# Keamanan MCP dan AI agent, secara berurutan

> Keamanan MCP dan AI agent secara berurutan: prompt injection, insiden MCP 2026, kontrol akses, sandbox agent, dan rantai pasok skill serta plugin agent.

URL: https://www.matthewswong.com/id/ai-devops/mcp-agent-security/

- Author: Matthews Wong (https://www.matthewswong.com/id/about/)
- Ditinjau pada: 17 Oktober 2026

> **Poin utama:** Jalur ini dimulai dari alasan filter tidak menghentikan prompt injection, membaca insiden MCP dan coding agent sepanjang 2026 dengan threat model itu, lalu membahas tiga lapis pertahanan yang dijelaskan artikel-artikelnya: kredensial yang dibatasi dan operasi tulis default-deny untuk akses MCP, sandbox yang mengurung filesystem dan jaringan agent, serta pemeriksaan skill dan plugin yang dimuat agent.

Artikel di situs ini tentang cara menjaga coding agent dan server MCP agar tidak berbalik melawan Anda, disusun menjadi satu jalur: threat model lebih dulu, lalu insidennya, lalu kontrol dan sandbox yang terbukti bertahan.

## Baca sesuai urutan ini

Setiap tahap dibangun di atas tahap sebelumnya. Jika sudah memahami suatu tahap, lewati saja; baris di bawah setiap judul menjelaskan apa yang ditambahkan artikel itu.

### Tahap 1: Mulai dari threat model

Bagaimana instruksi sampai ke agent lewat konten yang dibacanya, dan mengapa jawabannya adalah pengurungan, bukan filter yang lebih baik.

1. [Serangan Prompt Injection pada Coding Agent AI](https://www.matthewswong.com/id/blog/prompt-injection-ai-coding-agents/): Kasus dasarnya: perintah yang disembunyikan di kode, issue, dan halaman web, mengapa filter gagal, dan bagaimana pengurungan mengurangi risikonya.
2. [Sandboxing Agen AI dan Lethal Trifecta](https://www.matthewswong.com/id/blog/sandboxing-ai-agents-lethal-trifecta/): Menjelaskan lethal trifecta dan menunjukkan bagaimana membatasi filesystem dan jaringan membuat agent yang sudah disusupi pun tetap terkurung.
3. [Pertahanan Prompt Injection: Cara Saya Mengamankan Sistem AI dari Manipulasi](https://www.matthewswong.com/id/blog/ai-prompt-injection-defense/): Pola serangan nyata yang dipetakan ke OWASP LLM Top 10, beserta kontrol yang diterapkan saat membangun API dan agent bertenaga AI.
4. [Red Teaming AI Agent dengan Promptfoo: Panduan Praktis](https://www.matthewswong.com/id/blog/red-teaming-ai-agents-promptfoo/): Mengubah threat model menjadi tes: injeksi tidak langsung lewat output tool, excessive agency, dan kebocoran data, dengan gate di CI.
5. [GitHub Agentic Workflows Study: The Prompt Injection Gap](https://www.matthewswong.com/id/blog/gh-aw-empirical-study-prompt-injection-gap/): Studi atas file GitHub Agentic Workflow sungguhan, dan betapa sedikit yang menangani prompt injection sama sekali.

### Tahap 2: Insiden dan advisori 2026

Threat model tadi dalam kejadian nyata: setiap tulisan menjelaskan apa yang terjadi, apa yang dibuktikan risetnya, dan kontrol mana yang bertahan.

