Prompt injection pada AI agent bisa membocorkan data pengguna tanpa disadari. Simak kasus terbaru 2026, cara kerja serangannya, dan langkah untuk mengurangi risikonya.
Satu halaman web atau email yang tampak biasa kini bisa memerintah AI agent untuk mengirim data Anda ke penyerang.
Prompt injection kini menjadi ancaman nyata bagi AI agent. AI agent adalah asisten yang bisa membuka web, membaca email, dan menjalankan tugas. Penyerang menyisipkan perintah tersembunyi, lalu agent menurutinya dan membocorkan data pengguna.
OWASP menempatkan prompt injection di urutan pertama daftar risiko aplikasi berbasis model bahasa besar. Pada 20 Oktober 2026, Microsoft memperingatkan bahwa agent yang mengakses sistem perusahaan bisa dibajak lewat serangan ini. Perintah palsu di dokumen eksternal dapat mengubah perilaku agent tanpa mengubah konfigurasinya.
Penyebabnya ada pada cara kerja model bahasa. Model tidak bisa memastikan asal teks yang dibacanya, sehingga batas antara instruksi dan data runtuh. Lembaga keamanan siber Inggris, NCSC, menilai serangan ini mungkin tidak akan pernah bisa ditutup sepenuhnya.
Cara Penyerang Membajak AI Agent
Serangan ini terbagi dua jenis. Pada jenis langsung, penyerang mengetik perintah jahat ke chatbot. Pada jenis tidak langsung, perintah disembunyikan di sumber luar seperti situs web atau file.
Penyerang sering menyembunyikan perintah itu sebagai teks tak terlihat atau komentar HTML. Manusia tidak melihatnya, tetapi agent tetap membacanya. Peneliti Brave membuktikannya pada Mozilla Tabstack, ketika permintaan merangkum halaman berubah menjadi pengiriman riwayat percakapan ke formulir penyerang. Mozilla sudah memperbaiki celah itu pada 1 Juni 2026.
Pengembang Simon Willison menyebut tiga syarat yang membuat serangan ini sangat berbahaya. Agent punya akses ke data pribadi, membaca konten tidak tepercaya, dan boleh berkomunikasi ke luar. Jika ketiganya terpenuhi, serangan menjadi sangat mudah dieksploitasi.
Kasus Kebocoran Data pada 2026
Capsule Security melaporkan celah ShareLeak (CVE-2026-21520) di Microsoft Copilot Studio. Penyerang menyisipkan perintah lewat formulir SharePoint, lalu Copilot mengirim data pelanggan ke email milik penyerang. Celah ini bernilai 7,5 pada skala keparahan CVSS dan sudah ditambal Microsoft. Salesforce Agentforce juga punya celah serupa lewat formulir prospek.
Peneliti juga menunjukkan bahwa judul pull request dan komentar issue di GitHub bisa membuat agent pemrograman membocorkan kunci API dan token akses. Agent buatan Anthropic, Google, dan GitHub ikut terdampak. Pada April 2026, celah GrafanaGhost memaksa fitur AI Grafana mengirim data perusahaan ke server penyerang.
Kasus prompt injection di dunia nyata terus bertambah. Peneliti Google mencatat kenaikan 32 persen payload berbahaya di konten web antara November 2025 dan Februari 2026. Forever Security baru-baru ini menangkap serangan lewat file markdown di folder unduhan yang berusaha memasang malware dan mencuri kredensial. Serangan itu menyasar agent pemrograman seperti Codex dan Claude Code.
Studi yang dilaporkan CSO Online menemukan agent web berbasis GPT-5 dan Gemini belum punya pertahanan yang konsisten. Serangan tidak langsung lewat konten web berhasil 41,67 sampai 68,16 persen. Endor Labs juga menemukan 14 kerentanan di tujuh platform AI yang membuka jalan dari prompt injection ke eksekusi kode.