Jakarta, 20 Desember 2025 — Tim peneliti meluncurkan memlineage v0.1.0, sebuah pertahanan dua lapis berbasis Python yang melindungi agen LLM bermemori persistensi dari serangan memory poisoning tanpa memerlukan perubahan kode model. Solusi ini menggabungkan kriptografi provenance dengan detektor perilaku, dan telah melalui audit independen serta pengujian otomatis yang ketat.
Masalah utama muncul karena agen dengan memori persistensi (RAG, agentic memory) menciptakan permukaan serangan baru. Seorang penyerang yang hanya berinteraksi melalui saluran normal dapat menyisipkan memori yang dirancang khusus. Ketika memori tersebut diambil kemudian, perilaku agen di masa depan dapat diarahkan sesuai keinginan penyerang—tanpa menyentuh bobot model atau kode. Penelitian terbaru seperti SMSR (2026) dan TMA-NM (2026) membuktikan bahwa serangan tersebut dapat dilakukan secara berulang, sementara pertahanan berbasis trust score rentan terhadap laundering, yaitu konten eksternal yang "dicuci" menjadi konten tepercaya melalui ringkasan atau echo dari agen sendiri.
MemLineage (2025) memperkenalkan linaje kriptografis dengan propagasi max-of-strong-edges, tetapi deteksi perilaku masih kurang. Makalah Forensic Trajectory Signatures (2026) menunjukkan bahwa eksfiltrasi meninggalkan tanda perilaku yang tersebar di seluruh urutan tool‑calls, tanda yang bertahan bahkan ketika penyerang mengoptimalkan teks untuk menghindari filter. Kesimpulan umum: filter berbasis konten dapat diakali dengan teks yang mengalir secara profesional, dan skor kepercayaan dapat dimanipulasi. Solusi yang diperlukan adalah kombinasi asal kriptografis dan deteksi berbasis perilaku.
Lapisan pertama (Layer A) adalah provenance kriptografis. Setiap entri memori ditandatangani dengan Ed25519 pada saat penulisan (write‑time) dan diikat ke kunci utama yang sebenarnya yang membuatnya. Tier kepercayaan berasal dari kunci yang menandatangani, bukan dari pemanggil. KeyRegistry menghubungkan setiap kunci utama ke kunci aslinya. register() hanya diizinkan selama inisialisasi tepercaya, sementara freeze() mengunci registry pada runtime sehingga logika agen tidak dapat mendaftarkan diri sebagai principal internal. Graf provenance yang menggunakan networkx dan propagasi max‑of‑strong‑edges menerapkan Untrusted‑Path Persistence: memori turunan (secara transitif) dari sumber eksternal/non‑tepercaya tidak pernah dianggap tepercaya. SensitiveActionGate memblokir (FPR ≈ 0, kriptografis) setiap tindakan tidak dapat dibatalkan yang alasannya berasal dari jalur yang tidak tepercaya.
Lapisan kedua (Layer B) adalah detektor jejak perilaku (runtime). Detektor ini beroperasi pada struktur tool‑calls, bukan konten (Forensic Trajectory Signatures). Ia menggunakan 19 fitur struktural, aturan recall‑invariant yang tidak memerlukan pelatihan, dan RandomForest yang dapat dilatih. MVP hanya memberikan peringatan (soft alert), tidak pernah memblokir sendiri, hingga tingkat positif palsu dapat diukur. Detektor ini tidak terintegrasi secara buta dengan Layer A hingga metrik keandalan terpenuhi.
Audit independen mengonfirmasi keandalan solusi. Auditor eksternal mengkloning repositori dari awal, menginstal dependensi, dan menulis uji coba adversarial mereka sendiri (bukan dari repositori) untuk memverifikasi jaminan. Hasilnya: spoofing principal tanpa kunci yang sesuai ditolak (PermissionError), laundering transitif (5 tingkat) tetap ditandai sebagai tidak tepercaya dan diblokir oleh gate, pencampuran memori tepercaya dan tidak tepercaya dalam satu alasan memicu blokir (satu memori tidak tepercaya sudah cukup), RegistryFrozenError setelah freeze(), dan penolakan tanda tangan memori yang didaur ulang (terikat pada entry_id+content+source). ASR untuk serangan eksternal dengan Layer A mencapai 0,000 (AUC 0). Layer B mencatat AUC 0,988 tanpa kamuflase dan AUC 0,978 dengan kamuflase penyerang (Recall 0,950). Benchmark menggunakan serangan parafrasa semantik, generasi trajectory stohastik, dan overlapping kelas, melaporkan rata-rata ± standar deviasi di beberapa benih. Kamuflase secara signifikan menurunkan AUC dan Recall, menunjukkan bahwa pengukuran tersebut mencerminkan generalisasi, bukan hafalan template. Batasan yang dinyatakan: serangan Layer B adalah pendekatan lokal MINJA (parafrase + heuristik recall), bukan optimizador white‑box lengkap yang dipublikasikan. AUC mengukur ketahanan terhadap serangan ini, bukan terhadap MINJA lengkap.
Kualitas kode diverifikasi oleh CI (GitHub Actions, Python 3.11/3.12): 30/30 pengujian lulus, cakupan 95%, bandit SARIF 0 hasil, SonarCloud Quality Gate OK, 0 masalah terbuka, GitHub Code Scanning 0 peringatan terbuka. Proyek ini dilisensikan di bawah AGPL‑3.0‑or‑later dan dapat diuji dengan perintah `git clone https://github.com/amurlaniakea/memlineage.git`.
Di Indonesia, adopsi asisten berbasis AI agent semakin meningkat, terutama di platform chatbot seperti Kata.ai dan solusi enterprise seperti Mydinus. Meskipun teknologi memori persistensi masih relatif baru di pasar lokal, kebutuhan akan perlindungan terhadap manipulasi tersembunyi menjadi semakin mendesak. MemLineage menawarkan solusi open‑source yang dapat disesuaikan oleh pengembang Indonesia tanpa biaya lisensi, sekaligus memberikan contoh baik tentang penggunaan kriptografi dan analisis perilaku dalam ekosistem AI lokal.
"Pendekatan dua lapis kami mengatasi kelemahan utama dalam pertahanan berbasis skor kepercayaan dengan menambahkan jaminan kriptografis yang ketat dan deteksi perilaku yang dapat dilatih,” kata Pedro Sordo Martínez, penulis proyek. “Kombinasi ini mencegah penyerang mencuci memori melalui interaksi normal dan memberikan peringatan yang dapat ditindaklanjuti tanpa membebani pengguna.”
Ke depan, integrasi yang lebih erat dengan alur kerja CI/CD diharapkan dapat menjadikan verifikasi keamanan sebagai bagian dari pengembangan agen sehari‑hari. Seiring dengan semakin banyaknya organisasi yang mengandalkan agen LLM untuk pengambilan keputusan kritis, pertahanan berlapis seperti memlineage dapat menjadi standar baru, terutama di pasar yang peduli privasi seperti Indonesia, di mana kepercayaan terhadap sistem AI merupakan faktor keberhasilan yang penting.
Potensi adopsi juga meluas ke sektor regulated (keuangan, kesehatan) di mana jejak audit yang tidak dapat diubah sangat diperlukan. Dengan lisensi AGPL, proyek ini mengundang kontribusi dari komunitas keamanan siber global, sekaligus memberikan fondasi bagi penelitian lebih lanjut tentang kriptografi provenance dan analisis jejak forensik.