Agen AI Koding Bisa Diakali Lewat File Teks di Folder Unduhan
Berkas teks biasa di folder Unduhan dapat membuat agen koding berbasis kecerdasan buatan memasang malware dan membocorkan token login. Celah ini, menurut peneliti, tidak bisa ditambal penyedia layanan.
Agen koding berbasis kecerdasan buatan dirancang patuh pada instruksi di folder kerjanya. Kini kepatuhan itu justru menjadi celah. Perusahaan Forever Security menemukan berkas AGENTS.md di folder Unduhan milik seorang pelanggan. Berkas itu menyuruh agen memasang paket npm bernama function-color, bagian dari kampanye malware yang disebut MALFEX. Perangkat lunak Forever menghentikan agen sebelum kode sempat dijalankan.
AGENTS.md ialah berkas teks biasa yang berisi aturan proyek bagi agen. Peneliti Gal Weizman dan Omer Samet menyebut berkas ini dibuat untuk dipercaya dan dipatuhi agen. Isinya bisa membuat agen menjalankan perintah, memasang paket, atau mengubah pengaturan.
Folder Unduhan Rentan
Masalahnya ada di folder Unduhan. Peramban Chrome, Edge, dan Firefox secara bawaan menyimpan unduhan tanpa meminta lokasi, dan halaman web dapat menaruh berkas AGENTS.md ke sana tanpa klik dari pengguna. Padahal, folder inilah yang bisa diisi web dengan sendirinya.Kebiasaan menjalankan agen dari folder ini ternyata umum. Weizman menyebut ratusan pelanggan menjalankan agen, termasuk Claude Code, Codex, dan Cursor CLI, dari folder Unduhan. Claude Code saja tercatat meluncurkan lebih dari 1.300 sesi dari lokasi itu.
Dalam uji purwarupa, Codex menjalankan malware lebih dari 90 persen percobaan. Berkas itu mengubah konfigurasi di ~/.codex/config.toml yang berlaku untuk semua sesi di komputer. Akibatnya, server penyerang ikut dimuat di folder mana pun.Pada Claude Code, pola serangannya berbeda. Berkas CLAUDE.md meminta agen mengalihkan lalu lintas API ke server penyerang. Token login pengguna ikut bocor, dan perubahan itu berhasil sekitar separuh percobaan. Token tersebut cukup untuk mengambil alih akun tanpa menjalankan kode apa pun.
Lebih Sulit Dikelabui
Claude Code sebenarnya lebih sulit ditipu. Agen ini biasanya meminta persetujuan pengguna untuk perubahan semacam itu dan kerap menolak yang tampak janggal. Namun, ketika serangan dibungkus sebagai dokumen teknik, perubahan tetap lolos sekitar separuh waktu.Tanpa Perbaikan
Forever berpendapat OpenAI dan Anthropic tidak perlu menambal apa pun. Agen yang mengikuti berkas di folder kerjanya sedang menjalankan fungsinya. Analogi yang dipakai Forever ialah peramban yang menampilkan halaman phishing. Peramban bekerja sebagaimana mestinya, sedangkan celahnya ada pada halaman. Akibatnya, beban pertahanan berpindah ke pengguna.Di sisi lain, belum ada bukti bahwa penyerang sungguh memakai cara ini terhadap pelanggan tersebut. Peneliti juga tidak memastikan bagaimana berkas itu masuk ke folder. Sebagian besar uji memakai perintah pengganti yang hanya membuka kalkulator.
Forever menyarankan agen tidak dijalankan di folder Unduhan. Berkas AGENTS.md atau CLAUDE.md yang tidak dibuat sendiri harus dibaca lebih dulu, termasuk di repositori yang baru disalin. Persetujuan dan sandbox sebaiknya tetap aktif. Jika menemukan berkas semacam itu, token login sebaiknya dianggap bocor dan diganti.
Terlepas dari langkah-langkah itu, satu hal menjadi jelas. Pengawasan perlu diarahkan ke agen, tidak hanya ke pengguna. ”Kami menangkap ini karena mengawasi agennya, bukan penggunanya,” tulis Forever. Serangan berikutnya, katanya, mungkin tidak akan terlihat seperti ini.
