---
title: Roi agen kecerdasan buatan menemukan kelemahan di Authlib dan menyelesaikan tantangan HackTheBox
url: https://www.elseif.net/id/roi-agen-kecerdasan-buatan-menemukan-kelemahan-di-authlib-dan-menyelesaikan-tantangan-hackthebox
published: 2026-11-12T07:18:26+00:00
language: id
section: Agen
source: https://habr.com/ru/articles/1104506/?utm_campaign=1104506&utm_source=habrahabr&utm_medium=rss
organizations: DreamTeam, Authlib, HackTheBox
publisher: elseif
---

# Roi agen kecerdasan buatan menemukan kelemahan di Authlib dan menyelesaikan tantangan HackTheBox

Sebuah roi agen kecerdasan buatan bernama DreamTeam berhasil mengidentifikasi kelemahan keamanan pada pustaka Authlib dan menyelesaikan dua tantangan pada platform HackTheBox. DreamTeam adalah kerangka kerja sumber terbuka berbasis Python yang memungkinkan sejumlah agen bekerja secara mandiri tanpa pengawas tunggal. Agen-agen tersebut diberi tujuan, papan tugas bersama, dan akses ke repositori Git, serta memiliki kemampuan untuk menulis alat dan keterampilan mereka sendiri. Mereka kemudian membagi pekerjaan, memecah tugas, dan saling memverifikasi hasil satu sama lain. Dalam pengujian sebelumnya, roi ini mampu menyelesaikan masalah matematika dan menulis alat untuk benchmark tersembunyi.

Pengujian kali ini berfokus pada dua area yang biasanya dikerjakan oleh ahli manusia. Pertama, pencarian kelemahan pada pustaka sumber terbuka populer dengan pengungkapan terkoordinasi. Kedua, penyelesaian otonom pada mesin HackTheBox. Eksperimen ini dilakukan dengan batasan ketat. Authlib adalah pustaka sumber terbuka, dan hasil analisis dikirimkan ke pemelihara melalui saluran pengungkapan terkoordinasi. Semua temuan yang diterima telah diperbaiki di kode utama. Mesin HackTheBox yang digunakan adalah mesin pensiun yang telah dikeluarkan dari pool aktif, dan roi hanya diizinkan mengakses satu alamat yang menjadi lokasi mesin tersebut. Tidak ada sistem pihak lain yang disentuh selama proses ini.

Dalam eksperimen pertama, roi menganalisis Authlib versi 1.9.3, yang merupakan pustaka Python untuk OAuth 2.0 dan OIDC. Versi ini sudah diperbarui setelah gelombang CVE besar pada bulan Oktober. Tugas roi adalah menemukan sisa titik lemah pada klien OIDC dan menyusun laporan. Hasilnya adalah satu laporan pengungkapan terkoordinasi yang berisi empat temuan, yaitu F1 hingga F4. Temuan F1 menyoroti bahwa klien OIDC sinkron mengumpulkan daftar algoritma penandatanganan yang diizinkan dari metadata penyedia tanpa nilai default yang aman. Jika metadata berisi nilai none, klien siap menerima token yang tidak ditandatangani. Jika field tersebut hilang dan ada kunci simetris, celah pemalsuan melalui HS256 terbuka. Pemelihara menerima tiga dari empat temuan dan memperbaikinya di kode utama. Temuan F2 menunjukkan bahwa parameter claims_options secara diam-diam menonaktifkan pemeriksaan penerbit, dan nilai default nonce=None menonaktifkan pemeriksaan nonce. Temuan F3 mengungkapkan bahwa endpoint RP-Initiated Logout hanya memeriksa tanda tangan pada id_token_hint, sehingga menerima JWT apa pun yang ditandatangani oleh penyedia, termasuk token logout back-channel atau token akses. Temuan F4 mencatat bahwa metadata dan kunci dimuat tanpa pemeriksaan transport aman dan mengikuti pengalihan, yang memungkinkan penyerang jaringan mengubah F1 menjadi serangan jaringan. Perbaikan untuk F1, bagian penerbit dari F2, dan F3 akan dirilis di Authlib 1.10 sebagai perubahan pemecah. Pemelihara menolak nonce=None dan F4 sebagai tanggung jawab aplikasi. Biaya untuk menjalankan delapan agen deepseek-v4.1-flash selama tiga jam empat menit adalah 9,66 dolar.

Dalam eksperimen kedua, roi menyelesaikan dua mesin HackTheBox yang pensiun, yaitu Cap dengan tingkat kesulitan mudah dan MakeSense dengan tingkat kesulitan sedang. Roi bekerja menggunakan model deepseek-v4.1-flash yang murah. Prompt hanya berisi alamat tujuan dan larangan untuk menyentuh hal lain, meskipun batasan ini dilaporkan tidak sepenuhnya efektif. Batasan cakupan dijaga oleh tiga jangkar independen. Hasil dari kedua eksperimen menunjukkan bahwa agen mampu menemukan masalah yang tidak sepele dan menyelesaikan tantangan kompleks secara otonom.