HookPry menembus 7 agent harness—hasilnya belum direplikasi

Makalah HookPry di arXiv, yang diajukan pada 3 September 2026, menguji OpenHarness, OpenClaw, Claude Code, Codex CLI, OpenCode, Hermes, dan WorkBuddy. Dalam 1.000 eksekusi pada 25 kombinasi harness dan lima backend LLM, para peneliti memperoleh efek terverifikasi pada seluruh tujuh harness, dengan tingkat keberhasilan per harness mencapai 92,5%.

Ulasan AI Polix yang terbit pada 6 September 2026 menegaskan bahwa angka tersebut berasal dari lingkungan sementara dengan aset sintetis dan belum direplikasi secara independen. Temuan itu memperlihatkan jalur serangan yang layak diperiksa, bukan bukti bahwa seluruh produk telah dieksploitasi secara luas; ulasan tersebut juga menyarankan agar pembaruan yang memperluas kewenangan hook diperlakukan sebagai perubahan izin.

Serangan memisahkan pemasangan aman dari pembaruan berbahaya

Model ancaman HookPry dimulai dari plugin berversi yang pada awalnya tidak berbahaya. Penyerang kemudian menerbitkan pembaruan di bawah identitas plugin yang sama, tetapi mengubah metadata atau konfigurasi lifecycle hook agar sebuah peristiwa rutin terikat pada perintah pilihannya.

Peristiwa pemicu dapat berupa awal sesi, pemanggilan alat, atau perubahan berkas, bergantung pada kemampuan harness. Setelah event yang cocok terjadi, harness membaca binding dan menjalankan handler sebagai subprocess; perintah itu tidak perlu dipilih atau ditafsirkan kembali oleh model.

Urutan tersebut menjelaskan perbedaannya dari prompt injection. HookPry tidak mengandalkan keberhasilan membujuk model untuk memilih tindakan berbahaya, melainkan memanfaatkan perpindahan kepercayaan dari versi plugin yang telah diterima menuju konfigurasi eksekusi baru yang belum memperoleh otorisasi khusus.

Cakupan pengujian luas, tetapi tetap bersifat laboratorium

Eksperimen menilai rantai serangan secara menyeluruh: pembaruan diterima, event muncul, konfigurasi dimuat, subprocess berjalan, lalu pemeriksa eksternal mencari efek yang telah ditentukan. Karena keberhasilan ditentukan dari dampak yang dapat diamati, sekadar memuat konfigurasi atau memulai proses belum otomatis dihitung sebagai serangan yang berhasil.

Backend LLM divariasikan untuk melihat apakah hasil bergantung pada model tertentu. Namun, unit hasilnya tetap kombinasi harness, backend, konfigurasi, dan lingkungan uji; persentase tertinggi tidak boleh dipindahkan menjadi klaim umum untuk semua produk atau semua pemasangan.

Model ancamannya juga bersyarat. Pengguna harus lebih dahulu memasang plugin atau menerima pembaruannya, event yang sesuai harus terjadi, dan hook perlu memperoleh kemampuan yang cukup untuk menimbulkan efek. Penyerang dalam skenario ini tidak memaksa pemasangan, tidak mengeksploitasi bug implementasi, dan tidak keluar dari sandbox.

Jalur hook tidak selalu melewati keputusan model

Lifecycle hook adalah mekanisme otomatisasi pada lapisan harness, bukan semata-mata alat yang dipilih model saat percakapan berlangsung. Karena itu, penolakan model, penyaring prompt, dan konfirmasi pada tool call tidak dengan sendirinya mengawasi perintah yang sudah terdaftar sebagai handler sebuah event.

Dokumentasi resmi hook Claude Code menjelaskan bahwa command hook menjalankan perintah shell secara otomatis pada titik tertentu dalam siklus aplikasi dan memakai izin penuh pengguna lokal. Dokumentasi yang sama menyediakan event ConfigChange untuk mengaudit, menegakkan kebijakan, atau dalam kondisi tertentu memblokir perubahan konfigurasi selama sesi.

Claude Code hanya menjadi contoh konkret bahwa konfigurasi hook dapat membawa kewenangan eksekusi. Format event, sumber konfigurasi, sistem pembaruan, kontrol kepercayaan, dan batas izin berbeda antar-harness, sehingga keberhasilan lintas produk tidak membuktikan satu kelemahan implementasi yang identik pada semuanya.

Bukti belum mengukur risiko insiden di dunia nyata

Batas terpentingnya adalah lingkungan eksperimen: aset, kredensial, dan titik pemeriksaan disiapkan untuk pengujian, bukan diambil dari sistem pengguna. Studi itu tidak mencakup seluruh sistem operasi, shell, topologi jaringan, kebijakan perusahaan, mekanisme isolasi, atau versi produk yang mungkin berubah setelah publikasi.

Eksperimen juga tidak mengukur peluang pengguna menemukan, memasang, atau memperbarui plugin berbahaya. Dengan demikian, tingkat keberhasilan yang disajikan menggambarkan kemampuan HookPry setelah prasyarat eksperimen terpenuhi, bukan probabilitas seorang pengguna agent AI akan mengalami insiden.

Hasil pemindaian statis dalam studi tersebut juga tidak dapat digeneralisasi menjadi penilaian menyeluruh atas keamanan endpoint. Pengujian memakai artefak sintetis dan sejumlah pertahanan statis tertentu; analisis perilaku, produk keamanan rantai pasok khusus, serta kontrol organisasi berada di luar cakupannya.

Mitigasi berfokus pada perubahan kewenangan konfigurasi

Implikasi praktisnya adalah memeriksa apa yang dapat dijalankan setelah pembaruan, bukan hanya memastikan nama paket dan penerbitnya tetap sama. Perubahan event, command, argumen, jalur skrip, tujuan jaringan, atau akses variabel lingkungan dapat memperluas kewenangan efektif tanpa mengubah identitas plugin.

• Bandingkan konfigurasi executable ketika plugin dipasang dan setiap kali diperbarui.
• Minta otorisasi ulang saat pembaruan menambah event, mengganti handler, atau memperluas akses sistem.
• Ikat persetujuan pada hash konfigurasi dan kemampuan yang diberikan, bukan hanya identitas atau nomor versi paket.
• Jalankan hook dengan hak minimum, akses sistem berkas terbatas, kredensial terpisah, dan kebijakan jaringan yang sesuai tugas.
• Catat versi plugin, hash konfigurasi, event pemicu, handler yang dijalankan, serta konteks keamanannya agar jalur eksekusi dapat diaudit.

Pada 7 September 2026, status cerita ini tetap terbatas pada hasil riset: HookPry memperlihatkan efek terverifikasi di seluruh harness yang diuji, tetapi belum ada replikasi independen atas angka utamanya maupun bukti eksploitasi luas. Penilaian berikutnya bergantung pada reproduksi di lingkungan lain, respons pengelola harness, dan pengujian kontrol yang mengharuskan otorisasi ulang ketika konfigurasi hook berubah.

Baca juga:

• TikTok Creator Rewards belum tersedia di Indonesia—ini jalur resmi yang aktif
• Menghapus chat belum tentu menghapus memori AI—ini langkah yang sering terlewat
• Agen AI dapat memakai 1.000 kali lebih banyak token—biaya tinggi belum tentu akurat