6. [Sentry MCP Prompt Injection: Panduan Bertahan dari Agentjacking](https://www.matthewswong.com/id/blog/sentry-mcp-agentjacking-prompt-injection-incident-agents/): Error Sentry palsu menjadi saluran perintah ke Claude Code, Cursor, dan Codex; apa yang dibuktikan dan dilewatkan risetnya.
7. [Deadbugz MCP Server: Pertahanan Poisoning Metadata Tool Saat Runtime](https://www.matthewswong.com/id/blog/deadbugz-mcp-runtime-metadata-poisoning/): Server yang menulis ulang metadata tool-nya di tengah sesi, dan mengapa fingerprint definisi tool lebih baik daripada review sekali jalan.
8. [Kerentanan Secrets GitHub Actions di Claude Code dan Gemini CLI](https://www.matthewswong.com/id/blog/claude-code-gemini-cli-codex-ci-secrets-github-issue/): Satu GitHub issue mencapai secret CI di tiga workflow agent; versi yang sudah ditambal dan checklist hardening.
9. [GitLost: GitHub Agentic Workflows Prompt Injection Defence](https://www.matthewswong.com/id/blog/gitlost-github-agentic-workflows-prompt-injection/): Issue publik yang dipakai untuk membocorkan repositori privat lewat agentic workflow, dan batasan yang menghentikannya.
10. [Cursor CVE-2026-22708 RCE: Built-in Shell Lolos dari Allowlist](https://www.matthewswong.com/id/blog/cursor-cve-2026-22708-shell-builtins-allowlist-bypass/): Built-in shell lolos dari allowlist perintah Cursor dan menjalankan kode; perbaikannya, pengaturan sandbox, dan audit.
11. [Splunk MCP Server CVE-2026-76404: Patch Triage untuk App MCP](https://www.matthewswong.com/id/blog/splunk-mcp-server-cve-2026-76404-ai-toolkit-advisory/): Membaca advisori MCP berskor tinggi sesuai konteksnya, beserta rutinitas triase patch untuk aplikasi MCP.
12. [Laporan Ancaman Anthropic September 2026: Pelajaran DevOps](https://www.matthewswong.com/id/blog/anthropic-threat-report-september-2026-agent-attacks/): Apa yang ditunjukkan laporan ancaman Anthropic edisi September tentang key AI dan token yang dicuri, dan apa yang perlu diubah tim DevOps.

### Tahap 3: Kontrol akses MCP dan kredensial agent

Apa yang boleh dijangkau agent dan siapa yang bertanggung jawab atas tindakannya: token, identitas, kontrol operasi tulis, dan gateway di depan MCP.

13. [Checklist Keamanan MCP Server untuk Developer](https://www.matthewswong.com/id/blog/mcp-server-security-checklist/): Baseline untuk server MCP mana pun: audience token, SSRF, sesi, transport, dan tool poisoning.
14. [Least Privilege AI Agent: Credential, Token, dan Secret](https://www.matthewswong.com/id/blog/ai-agent-least-privilege-credentials/): Menjauhkan secret dari konteks model dengan token per-request, identitas tool yang dibatasi, dan approval gate.
15. [Identitas AI Agent: Delegated Authorization Setelah OAuth 2.1](https://www.matthewswong.com/id/blog/ai-agent-identity-delegated-authorization/): Menjawab siapa yang mengotorisasi tindakan agent: klaim act OAuth, token exchange, dan draf yang memperluasnya.
16. [MCP Write Controls: Cloudflare WriteGuard vs Approval Prompt](https://www.matthewswong.com/id/blog/cloudflare-writeguard-mcp-write-controls/): Mengapa prompt persetujuan bukan otorisasi, dan desain default-deny untuk operasi tulis MCP.
17. [Deteksi Shadow MCP dengan Policy Cloudflare Gateway](https://www.matthewswong.com/id/blog/cloudflare-shadow-mcp-detection-gateway-policy/): Menemukan trafik MCP yang tidak pernah disetujui di lapisan jaringan, dan di mana tiap metode deteksi gagal.
18. [Enterprise MCP Reference Architecture dengan Cloudflare Portals](https://www.matthewswong.com/id/blog/cloudflare-enterprise-mcp-reference-architecture-portals/): Menyatukan kontrol-kontrol tadi ke dalam satu arsitektur referensi: OAuth, portal, DLP, dan operasi tulis default-deny.

