Keamanan AI kembali menjadi sorotan setelah sejumlah kerentanan dengan tingkat risiko tinggi ditemukan pada berbagai infrastruktur kecerdasan buatan (AI). Beberapa celah bahkan memiliki skor CVSS hingga 9,8 dan 9,4, sementara Microsoft mengungkap sejumlah kerentanan kritis dengan skor mencapai 10,0.

Temuan ini mencakup berbagai lapisan teknologi AI, mulai dari sistem retrieval, model serving, database hingga infrastruktur identitas. Polanya pun dinilai menunjukkan persoalan yang lebih besar dalam arsitektur keamanan AI.

Kerentanan AI Ditemukan di Berbagai Lapisan

Tiga kerentanan yang menjadi perhatian adalah CVE-2026-82526 dengan skor CVSS 9,8, CVE-2026-85695 dengan skor 9,4, dan CVE-2026-85620 dengan skor 9,2.

Ketiganya ditemukan pada komponen berbeda dan memiliki karakteristik serupa, yaitu fungsi penting yang dapat berjalan tanpa autentikasi secara default.

Kondisi tersebut menimbulkan kekhawatiran karena sejumlah sistem AI dirancang dengan mengutamakan fungsi dan kemudahan integrasi, sementara mekanisme keamanan seperti autentikasi belum selalu dijadikan bagian utama dari arsitektur.

R2R Menghadapi Celah SQL Injection

Pada lapisan retrieval, framework R2R diketahui memiliki dua kerentanan dengan tingkat keparahan tinggi.

CVE-2026-82526 berkaitan dengan SQL injection pada endpoint pembuatan vector index. Nama indeks dapat dimasukkan langsung ke perintah PostgreSQL CREATE INDEX tanpa proses validasi identifier atau pembatasan menggunakan allowlist.

Risikonya semakin besar karena layanan tersebut secara default menggunakan konfigurasi require_authentication=false dan memiliki hak akses superuser.

Sementara itu, CVE-2026-82527 memungkinkan injeksi pada filter key melalui endpoint pencarian retrieval. Nilai filter telah menggunakan parameterisasi, tetapi bagian key tidak mendapatkan perlindungan yang sama.

Perbedaan tersebut menjadi salah satu titik yang dapat dimanfaatkan oleh penyerang.

FastChat Memiliki Endpoint Registrasi Worker Tanpa Autentikasi

Masalah keamanan juga ditemukan pada lapisan model serving melalui CVE-2026-85695 di FastChat.

Kerentanan dengan skor CVSS 9,4 tersebut terdapat pada endpoint /register_worker yang dapat diakses tanpa autentikasi. Endpoint ini menerima nama worker dari klien dan melakukan koneksi keluar tanpa validasi alamat maupun shared secret.

Penyerang berpotensi mendaftarkan alamat worker mereka sendiri menggunakan nama model yang sah.

Kondisi tersebut dapat membuka peluang untuk mencegat prompt dan respons pengguna. Controller juga dapat dimanfaatkan sebagai primitive untuk melakukan SSRF terhadap sistem internal.

Versi FastChat hingga 0.2.36 disebut terdampak, sementara belum tersedia patch untuk mengatasi masalah tersebut.

Mode Terbatas Postgres MCP Pro Bisa Dilewati

Kerentanan lain ditemukan pada Postgres MCP Pro melalui CVE-2026-85620 yang memiliki skor CVSS 9,2.

Masalah ini terdapat pada fitur restricted mode yang dirancang untuk membatasi interaksi antara agen AI dan database.

Validator keamanan SQL hanya memeriksa pemanggilan fungsi ketika fungsi tersebut muncul sebagai node FuncCall dalam AST. Namun, fungsi yang ditempatkan di bagian FROM akan diproses sebagai RangeFunction, yang tidak diperiksa dengan cara yang sama.

Akibatnya, perintah seperti:

SELECT pg_read_file('/etc/passwd')

dapat diblokir, tetapi bentuk lain seperti:

SELECT * FROM pg_read_file('/etc/passwd')

dapat lolos dari validasi.

