Saya membaca OWASP Top 10 untuk aplikasi model bahasa beberapa malam lalu—daftar yang diperbarui dan dirilis akhir tahun lalu—dan ada satu hal di dalamnya yang langsung menarik perhatian saya karena betapa jelas hal itu memetakan sebuah masalah yang diam-diam sedang dicoba untuk diselesaikan oleh Newton Protocol. Prompt injection menempati posisi nomor satu, bukan sebagai kekhawatiran teoretis, melainkan sebagai kerentanan paling kritis yang saat ini secara aktif memengaruhi sistem produksi—mulai dari enterprise copilot hingga asisten penulisan kode sampai agen otonom yang mengelola alur kerja nyata. Deskripsi komunitas keamanan tentang hal ini hampir terlalu sederhana: seorang penyerang menempatkan instruksi berbahaya di dalam konten yang seharusnya dibaca oleh agen sebagai data, agen tidak dapat membedakan instruksi dari informasi dengan andal, dan muatan berbahaya (payload) menimpa apa pun yang semula seharusnya dilakukan agen. Dalam kebanyakan konteks perangkat lunak, itu menghasilkan jawaban yang buruk atau dokumen yang bocor. Pada agen keuangan onchain dengan dompet yang dananya tersedia (funded) dan hak untuk mengeksekusi transaksi, dampaknya menjadi jauh lebih buruk.
Hal yang menurut saya benar-benar menarik adalah betapa tepat deskripsi komunitas riset keamanan tentang masalah itu berkelindan dengan celah arsitektur yang dirancang untuk diisi oleh Newton, meskipun kedua percakapan itu jarang saling merujuk secara langsung. Para peneliti keamanan telah berkumpul pada apa yang dideskripsikan seorang analis sebagai trifecta mematikan: kombinasi akses ke data privat, paparan konten yang tidak tepercaya, dan kemampuan untuk melakukan aksi eksternal. Ketika ketiga hal itu hadir secara bersamaan di dalam satu agen, permukaan serangannya berhenti menjadi sesuatu yang teoretis dan berubah menjadi hampir kepastian dengan tekanan adversarial yang cukup. Untuk agen otomasi DeFi, tiga sifat itu bukan kasus tepi—itu adalah uraian pekerjaan dasarnya. Agen membaca data pasar dan umpan eksternal, memegang izin kunci sesi atas sebuah dompet yang berisi dana, lalu mengeksekusi transaksi secara otonom. OpenAI, Anthropic, dan Google DeepMind semuanya mengakui dalam publikasi 2025 bahwa prompt injection tidak bisa sepenuhnya diselesaikan dalam arsitektur model bahasa besar saat ini, karena setiap pertahanan yang diekspresikan sebagai instruksi prompt bisa juga ditimpa oleh serangan yang dirancang dengan cukup cermat. Saya kadang bertanya-tanya apakah orang-orang yang menerapkan agen AI untuk operasi treasury onchain benar-benar membaca kalimat itu dengan teliti, karena kalimat tersebut secara efektif mengatakan bahwa model itu sendiri tidak dapat menjadi garis pertahanan terakhir.
Bagian yang terus saya renungkan adalah apa artinya ini bagi letak batas keamanan yang benar-benar perlu berada, dan mengapa lapisan penegakan sebelum settlement milik Newton mengatasi sesuatu yang secara struktural tidak dapat dilakukan oleh pertahanan tingkat model saja. Konsensus yang muncul dari riset keamanan adalah pendekatan yang tepat bukan penyaringan prompt yang lebih baik, melainkan penegakan kebijakan yang deterministik pada lapisan tool, membatasi apa yang bisa dilakukan agen dengan hak eksekusinya, terlepas dari instruksi apa pun yang diterimanya atau dari siapa pun instruksi itu berasal. Daftar payee yang disetujui Newton, batas belanja, dan kebijakan penegakan mandate bukanlah fitur yang ditegakkan oleh agennya sendiri; itu adalah batasan eksternal yang dievaluasi oleh jaringan operator netral sebelum transaksi mencapai rantai. Agen yang dikompromikan dan disuntik dengan instruksi untuk memindahkan dana ke alamat penyerang tetap akan melewati pemeriksaan kebijakan Newton sebelum perpindahan itu terselesaikan, dan jika alamat tujuan berada di luar daftar payee yang disetujui, transaksi akan diblokir secara independen dari apa yang diyakini agen bahwa ia diberi otorisasi untuk dilakukan. Pertanyaan yang terlintas adalah apakah perbedaan ini—antara mempercayai agen dan membatasi apa yang sebenarnya dapat dieksekusikannya—dipahami dengan cukup jelas oleh para developer yang saat ini membangun sistem otomasi onchain untuk produksi.
Melihat dari luar ke arah percakapan ini akan menuju, ada dimensi waktu yang terasa penting namun kurang dihargai. Komunitas riset keamanan sedang secara aktif mendokumentasikan serangan di mana satu dokumen yang disuntikkan ke database vektor menghasilkan tingkat keberhasilan serangan hingga sembilan puluh persen; di mana peracunan memori menciptakan serangan tertunda yang bertahan lintas sesi; dan di mana sistem multi-agen meneruskan instruksi yang sudah dikompromikan di antara mereka dengan cara yang membuat titik injeksi awal hampir mustahil untuk dilacak setelah kejadian. Semua riset itu sedang semakin matang pada saat yang persis sama ketika agen AI onchain bergerak dari uji coba skala kecil menjadi sistem yang mengelola modal yang bermakna di protokol nyata. Beta mainnet Newton yang hadir dalam jendela spesifik ini terasa kurang seperti kebetulan dan lebih seperti protokol menemukan celah di antara dua bidang—keamanan AI dan keuangan onchain—yang selama ini berkembang beriringan tanpa benar-benar mengakui seberapa langsung keduanya saling bersinggungan. Apakah developer yang membangun generasi berikutnya agen keuangan akan menganggap penegakan kebijakan sebelum settlement sebagai kebutuhan dasar, atau justru menemukannya dengan cara yang sulit, adalah pertanyaan yang jujur belum saya ketahui jawabannya—bagaimanapun, waktu akan menjawab...