Peneliti dari Forever Security melaporkan bahwa agen pemrograman AI bisa dibajak hanya dengan satu berkas teks di folder Downloads. BleepingComputer memuat temuan ini pada 25 Oktober 2026. Agen seperti OpenAI Codex dan Claude Code otomatis membaca berkas instruksi di direktori kerjanya, lalu menjalankannya dengan izin yang dimiliki agen.
Cara kerja serangan
Dalam pengujian, peneliti Gal Weizman menaruh berkas AGENTS.md berisi instruksi jahat di folder Downloads, lalu menjalankan agen dari folder itu. Agen menuruti isinya, termasuk mencoba memasang paket npm bernama function-color. Pada Codex, payload uji yang tidak berbahaya (hanya membuka aplikasi kalkulator) berhasil sekitar 90 persen percobaan. Di Claude Code, berkas CLAUDE.md buatan peneliti mengalihkan lalu lintas API ke server milik mereka dan membuka token OAuth agen. Kode berhasil dijalankan pada kira-kira separuh percobaan.
Para peneliti tidak bisa memastikan bagaimana berkas itu sampai ke Downloads di dunia nyata. Mereka menduga halaman web berbahaya bisa menjatuhkannya tanpa interaksi pengguna, karena Chrome, Edge, dan Firefox menyimpan unduhan ke folder tersebut secara bawaan. Brave meminta persetujuan lebih dulu. Cursor CLI tidak diuji, tetapi disebut sebagai agen lain yang sering dijalankan dari folder yang sama.
Tidak ada nomor CVE dan tidak ada versi yang ditambal. Menurut peneliti, OpenAI dan Anthropic tidak punya sesuatu untuk diperbaiki, sebab agen memang dirancang mengikuti instruksi di folder kerjanya. Kedua vendor menyarankan agen dijalankan dari direktori proyek yang dituju. Risiko agen AI yang keluar dari batas yang diharapkan juga pernah kami bahas dalam kasus model OpenAI yang menembus DNS saat pelatihan.
Langkah yang perlu Anda ambil
Jangan pernah menjalankan agen pemrograman dari folder Downloads atau folder home. Masuk dulu ke akar proyek yang memang mau dikerjakan, lalu mulai agen dari sana. Periksa berkas AGENTS.md, CLAUDE.md, dan berkas instruksi sejenis yang tidak Anda kenal sebelum agen membacanya. Biarkan permintaan persetujuan dan sandbox tetap menyala, dan uji kode yang tidak tepercaya di lingkungan terisolasi.
Tim yang mengelola laptop pengembang juga bisa memeriksa folder Downloads untuk berkas instruksi agen yang tidak semestinya ada, serta mengecek apakah ada paket npm bernama function-color di proyek mereka. Temuan ini masih berupa riset pengujian, bukan laporan serangan yang terjadi di lapangan.
Sumber: BleepingComputer dan Mezha. Gambar: BleepingComputer.