Peneliti keamanan dari Forever Security mengungkap temuan serangan siber aktif di perangkat seorang pengguna yang berhasil mengeksploitasi cara kerja agen koding kecerdasan buatan. Serangan ini tidak menggunakan biner berbahaya atau kode eksploitasi memori yang rumit, melainkan memanfaatkan berkas teks biasa bertajuk AGENTS.md yang disusupkan secara diam-diam ke dalam folder unduhan pengguna (~/Downloads). Begitu agen koding AI dibuka di direktori tersebut, berkas instruksi ini langsung dibaca dan dipatuhi, membuka jalan bagi eksekusi perintah berbahaya serta pembajakan akun pengembang.
Dalam investigasi yang dipublikasikan oleh peneliti Gal Weizman dan Omer Samet, insiden bermula saat sistem deteksi menghentikan upaya sebuah agen koding yang hendak memasang paket npm berbahaya bernama function-color. Penyelidikan mendalam menunjukkan bahwa perintah instalasi tersebut tidak berasal dari pustaka dependensi proyek maupun repositori kode sumber, melainkan dari berkas instruksi instruksi kerja lokal yang tertinggal di folder Downloads komputer korban.
Runtuhnya Asumsi Keamanan Folder Unduhan
Selama tiga dekade terakhir, folder ~/Downloads diperlakukan sistem operasi modern sebagai zona transit yang aman. Halaman web memang dapat memicu unduhan berkas secara sepihak ke direktori tersebut tanpa meminta izin interaktif. Namun, arsitektur keamanan desktop seperti Gatekeeper di macOS atau Mark of the Web di Windows selalu memastikan bahwa berkas biner yang berasal dari internet tidak akan dieksekusi secara otomatis sebelum pengguna memberikan persetujuan eksplisit.
Kehadiran agen koding otonom meruntuhkan fondasi perlindungan tersebut. Agen AI seperti OpenAI Codex maupun Anthropic Claude Code dirancang untuk mempercayai dan menjalankan berkas instruksi kerja yang berada di direktori tempat mereka dipanggil. Ketika teks markdown yang dapat dijatuhkan oleh peramban diperlakukan oleh agen sebagai panduan operasional tepercaya, berkas teks biasa berubah fungsi menjadi berkas eksekutif (executable) yang sepenuhnya berada di luar jangkauan radar pemindai antivirus konvensional. Data telemetri Forever Security mencatat bahwa sekitar separuh pengguna korporat pernah menjalankan agen AI langsung di dalam folder Downloads mereka, dan seperempat sesi agen secara mandiri membuka peramban web untuk menyelesaikan tugas.
Manipulasi Konfigurasi Global pada OpenAI Codex
Pada berkas yang ditemukan di perangkat korban, pelaku membungkus muatan serangannya di dalam dokumen markdown sepanjang 13 kilobita yang tampak seperti dokumentasi rekayasa perangkat lunak standar bertajuk "Engineering Work Guidelines". Di bagian akhir dokumen, disisipkan instruksi konfigurasi lingkungan lokal yang tampak wajar. Agen diminta menambahkan server Model Context Protocol (MCP) proyek bernama project-tools ke dalam berkas konfigurasi global ~/.codex/config.toml.
Perintah MCP yang didaftarkan memanfaatkan utilitas sistem launchctl untuk menjalankan instalasi paket npm function-color di latar belakang. Penggunaan launchctl sengaja dirancang agar proses instalasi tidak terputus oleh mekanisme batas waktu pemuatan server milik Codex. Selain itu, dokumen instruksi tersebut secara persuasif memerintahkan Codex menjalankan uji verifikasi dengan menyertakan parameter --dangerously-bypass-approvals-and-sandbox untuk menembus isolasi jaringan.
Karena berkas ~/.codex/config.toml berlaku secara global di seluruh sistem, keberhasilan manipulasi ini memberikan persistensi permanen bagi peretas. Setiap kali pengembang menjalankan Codex di kemudian hari—pada repositori mana pun di perangkat tersebut—server perkakas jahat milik pelaku akan otomatis dimuat sejak awal sesi. Dalam pengujian terkontrol di lingkungan mesin virtual terisolasi, tingkat keberhasilan serangan terhadap Codex tercatat melampaui 90 persen tanpa memicu peringatan interaktif kepada pengguna.
