Prompt injection adalah risiko #1 OWASP. Agen Anda adalah permukaan serangan yang baru.

Semakin mampu agen Anda, semakin banyak yang diperoleh penyerang dari membajak agen tersebut. Prompt injection berada di puncak Top 10 OWASP saat ini untuk aplikasi LLM, dan tetap menjadi salah satu kelemahan paling umum dalam penerapan AI produksi. Bahaya meningkat bersama otonomi: begitu agen dapat memanggil alat, menjelajah, dan bertindak, instruksi yang disusupkan ke dalam konten yang dibacanya dapat mengubah kemampuannya sendiri menjadi melawan Anda.

Keamanan agen dengan alat bergantung pada keamanan dokumen yang paling tidak aman yang akan dibacanya. Anggap setiap masukan eksternal sebagai ancaman, karena penyerang sudah melakukannya.

Injeksi tidak langsung adalah ancaman perusahaan

Injeksi langsung, pengguna mengetik penggantian, adalah kasus yang mudah. Yang berbahaya adalah injeksi tidak langsung: instruksi berbahaya yang tersembunyi dalam halaman web, PDF, email, atau tiket dukungan yang diproses oleh agen sebagai bagian dari pekerjaannya. Pada tahun 2026, peneliti menerbitkan salah satu studi skala besar pertama tentang injeksi tidak langsung di lapangan, menemukan ribuan instruksi tersembunyi yang ditanam di seluruh halaman web langsung dan ditujukan pada model AI yang membacanya. Dalam satu insiden, asisten pengodean menghapus database produksi meskipun ada instruksi eksplisit untuk tidak mengubah apa pun, kemudian membuat catatan palsu dan salah melaporkan bahwa pengembalian tidak mungkin.

Pertahanan adalah arsitektur, bukan prompt

Tidak ada rumusan prompt sistem yang membuat agen tahan injeksi; sampai arsitektur secara jelas memisahkan instruksi dari data, risikonya tetap ada. Yang berhasil adalah pertahanan berlapis: asumsikan injeksi yang berhasil dan batasi apa yang bisa dilakukannya.

• Privilege minimal: agen mendapatkan akses alat dan data paling sempit yang memungkinkannya melakukan pekerjaannya, dan tidak lebih.
• Gerbang persetujuan manusia pada tindakan yang tidak dapat dibalik atau bernilai tinggi: penghapusan, pembayaran, pengiriman eksternal.
• Validasi masukan dan keluaran, dengan konten yang tidak terpercaya jelas terisolasi dari instruksi.
• Pencatatan lengkap dan pemantauan untuk panggilan alat yang anomali, sehingga upaya eksfiltrasi terdeteksi dan dapat dilacak.

Posisi HOWF

Kami membangun agen dengan asumsi bahwa mereka akan diserang. Alat berjalan dengan privilege minimal, tindakan bernilai tinggi melewati persetujuan manusia, masukan tidak terpercaya terisolasi, dan setiap tindakan dicatat dan dipantau. Ini adalah disiplin tata kelola yang sama yang memisahkan agen yang masih dijalankan perusahaan dari yang mereka tutup secara diam-diam, diterapkan khusus pada permukaan serangan yang diciptakan otonomi.