Telset.id – Peneliti keamanan Forever Security mengungkap bahwa AI agent dapat dibajak hanya melalui file markdown AGENTS.md yang diletakkan di folder Downloads. Dalam laporan mereka, file tersebut menyamar sebagai catatan teknis biasa, tetapi memerintahkan AI agent untuk menyebarkan malware dan mencuri session token. Temuan ini menegaskan bahwa markdown kini berfungsi sebagai executable baru yang bisa memerintahkan agent menjalankan aksi berbahaya.
Menurut Forever Security, serangan tersebut terlihat terjadi di dunia nyata pada mesin pelanggan sungguhan. File AGENTS.md ditemukan di folder ~/Downloads, dan peneliti menghentikannya sebelum menimbulkan kerusakan berarti. Mereka belum dapat memastikan bagaimana file itu masuk ke folder tersebut dan menduga sebuah browser mengambilnya dari situs web yang kemungkinan sudah dikompromikan sebelumnya.
Serangan ini bertumpu pada tiga hal. Pertama, situs web dapat mengunduh sejumlah format file tanpa sepengetahuan atau persetujuan pengguna. Kedua, file .md tidak dianggap berbahaya secara default. Ketiga, AI agent akan bertindak berdasarkan apa pun yang tertulis di file AGENTS.md, terlepas dari isinya. Kombinasi ketiganya membuat web bisa menanam perintah yang kemudian dijalankan oleh agent milik pengguna sendiri.
Codex dan Claude Code Ikut Terjebak
Dalam analisisnya, peneliti mencoba mereproduksi serangan menggunakan berbagai agent dan berhasil pada OpenAI Codex serta Claude Code. Forever Security menegaskan ini bukan bug, sehingga tidak ada yang bisa ditambal oleh perusahaan terkait. AI agent memang dirancang mengikuti file AGENTS.md secara harfiah, sama seperti browser yang menampilkan halaman phishing tetap bekerja sesuai desainnya.
Persoalannya kemudian berpindah pada fakta bahwa AI agent dapat membaca folder yang bisa ditulisi file oleh browser dengan mudah. Forever Security menyebut vektor serangan ini tetap terbuka. Pertahanan yang dibangun dengan asumsi ada manusia di depan layar menjadi patah ketika agent menggantikan posisi manusia tersebut.
Pada kasus ini, penyerang berupaya membuat AI agent memasang paket npm berbahaya bernama ‘function-color’. Paket tersebut disebut sebagai malware yang dibangun dua tahun lalu dalam kampanye terpisah dan luput dari perhatian hingga sekarang. Implikasinya, AI agent dapat diarahkan mengunduh hampir apa pun dari internet, termasuk ransomware, infostealer, dan alat remote monitoring and management (RMM).
Baca Juga:
Cara Menahan Agent yang Mudah Percaya
Pada dasarnya, kasus ini merupakan variasi dari serangan prompt injection lama. Untuk bertahan, pengguna diminta memperlakukan folder ~/Downloads sebagai wilayah yang tidak aman bagi agent. Jangan menjalankan Codex, Claude Code, atau agent apa pun di folder tersebut, karena di situlah web dapat menanam file.
Pengguna juga perlu memeriksa file instruksi yang tidak mereka tulis sendiri, terutama di folder Downloads atau pada repositori yang di-clone. Forever Security menyarankan untuk membaca file tersebut sebelum membiarkan agent mendekatinya. Langkah lain adalah memeriksa konfigurasi agent untuk blok atau perintah yang berubah tanpa sepengetahuan pengguna. Pada file .claude/settings.json sebuah proyek, pengguna sebaiknya mencari ANTHROPIC_BASE_URL, proxy, atau endpoint API lain yang tidak mereka set sendiri.
Forever Security menutup laporannya dengan imbauan agar pengguna tetap mengaktifkan approval gates dan sandbox, serta mencurigai segala instruksi yang meminta agent melewati keduanya. Jika menemukan indikasi kebocoran, pengguna diminta melakukan rotasi dan menganggap token telah bocor. Menurut mereka, token yang dicuri adalah sesi aktif, bukan sekadar satu permintaan yang tertangkap. Dalam konteks yang lebih luas, kejadian ini memperlihatkan bahwa AI agent tidak serta-merta jahat, tetapi memang mudah percaya, dan sejauh ini hal itu menjadi liabilitas keamanan yang serius. Sebagai perbandingan, insiden lain menunjukkan bagaimana 1Password untuk Agents mencoba menambah lapisan kontrol akses, sementara Rivian Siapkan AI Agents memperlihatkan adopsi agent yang terus meluas ke perangkat sehari-hari.
Bagi pengguna yang menjalankan agent di lingkungan kerja, temuan ini menuntut perubahan kebiasaan sederhana namun mendasar: memperlakukan folder unduhan sebagai sumber yang tidak dipercaya dan memeriksa setiap file instruksi sebelum agent membaca dan mengeksekusinya.
Komentar
Belum ada komentar.