Peneliti Forever Security melaporkan bahwa berkas instruksi AGENTS.md yang tergeletak di folder Unduhan (Downloads) bisa membuat agen koding AI menjalankan perintah penyerang. BleepingComputer memberitakannya pada 25 Oktober, dan Help Net Security menyusul sehari kemudian. Semua angka keberhasilan di bawah berasal dari pengujian peneliti sendiri, bukan dari verifikasi vendor.
Dari komputer pelanggan ke uji laboratorium
Forever Security pertama menemukan berkas AGENTS.md berbahaya di komputer salah satu pelanggannya. Agen koding di mesin itu bekerja dari folder Unduhan dan mencoba memasang paket npm bernama function-color. Menurut Help Net Security, paket tersebut bagian dari kampanye yang tidak terdeteksi selama sekitar dua tahun. Perangkat lunak Forever menghentikan percobaan itu.
Dari kejadian tersebut, peneliti Gal Weizman dan Omer Samet menyusun ulang serangannya. Pada OpenAI Codex, muatan uji yang tidak berbahaya (membuka aplikasi kalkulator) berjalan sekitar 90 persen dari percobaan. Paket aslinya dijalankan satu kali di mesin virtual terisolasi. Help Net Security menulis bahwa Codex lebih dulu mengubah pengaturannya sendiri, sehingga sesi di proyek mana pun berikutnya ikut menjalankan perintah penyerang.
Untuk Claude Code, peneliti menulis berkas CLAUDE.md sendiri yang meniru berkas penyerang. Isinya mengarahkan lalu lintas API ke server milik peneliti. Cara ini berhasil sekitar separuh percobaan dan membuka token masuk (OAuth) milik korban. Kedua media berbeda soal eksekusi kode: BleepingComputer menyebut sekitar 50 persen, Help Net Security menyebut sekitar seperlima percobaan.
Bagaimana berkas itu bisa sampai di sana
Cara berkas berbahaya itu tiba di komputer pelanggan belum diketahui. Peneliti mengklaim halaman web berbahaya bisa menaruh AGENTS.md di folder Unduhan tanpa interaksi pengguna. BleepingComputer memverifikasi bahwa halaman uji coba memang mengunduh berkas berisi teks tak berbahaya. Brave meminta persetujuan unduhan, sedangkan Chrome, Edge, dan Firefox menyimpan ke Unduhan secara bawaan dan hanya menampilkan notifikasi.
Forever mengklaim ratusan pelanggannya menjalankan agen dari folder itu, dan Claude Code saja disebut memulai lebih dari 1.300 sesi dari lokasi tersebut. Menurut peneliti, tidak ada yang perlu ditambal OpenAI atau Anthropic karena agen bekerja sesuai rancangan. Kedua laporan tidak memuat tanggapan dari kedua perusahaan. Paket berbahaya semacam ini bukan hal baru di npm: kami sebelumnya melaporkan worm npm testmetest yang menyusup ke 42 repositori GitHub.
Langkah yang disarankan
Peneliti dan dua laporan itu menyarankan pengembang berhenti menjalankan agen koding dari folder Unduhan, dan membatasi direktori kerja pada proyek yang relevan. OpenAI dan Anthropic sendiri menganjurkan hal serupa. Berkas AGENTS.md atau CLAUDE.md yang tidak ditulis sendiri sebaiknya dibaca dulu, termasuk di repositori yang baru disalin. Pengaturan agen juga perlu diperiksa untuk server atau alamat web yang tidak pernah ditambahkan, sementara persetujuan manual dan sandbox tetap dinyalakan.
Bila menemukan berkas yang tidak dikenal, peneliti menyarankan menganggap token login sudah bocor dan menggantinya. Komputer yang pernah memasang function-color perlu diperlakukan sebagai terkompromi.
Sumber: BleepingComputer dan Help Net Security. Gambar: BleepingComputer