan dalam proyek.
Memastikan proses pengembangan mengikuti praktik Secure Software Development.
Kesimpulan
Halusinasi AI dapat dimanfaatkan oleh pelaku kejahatan siber untuk menyebarkan malware melalui package palsu yang terlihat meyakinkan. Serangan ini memanfaatkan kepercayaan pengembang terhadap rekomendasi AI sehingga malware dapat masuk ke dalam aplikasi tanpa disadari. Oleh karena itu, setiap package yang disarankan AI harus diverifikasi terlebih dahulu sebelum diinstal. Dengan menerapkan pemeriksaan dependensi, validasi sumber package, dan pengujian keamanan secara berkala, risiko penyusupan malware dapat diminimalkan.
