Claude, Codex, dan Hermes Ternyata Instal Kode Tanpa Pemilik

Bayangin tim DevOps kalian ngikutin dokumentasi internal buat instal dependency, terus taunya kode yang ke-install itu gak ada yang punya. Itu yang baru ketauan terjadi di jaringan korporat yang pakai Claude, Codex, dan Hermes buat bantu nulis kode.

Apa yang baru

• 227 install command: dalam pemeriksaan dokumentasi internal berbagai perusahaan, ditemukan ratusan perintah instalasi yang menunjuk ke kode tanpa pemilik yang jelas — totalnya 227 command, menurut laporan investigasi Ars Technica.
• Tiga asisten coding kena bareng: masalahnya gak nempel di satu tool doang — Claude, Codex, dan Hermes, tiga asisten coding yang paling sering dipakai developer sehari-hari, sama-sama ketauan menyisipkan instruksi instal ke kode "yatim piatu" ini di dokumentasi korporat.
• Ditemukan di dokumentasi internal, bukan repo publik: temuan ini muncul dari pemeriksaan dokumentasi internal perusahaan yang udah mengadopsi asisten coding buat workflow sehari-hari — bukan dari repository publik yang lebih gampang diaudit orang luar, menurut laporan yang sama.
• Risiko rantai pasokan kode: kode tanpa pemilik yang nyelip lewat command instalasi ini berarti gak ada yang menjamin isinya aman, gak diam-diam dimodifikasi, atau gak bakal hilang dari registry — pintu masuk klasik untuk supply chain attack, cuma lewat jalur saran AI yang kelihatan membantu.

Kenapa ini penting

Ini soal rantai kepercayaan yang putus tanpa ketahuan. Analoginya kayak manual onboarding kantor yang nyuruh karyawan baru ambil paket dari loker nomor tertentu — tapi pas dicek ke sistem gedung, loker itu gak pernah terdaftar atas nama siapa pun. Command instalasi yang disarankan AI kalian bisa punya pola yang sama: kelihatan valid, tapi gak ada yang bertanggung jawab atas kode di ujungnya.

Buat tim DevOps dan developer Indonesia, ini bukan cuma soal satu bug — ini soal seberapa jauh kalian percaya begitu saja ke output asisten coding tanpa verifikasi manual. Kalau kalian sering pakai Claude buat generate boilerplate atau setup dependency, ini momen yang pas buat ngecek ulang kebiasaan pakai Claude kalian sendiri — bukan cuma soal prompt yang efektif, tapi soal apa yang sebenarnya masuk ke infrastruktur kalian lewat command yang di-generate.

Dampaknya nyata: kode tanpa pemilik yang lolos ke jaringan korporat berarti gak ada yang jamin isi kode itu aman, gak dimodifikasi orang lain, atau gak akan hilang tiba-tiba dari registry. Ini pintu masuk klasik buat supply chain attack, cuma sekarang lewat jalur yang lebih halus — saran dari AI yang kelihatan membantu.

Buat kalian

• Yang harus peduli: tim DevOps dan developer yang biarin Claude, Codex, atau Hermes generate command instalasi tanpa review manual — terutama kalau command itu langsung dieksekusi di environment produksi atau CI/CD.
• Yang boleh santai: kalau proses instalasi dependency kalian udah lewat approval manual dan dependency scanning sebelum masuk ke pipeline, risiko dari temuan ini jauh lebih kecil buat kalian.
• Langkah kecil pertama: buka dokumentasi internal kalian, cari semua install command yang direkomendasikan AI dalam tiga bulan terakhir, dan cek satu per satu apakah paket atau repo yang dituju punya pemilik dan maintainer yang jelas.

Alat AI secanggih apa pun tetap butuh manusia yang memverifikasi rantai kepercayaannya — bukan cuma percaya karena outputnya kelihatan rapi dan lancar dibaca. Prinsip itu yang gw tekenin terus ke murid-murid di kelas gw: AI mempercepat kerjaan kalian, tapi tanggung jawab atas apa yang masuk ke sistem kalian tetap di tangan kalian.

Sumber primer: laporan investigasi Ars Technica (arstechnica.com, "Claude, Codex, and Hermes installed unowned code inside corporate networks").