14 Agustus 2026 · Observasi keamanan untuk self-hosting dan agen AI

1. Permukaan serangan dompet perangkat keras tidak hanya ada pada perangkat dan kunci privat.

Menurut pengumuman Trezor, penyedia layanan logistik ShipMonk mengalami akses tanpa otorisasi: data 11.742 pelanggan diekspos, termasuk nama, email, nomor telepon, dan alamat pengiriman; selain itu, 1.947 orang lainnya terdampak, dengan data nama, kota, dan email ikut terpapar. Perangkat dan sistem milik Trezor sendiri tidak diretas; namun identitas dan informasi logistik dapat meningkatkan risiko phishing yang lebih tepat sasaran, layanan pelanggan palsu, dan pengiriman palsu.

2. “Penalaran tersembunyi” pada agen AI juga dapat menjadi data rantai pasok.

Menurut Decrypt yang mengutip laporan riset, peneliti berhasil menguraikan 315.320 segmen penalaran dari catatan sesi agen AI yang dibagikan secara publik. Mereka menemukan data seperti kunci API, kata sandi, dan informasi pribadi—yang seharusnya tidak ada dalam output yang terlihat. Risikonya tidak hanya pada log yang dipublikasikan: perintah berbahaya juga bisa disembunyikan dalam blok penalaran yang sulit dipantau oleh pengawasan keamanan, sehingga membentuk injeksi petunjuk yang “tidak terlihat”.

3. Dua hal ini mengarah pada satu garis batas yang sama: keamanan kunci tidak boleh hanya ditanya, “sudah terenkripsi?”.

Hal yang lebih perlu ditanyakan: data melewati siapa, disimpan selama berapa lama, siapa yang bisa melihatnya, dan apakah—setelah terjadi anomali—batas risiko dapat dijelaskan dengan jelas. Yang pertama adalah informasi logistik dan identitas; yang kedua adalah konteks dan kredensial milik agent. Keduanya bukan persoalan yang bisa diselesaikan oleh satu kontrol teknis titik.

Pengungkapan: disusun oleh tim CoWallet. Kami mengembangkan wallet MPC berbasis threshold ECDSA, sehingga kami punya posisi dalam isu self-hosting dan keamanan kunci.