### Tahap 4: Sandbox dan rantai pasok tool agent

Saat kontrol gagal, sandbox yang menentukan seberapa besar kerusakannya; dan skill serta plugin yang dimuat agent adalah kode yang tidak Anda tulis.

19. [Model Keamanan Claude Code: Lapisan, Kepercayaan, dan Batas](https://www.matthewswong.com/id/blog/claude-code-security-model-layers/): Apa yang benar-benar menjaga sesi Claude Code: default read-only, batas direktori, dan daftar accept-edits.
20. [Sandbox AI Coding Agent: Atasi Approval Fatigue di CI](https://www.matthewswong.com/id/blog/anthropic-how-we-contain-claude-sandbox-approval-fatigue/): Prompt persetujuan melelahkan pengguna; bagaimana sandbox OS menghilangkan sebagian besarnya, dan di mana ia gagal di CI.
21. [Docker Sandboxes sbx: Claude Code di MicroVM Cloud](https://www.matthewswong.com/id/blog/docker-sandboxes-cloud-sandboxes-sbx-guide/): Menjalankan coding agent tanpa pengawasan di dalam sandbox microVM Docker, secara lokal atau dipindah ke cloud Docker.
22. [AWS Lambda MicroVMs untuk Sandbox AI Agent: Hook dan Batas](https://www.matthewswong.com/id/blog/aws-lambda-microvms-ai-agent-sandboxes/): Satu VM Firecracker per sesi agent di Lambda, beserta hook, kuota, dan batasannya.
23. [Perplexity SPACE: Sandbox Agent Firecracker, Warm Pool, E2B](https://www.matthewswong.com/id/blog/perplexity-space-firecracker-agent-sandbox/): Sandbox Firecracker open source dengan warm pool dan API yang kompatibel dengan E2B, beserta hasil red-team-nya.
24. [Agent Skill Berbahaya: Panduan Supply Chain SKILL.md ClawHavoc](https://www.matthewswong.com/id/blog/agent-skills-supply-chain-clawhavoc-skill-md/): File SKILL.md berbahaya menyebar lewat registry skill; skrip pemeriksaan dan pengaturan untuk melindungi agent.
25. [Keamanan Plugin Claude Code: Audit Sebelum Install](https://www.matthewswong.com/id/blog/claude-code-plugin-supply-chain-security/): Plugin berjalan dengan hak akses Anda, jadi audit hook, egress MCP, dan isi skill-nya, lalu pin ke commit tertentu.

## Lainnya dari panduan AI & DevOps

- [Serving Inferensi LLM](https://www.matthewswong.com/id/ai-devops/llm-inference-serving/): vLLM dan SGLang, disaggregated serving, llm-d dan KServe, autoscaling, dan biaya per token. (25 artikel)
- [Kubernetes untuk AI](https://www.matthewswong.com/id/ai-devops/kubernetes-for-ai/): Upgrade 1.36 dan 1.37, DRA dan gang scheduling, routing Gateway API, dan agent di dalam cluster. (24 artikel)
- [AI SRE & Agentic Ops](https://www.matthewswong.com/id/ai-devops/ai-sre-and-agentic-ops/): Agent investigasi insiden, server MCP untuk tool ops, agent di CI, dan IaC di bawahnya. (25 artikel)
- [Rantai Pasok & Regulasi](https://www.matthewswong.com/id/ai-devops/software-supply-chain-and-regulation/): Worm npm dan PyPI, model signing dan AIBOM, secret di commit agent, CRA, dan EU AI Act. (23 artikel)

---

- HTML version: https://www.matthewswong.com/id/ai-devops/mcp-agent-security/
- English: https://www.matthewswong.com/en/ai-devops/mcp-agent-security/
- Site index for agents: https://www.matthewswong.com/llms.txt
- Sitemap: https://www.matthewswong.com/sitemap.xml
- API description (OpenAPI): https://www.matthewswong.com/openapi.json