Agen Koding AI Berhasil Dibajak Menggunakan Berkas Instruksi AGENTS.md di Folder Downloads
Para peneliti keamanan siber menemukan metode serangan baru yang memanfaatkan berkas instruksi markdown berbahaya bernama AGENTS.md di dalam folder Downloads pengguna. Berkas ini dirancang untuk menipu agen koding kecerdasan buatan (AI) agar otomatis menginstal paket perangkat lunak berbahaya atau membocorkan kredensial akun.
Eksploitasi ini berhasil direproduksi terhadap model OpenAI Codex dan teknik serupa pada Claude Code, yang memungkinkan penyerang mencuri token OAuth dan mengambil alih akun hanya melalui serangkaian instruksi teks di dalam berkas tersebut.
Berkas seperti AGENTS.md atau CLAUDE.md umumnya merupakan teks biasa yang memuat instruksi khusus proyek untuk agen koding AI, seperti alat apa yang harus digunakan, cara menjalankan pengujian (tests), serta konvensi penulisan kode yang harus dipatuhi.
Mekanisme Serangan dan Perilaku Otomatis Agen
Peneliti dari Forever Security—perusahaan yang memantau risiko keamanan dari agen AI dan perangkat lunak otonom—pertama kali menemukan taktik ini pada komputer pelanggan, di mana agen koding tiba-tiba mencoba menginstal paket npm berbahaya bernama function-color.
Investigasi melacak upaya tersebut kembali ke sebuah berkas AGENTS.md di dalam direktori ~/Downloads milik pengguna, yang secara kebetulan digunakan sebagai direktori kerja (working directory) agen. Secara desain, agen AI secara otomatis memuat berkas konfigurasi yang relevan dari direktori kerjanya dan mengikuti instruksi di dalamnya.
Meskipun berkas tersebut bukan sebuah program biner yang dapat dieksekusi secara langsung, instruksi jahat di dalamnya dapat memerintahkan agen AI untuk menjalankan perintah terminal, menginstal paket, atau mengubah pengaturan menggunakan hak akses yang dimiliki agen.
“Tidak ada kerentanan di sini yang perlu ditambal oleh OpenAI maupun Anthropic. Agen yang mengikuti AGENTS.md di dalam foldernya sedang melakukan persis seperti apa yang memang dirancang untuk mereka lakukan,” ungkap para peneliti.
Meskipun peneliti belum dapat memastikan bagaimana berkas instruksi berbahaya tersebut bisa masuk ke direktori ~/Downloads korban, mereka menjelaskan bahwa mengunjungi situs web berbahaya saja sudah cukup untuk menjatuhkan (drop) payload tanpa interaksi pengguna. Folder Downloads merupakan satu-satunya direktori yang dapat ditulis oleh halaman web secara otomatis dan senyap di banyak peramban populer seperti Chrome, Edge, dan Firefox.
Hasil Pengujian dan Risiko Keamanan
Dalam uji coba proof-of-concept (PoC) yang dilakukan para peneliti:
- Pengujian terhadap OpenAI Codex menggunakan payload tidak berbahaya yang memicu aplikasi kalkulator mencatat tingkat keberhasilan hingga 90%.
- Pengujian menggunakan berkas
CLAUDE.mdberbahaya pada Claude Code berhasil mengalihkan lalu lintas API ke server kendali penyerang, mengekspos token OAuth agen, serta memungkinkan penyerang mengeksekusi kode pada sekitar 50% pengujian.
Risiko ini murni merupakan kombinasi dari perilaku bawaan peramban (browser) dan cara kerja agen AI, sehingga tanggung jawab perlindungan berada langsung di tangan pengguna.
Para ahli menyarankan agar pengguna tidak pernah menggunakan direktori ~/Downloads sebagai direktori kerja agen koding AI, mengingat lokasi tersebut sering kali menampung berkas-berkas dari sumber yang tidak dikenal. OpenAI dan Anthropic sama-sama merekomendasikan agar pengguna selalu menjalankan agen koding AI di akar direktori (root) proyek spesifik yang ingin dikerjakan, menjaga batasan ruang kerja tetap sempit, serta selalu memeriksa berkas instruksi yang asing sebelum mengizinkan agen AI mengeksekusinya.
Sumber: Forever Security
