Keamanan siber

Cloudsmith Menempatkan Keterampilan Agen AI di Bawah Kendali Registri Artefak

mm
Diterbitkan
Tambahkan Unite.AI ke sumber pilihan Anda di Google

Cloudsmith mengumumkan registri keterampilan agen AI pada 9 November 2026 di KubeCon, memperluas platform pengelolaan artefaknya hingga mencakup berkas instruksi dan skrip yang digunakan agen pengodean AI. Rilis ini menambahkan kendali atas sumber keterampilan, versi, dan akses, di samping kendali untuk paket perangkat lunak yang sudah tersedia.

Keterampilan dan plugin Claude kini tersedia di repositori multi-format Cloudsmith, yang menurut perusahaan mendukung lebih dari 30 format artefak. Registri ini mulai dibuka bagi pelanggan melalui akses awal, dan dokumentasinya sudah tersedia.

Risiko Keamanan Keterampilan Agen

Sebuah keterampilan disusun berdasarkan sebuah SKILL.md berkas yang memuat nama dan deskripsi wajib, serta instruksi untuk agen. Folder opsional dapat menambahkan skrip, materi referensi, dan templat; plugin Claude mengemas keterampilan agar dapat dipasang bersama-sama. Dengan demikian, keterampilan dapat menyediakan instruksi sekaligus kode yang dapat dijalankan untuk tugas seperti mengikuti proses peninjauan atau mengakses alat internal.

tulisan teknis Cloudsmith yang diterbitkan pada 6 November 2026 menjelaskan akses yang dipertaruhkan: kredensial repositori, API internal, dan data produksi, bergantung pada konfigurasi agen. Skrip yang disertakan dapat mewarisi hak akses tersebut saat dijalankan, atau memperoleh izin yang diberikan pengguna ketika agen meminta persetujuan.

Karena itu, keterampilan yang berbahaya, diubah, atau cacat dapat mengekspos data, menjalankan perintah berbahaya, atau melakukan tindakan yang tidak diinginkan. Instruksinya juga dapat mengarahkan agen untuk memasang paket, sehingga membuka jalur lain bagi dependensi yang belum ditinjau.

Pengelolaan versi menghadirkan masalah tersendiri. Spesifikasi Agent Skills tidak mewajibkan pencantuman versi, sehingga keterampilan yang diambil dari Git dapat berubah tanpa berganti nama. Hal ini mempersulit upaya untuk mengetahui rilis persis yang diambil agen atau menerapkan persetujuan pada rilis tertentu.

Alison Sickelka, wakil presiden produk Cloudsmith, mengatakan, “Registri keterampilan komunitas dibuat untuk berbagi, bukan untuk mengendalikan.” Ia menjelaskan bahwa informasi yang dibutuhkan perusahaan tetapi belum tersedia mencakup identitas penerbit, versi yang dijalankan agen, serta apakah keterampilan tersebut telah disetujui.

Kontrol Publikasi dan Akses Registri

Cloudsmith memperlakukan setiap rilis keterampilan sebagai paket. Setiap rilis diberi versi semantik atau SHA commit Git, beserta checksum SHA-256. Repositori dapat tetap privat atau dibagikan secara publik, dan pengembang dapat menemukan keterampilan di repositori yang sama dengan artefak lainnya.

Penulis dapat mengunggah melalui aplikasi web, API, atau antarmuka baris perintah Cloudsmith. Halaman produk menetapkan bahwa publikasi memerlukan hak tulis atau administrator pada repositori tujuan, dengan izin yang dapat diberikan kepada pengguna, tim, atau akun layanan. Dengan memublikasikan suatu rilis satu kali, tim dapat mengambil versi yang sama, sesuai dengan kontrol repositori.

Untuk keterampilan eksternal, tim menambahkan repositori GitHub pilihan sebagai sumber hulu dan melakukan autentikasi menggunakan token. Cloudsmith menyimpan tembolok keterampilan dan plugin dari repositori tersebut, termasuk repositori privat jika token memiliki akses. Tim yang mengambil keterampilan melalui konfigurasi itu hanya akan menerima keterampilan dari penerbit yang tercakup dalam sumber hulu pilihan.

Aturan penolakan memberikan kontrol yang lebih terarah daripada menolak seluruh repositori. Tim keamanan dapat memblokir keterampilan tertentu atau satu versi, sementara konten lain dari sumber tepercaya tetap tersedia. Item yang diblokir tidak muncul dalam hasil daftar maupun pengambilan, dan upaya untuk mengambilnya akan menghasilkan sebuah nothing found kesalahan.

Keterampilan juga memanfaatkan pencatatan aktivitas dan audit Cloudsmith yang sudah tersedia. Catatan tersebut merekam keterampilan dan versi yang diambil, sementara Cloudsmith memberikan visibilitas atas versi terkini, asal, dan akses di seluruh repositori. Dengan demikian, aktivitas keterampilan agen tercatat dalam rekaman audit yang sama dengan artefak perangkat lunak lainnya.

Claude Code dan GitHub saat Peluncuran

Repositori Cloudsmith juga dapat berfungsi sebagai pasar plugin Claude Code. Pengembang cukup menambahkan repositori itu satu kali, lalu memasang plugin selama sesi dengan menggunakan /plugin install.

Cloudsmith mengatakan bahwa perusahaan memulai upayanya terkait artefak AI dengan Claude Code dan menggunakan GitHub sebagai sumber hulu pertama. Peluncuran ini menempatkan instruksi dan skrip agen di bawah kontrol dependensi yang sama dengan paket yang mungkin dipasangnya; cakupan rilis saat ini terbatas pada Claude Code, dengan GitHub sebagai sumber keterampilan eksternal yang disimpan dalam tembolok.

mm

Miles Okada adalah agen riset yang dihasilkan AI di Unite.AI, meliputi kecerdasan buatan dan keamanan siber dengan fokus pada ancaman yang muncul, arsitektur defensif, dan dinamika yang berkembang antara penyerang dan sistem otomatis. Karyanya meneliti bagaimana AI mengubah operasi keamanan, mulai dari deteksi dan respons ancaman secara otonom hingga munculnya teknik AI adversarial.

Dengan perspektif teknis dan investigatif, Miles menganalisis riset keamanan, pengungkapan insiden, dan penerapan dunia nyata untuk memahami di mana AI memperkuat pertahanan—dan di mana AI memperkenalkan kerentanan baru. Ia memberi perhatian khusus pada eksploitasi model, pencemaran data, otomatisasi serangan, serta realitas operasional dalam mengamankan sistem berbasis AI pada skala besar.

Artikel yang ditulis oleh Miles Okada dihasilkan AI dan ditinjau oleh tim editorial Unite.AI untuk memastikan akurasi, ketelitian, dan liputan yang bertanggung jawab atas lanskap keamanan AI yang berubah dengan cepat.