Jika berhasil dieksploitasi, celah tersebut tidak hanya memberikan akses terhadap database. Penyerang juga berpotensi membaca file pada sistem operasi, termasuk konfigurasi, kredensial hingga kunci TLS.

Versi Postgres MCP Pro hingga 0.3.0 disebut terdampak dan belum memiliki patch.

Microsoft Ungkap Kerentanan Kritis pada Infrastruktur Identitas

Masalah keamanan serupa juga muncul pada ekosistem Microsoft.

Dalam pembaruan keamanan awal September, Microsoft mengungkap sembilan CVE yang berkaitan dengan identitas, dengan delapan di antaranya dikategorikan kritis.

Dua kerentanan memiliki skor CVSS 10,0. Salah satunya adalah CVE-2026-83711 yang berkaitan dengan authorization bypass melalui key yang dikendalikan pengguna pada Azure AD B2C.

Kerentanan lainnya, CVE-2026-70352, berkaitan dengan tidak adanya autentikasi pada fungsi kritis di Azure AI Language.

Selain itu, CVE-2026-83941 pada Entra ID memiliki skor 9,9, sedangkan CVE-2026-80098 pada Copilot Studio mendapat skor 9,3.

Microsoft menyebut kerentanan tersebut telah dimitigasi melalui sisi server sehingga pengguna tidak perlu melakukan tindakan tambahan.

Masalah Keamanan AI Dinilai Bersifat Struktural

Rangkaian temuan tersebut menunjukkan bahwa persoalan keamanan pada infrastruktur AI tidak selalu berasal dari kesalahan kode sederhana.

Salah satu masalah utamanya adalah penggunaan kontrol keamanan pada lapisan middleware sebagai batas keamanan utama. Validator AST, allowlist, hingga mode transaksi read-only dapat membantu, tetapi tidak selalu cukup untuk menjadi satu-satunya pertahanan.

Ketika komponen middleware dapat dipengaruhi oleh input penyerang, celah pada parser atau perbedaan cara sistem memproses input dapat membuat mekanisme keamanan tersebut gagal.

Perkembangan Model Context Protocol (MCP) juga membuat persoalan ini semakin penting. Ekosistem tersebut terus berkembang dengan jutaan unduhan SDK dan ribuan server publik yang aktif.

Besarnya adopsi membuat keamanan dan kontrol akses menjadi tantangan yang semakin penting bagi pengembang AI.

Investasi di Keamanan AI Terus Meningkat

Meningkatnya risiko keamanan turut mendorong investasi pada sektor keamanan AI.

Sejumlah perusahaan yang berfokus pada kategori AI agent firewall telah mendapatkan pendanaan dalam jumlah besar. AIR Security, Noma Security, dan Zenity disebut telah mengumpulkan total lebih dari US$275 juta.

Perkembangan tersebut menunjukkan bahwa pasar mulai melihat kebutuhan terhadap lapisan keamanan khusus untuk sistem AI dan agentic AI.

Infrastruktur AI Perlu Dipandang sebagai Sistem Publik

Bagi perusahaan yang menjalankan infrastruktur AI di lingkungan produksi, temuan ini memberikan satu pelajaran penting: endpoint AI sebaiknya diperlakukan sebagai layanan yang berpotensi diakses publik, meskipun pada awalnya dirancang hanya untuk penggunaan internal.

Lapisan middleware yang menghubungkan AI dengan vector database, knowledge graph, retrieval endpoint, database, dan model-serving controller menjadi salah satu area yang perlu mendapat perhatian lebih besar.

Munculnya kembali SQL injection pada infrastruktur AI juga menjadi sinyal penting. Teknik serangan tersebut sebenarnya sudah lama dikenal dalam keamanan aplikasi.

Namun, ketika kerentanan serupa kembali muncul pada teknologi AI yang berkembang cepat, persoalannya bukan hanya kemampuan penyerang. Hal tersebut juga menunjukkan bahwa keamanan belum selalu berkembang secepat fungsi dan adopsi teknologi AI.