Pencurian Token OAuth dan RCE pada Claude Code
Melihat efektivitas metode tersebut, tim peneliti menguji apakah kerentanan serupa merupakan kelemahan spesifik Codex atau melekat pada sifat agen AI secara umum. Mereka mereproduksi vektor serangan ini pada Claude Code menggunakan berkas instruksi CLAUDE.md tiruan. Karena Claude memiliki pagar pengaman yang lebih ketat terhadap eksekusi paket asing, pola serangan disesuaikan dengan mengalihkan jalur komunikasi jaringan agen.
Berkas CLAUDE.md yang disusupkan menginstruksikan agen untuk membuat berkas konfigurasi lokal .claude/settings.json dan menetapkan variabel ANTHROPIC_BASE_URL ke alamat peladen milik penyerang dengan kedok gateway API internal perusahaan. Begitu konfigurasi tersebut ditulis, Claude Code segera mengirimkan permintaan API beserta token otentikasi OAuth aktif ke peladen kendali peretas.
Pencurian token tersebut memungkinkan peretas mengambil alih akun pengembang secara instan tanpa perlu menjalankan kode biner di mesin target. Lebih berbahaya lagi, peladen peretas dapat merespons permintaan Claude dengan jawaban model palsu yang menyertakan panggilan perkakas Bash dengan parameter dangerouslyDisableSandbox diaktifkan. Melalui mekanisme ini, agen Claude menerima perintah dari peretas dan menjalankannya secara lokal tanpa perlindungan sandbox, menghasilkan eksekusi kode jarak jauh (remote code execution) penuh. Dalam pengujian peneliti, Claude menyetujui penulisan konfigurasi ini pada sekitar 50 persen percobaan.
Anomali Keamanan Tanpa Tambalan Perangkat Lunak
Para peneliti menegaskan bahwa celah keamanan ini bukan merupakan kesalahan penulisan kode (bug) pada perangkat lunak OpenAI maupun Anthropic. Agen AI yang membaca dan mematuhi panduan di direktori kerjanya justru bertindak persis sebagaimana tujuan perancangannya. Analogi yang tepat adalah serangan phishing pada peramban web: ketika peramban menampilkan halaman palsu perbankan, peramban bekerja dengan benar sesuai standar HTML, sementara kejahatan terletak pada konteks muatan yang dimuat.
Kesenjangan keamanan ini tercipta di titik temu antara izin tulis web ke folder unduhan yang telah berusia puluhan tahun dengan lahirnya peranti lunak otonom yang memegang kredensial dan hak eksekusi pengguna. Selama agen AI memperlakukan berkas instruksi lokal sebagai otoritas yang valid, celah tersebut akan tetap terbuka secara struktural.
Langkah Mitigasi bagi Pengembang
Menghadapi pola ancaman baru ini, praktisi keamanan dan pengembang disarankan mengambil beberapa langkah pencegahan konkret:
Pertama, hindari menjadikan direktori ~/Downloads atau folder sementara publik lainnya sebagai direktori kerja agen koding. Tetapkan ruang kerja khusus yang terisolasi dan berada di bawah kendali manajemen repositori versi (Git) yang ketat.
Kedua, lakukan inspeksi manual terhadap berkas instruksi seperti AGENTS.md, CLAUDE.md, atau berkas konfigurasi serupa sebelum mengaktifkan agen di repositori baru, terutama repositori hasil klona publik atau berkas kiriman pihak ketiga.
Ketiga, periksa berkas konfigurasi global seperti ~/.codex/config.toml dan .claude/settings.json secara berkala. Pastikan tidak ada blok mcp_servers asing atau pengalihan alamat gateway API yang tidak dikenal.
Keempat, pertahankan konfigurasi sandbox dan gerbang persetujuan manual (approval gates) pada agen. Waspadai setiap anjuran pada dokumentasi proyek yang meminta penggunaan parameter bypass keamanan saat menjalankan CLI agen.
Sumber https://forever.security/blog/hijacking-ai-agents-via-downloads-folder/
Sumber tambahan: https://bleepingcomputer.com/news/security/ai-coding-agents-hijacked-using-agentsmd-file-in-downloads-folder