Manipulasi Instruksi File AGENTS.md Injeksi Paket Berbahaya ke Bot Koding: Forever Security Paparkan Modus Pembajakan CLI
Bacotan Online – Tim peneliti dari firma keamanan perangkat lunak otonom Forever Security mempublikasikan laporan investigasi teknis mengenai vektor serangan baru yang menyasar agen kecerdasan buatan berbasis koding seperti OpenAI Codex, Claude Code, dan Cursor CLI melalui manipulasi berkas instruksi proyek AGENTS.md. Temuan lapangan ini bermula dari insiden pada sistem komputer seorang pengembang perangkat lunak komersial, di mana sebuah agen koding otonom tepergok secara otomatis mencoba mengunduh dan mengeksekusi paket pustaka berbahaya bernama function-color dari repositori publik npm. Penelusuran forensik digital membuktikan bahwa tindakan berbahaya tersebut dipicu secara langsung oleh berkas Markdown instruksional AGENTS.md yang secara diam-diam bersarang di dalam direktori unduhan (~/Downloads) pengguna, yang kebetulan dijadikan sebagai direktori kerja aktif (working directory) saat sesi eksekusi agen AI dimulai.
Kelemahan struktural ini menyoroti celah persepsi dalam desain arsitektur agen pengembang modern yang selama ini mengandalkan berkas instruksi teks biasa untuk memandu perilaku model bahasa besar. Sebagaimana telah diantisipasi dalam pengujian standar keamanan sandbox runtime proteksi sistem operasi pada agen otonom, integrasi agen CLI dengan lingkungan lokal tanpa isolasi ketat rentan dimanfaatkan peretas. Agen koding secara rancangan (by design) diprogram untuk memindai berkas kontekstual seperti AGENTS.md atau CLAUDE.md di folder kerja guna memahami konvensi sintaksis, dependensi paket, dan perintah pengujian yang harus dijalankan tanpa memerlukan otorisasi berlapis dari operator manusia.
Eksploitasi Perilaku Bawaan Peramban Web dan Mekanisme Drive-by Download
Peneliti Forever Security, Gal Weizman, menjelaskan bahwa direktori ~/Downloads menempati posisi yang sangat unik sekaligus berbahaya dalam topologi sistem operasi modern. Folder unduhan merupakan satu-satunya area penyimpanan di mana peramban web arus utama seperti Google Chrome, Microsoft Edge, dan Mozilla Firefox diizinkan menulis dan menyimpan berkas secara otomatis dari internet tanpa memunculkan kotak dialog pemilihan lokasi penyimpanan (save-location prompt). Pelaku kejahatan siber dapat memanfaatkan teknik drive-by download pada situs web jebakan untuk menyuntikkan berkas bertajuk AGENTS.md yang tampak tidak berbahaya ke dalam folder unduhan pengguna secara senyap.
Uji coba pembuktian konsep (proof-of-concept/PoC) yang diverifikasi oleh analis keamanan memperlihatkan betapa mudahnya sebuah skrip web menyusupkan instruksi berbahaya tanpa memicu kecurigaan pengguna awam. Bahaya nyata terjadi ketika praktisi teknologi memanfaatkan agen koding AI untuk merapikan, menganalisis, atau memproses berkas-berkas yang baru diunduh langsung dari folder unduhan tersebut. Data telemetri Forever Security mencatat lebih dari 1.300 sesi aktif Claude Code diluncurkan langsung dari direktori ~/Downloads oleh ratusan pengguna enterprise, menciptakan jendela kerentanan operasional yang sangat luas bagi penyusupan kode tanpa otorisasi.
Hasil Uji Rekonstruksi Serangan: Eksekusi Kode Arbitrer dan Pencurian Token OAuth
Dalam serangkaian uji laboratorium terkontrol, para peneliti merekonstruksi skenario serangan terhadap model OpenAI Codex dan Claude Code guna mengukur tingkat keberhasilan eksploitasi berbasis instruksi teks. Pada pengujian terhadap Codex, skenario injeksi perintah melalui berkas Markdown berhasil memanipulasi agen untuk menjalankan instruksi terminal lokal dengan tingkat keberhasilan mencapai 90 persen. Karena berkas instruksi bukan merupakan biner eksekutabel melainkan teks biasa, filter antivirus konvensional dan pemindai malware statis gagal mendeteksi muatan instruksi berbahaya tersebut sebagai ancaman keamanan.
Eksperimen yang lebih mengkhawatirkan terjadi pada Claude Code dengan memanfaatkan modifikasi berkas konfigurasi CLAUDE.md. Peneliti berhasil mengarahkan lalu lintas API agen menuju server bayangan (proxy server) yang dikendalikan oleh penyerang, mengekspos token otentikasi OAuth sensitif milik pengguna. Dengan kepemilikan token tersebut, server peretas mampu menyamar sebagai model AI resmi dan mengirimkan instruksi pemanggilan alat (tool calls) balik yang mengeksekusi skrip berbahaya di mesin korban pada separuh dari total percobaan pengujian. Baik OpenAI maupun Anthropic menegaskan bahwa fenomena ini bukan merupakan cacat kode (software bug) pada model, melainkan penyalahgunaan logika operasional agen yang memang dirancang untuk patuh pada instruksi direktori kerja.
Ancaman ini semakin pelik karena model AI tidak memiliki kemampuan bawaan untuk membedakan antara instruksi sah dari pemilik proyek dan instruksi manipulatif yang disusupkan pihak ketiga melalui teks instruksi proyek. Kegagalan memisahkan data instruksional dari lingkungan eksekusi perintah shell menciptakan kerentanan eksekusi perintah jarak jauh (remote code execution) secara tidak langsung. Perusahaan pengembang perangkat lunak kini didesak untuk menerapkan mekanisme penandatanganan kriptografis pada berkas konfigurasi repositori, memeriksa integritas rantai pasok perangkat lunak, serta membatasi hak akses sistem berkas (filesystem permissions) hanya pada direktori kerja proyek yang benar-benar terisolasi dari lingkungan unduhan publik.
Pertanyaan yang Kerap Diajukan (FAQ) Terkait Kerentanan File AGENTS.md
1. Mengapa agen koding AI langsung mematuhi instruksi di dalam file AGENTS.md tanpa validasi?
Secara rancangan arsitektur, agen koding otonom didesain untuk membaca berkas panduan proyek seperti AGENTS.md atau CLAUDE.md sebagai instruksi kerja primer guna menyesuaikan konvensi koding, perintah build, dan konfigurasi dependensi repositori secara otomatis.
2. Mengapa direktori ~/Downloads menjadi titik masuk yang sangat rentan bagi serangan ini?
Direktori ~/Downloads merupakan lokasi default tempat peramban web menyimpan berkas tanpa meminta konfirmasi jalur penyimpanan dari pengguna. Situs berbahaya dapat mengunduh berkas teks instruksi secara otomatis, yang kemudian terbaca saat pengguna menjalankan CLI agen AI dari folder tersebut.
3. Apa langkah preventif utama bagi pengembang agar terhindar dari eksekusi kode berbahaya lewat instruksi markdown?
Pengembang diwajibkan untuk selalu menjalankan CLI agen koding secara terbatas (scoped) di dalam direktori repositori proyek spesifik, menghindari inisiasi agen di folder global seperti root atau Downloads, mengaktifkan fitur sandbox proteksi OS, serta memeriksa manual berkas instruksi sebelum sesi dimulai.
