Agen Koding AI Bisa Disusupi Lewat Folder Unduhan

JAKARTA – Berkas teks biasa di folder Unduhan ternyata berpotensi menjadi pintu masuk serangan terhadap agen koding berbasis kecerdasan buatan (AI). Peneliti keamanan memperingatkan bahwa berkas instruksi berbahaya dapat mendorong agen menjalankan perintah, mengubah konfigurasi, hingga membocorkan token autentikasi pengguna.

Temuan yang diungkap perusahaan keamanan Forever Security ini menyoroti risiko baru dalam penggunaan agen AI untuk pengembangan perangkat lunak. Berbeda dari serangan yang mengeksploitasi kerentanan kode secara langsung, metode ini memanfaatkan kebiasaan agen mengikuti instruksi yang ditemukan di lingkungan kerjanya.

Dalam kasus yang diteliti, sebuah berkas bernama AGENTS.md ditemukan di folder Unduhan milik seorang pelanggan Forever Security. Berkas tersebut menginstruksikan agen untuk memasang paket npm bernama function-color, yang menurut peneliti berkaitan dengan kampanye malware MALFEX.

Perangkat lunak keamanan Forever dilaporkan menghentikan aktivitas agen sebelum kode berbahaya sempat dijalankan. Meski demikian, eksperimen peneliti menunjukkan bahwa berkas instruksi yang tampak biasa dapat memengaruhi perilaku sejumlah agen koding populer.

Berkas Instruksi Bisa Menjadi Alat Serangan

AGENTS.md merupakan berkas teks yang digunakan untuk memberikan petunjuk kepada agen koding mengenai aturan dan kebutuhan suatu proyek. Instruksinya dapat mencakup cara menjalankan pengujian, menggunakan perangkat pengembangan, atau mengikuti konvensi penulisan kode.

Masalah muncul ketika agen memperlakukan instruksi tersebut sebagai sumber arahan yang dapat dipercaya tanpa memeriksa asal-usul dan keamanannya secara memadai. Penyerang dapat menyisipkan perintah yang tampak seperti dokumentasi teknis, tetapi sebenarnya mengarahkan agen melakukan tindakan berisiko.

Peneliti Gal Weizman dan Omer Samet menjelaskan bahwa berkas instruksi semacam ini dapat memengaruhi tindakan agen. Bergantung pada kemampuan dan izin yang tersedia, agen bisa menjalankan perintah, memasang paket, atau mengubah pengaturan perangkat lunak.

Risikonya semakin besar ketika agen memiliki akses ke direktori pengguna, konfigurasi pengembangan, atau kredensial autentikasi. Dalam kondisi tersebut, instruksi berbahaya berpotensi menimbulkan dampak yang melampaui proyek yang sedang dikerjakan.

Karena itu, berkas instruksi tidak seharusnya dianggap aman hanya karena menggunakan format teks biasa. Isi, sumber, serta konteks penggunaannya tetap perlu diperiksa sebelum agen diberi izin untuk menindaklanjutinya.

Mengapa Folder Unduhan Menjadi Sasaran?

Folder Unduhan menjadi perhatian karena peramban seperti Chrome, Edge, dan Firefox umumnya menyimpan berkas hasil unduhan ke lokasi tersebut secara otomatis. Peneliti menyebut halaman web dapat memicu pengunduhan berkas bernama AGENTS.md tanpa pengguna harus memilih lokasi penyimpanan secara manual.

Hal ini menciptakan jalur serangan yang tidak selalu memerlukan tindakan tambahan setelah pengguna mengunjungi halaman tertentu. Jika berkas tersebut kemudian dibaca oleh agen yang dijalankan dari folder Unduhan, instruksi di dalamnya berpotensi memengaruhi perilaku agen.

Menurut Forever Security, kebiasaan menjalankan agen langsung dari folder Unduhan ditemukan pada sebagian pelanggannya. Agen yang disebut dalam pengamatan tersebut mencakup Claude Code, Codex, dan Cursor CLI.

Perusahaan itu melaporkan bahwa Claude Code telah memulai lebih dari 1.300 sesi dari lokasi tersebut dalam data yang diamatinya. Angka itu menunjukkan bahwa penggunaan folder Unduhan sebagai direktori kerja bukan sekadar skenario hipotetis dalam lingkungan pelanggan perusahaan tersebut.

Meski begitu, jumlah sesi tersebut tidak berarti seluruh pengguna mengalami serangan. Data itu lebih tepat dipahami sebagai indikasi kebiasaan penggunaan yang dapat memperbesar paparan risiko apabila folder tersebut berisi instruksi berbahaya.

Eksperimen Menunjukkan Risiko pada Codex dan Claude Code

Dalam pengujian yang dilaporkan Forever Security, Codex menjalankan simulasi serangan dalam lebih dari 90 persen percobaan. Peneliti menyebut instruksi berbahaya dapat mengubah konfigurasi di ~/.codex/config.toml, yang berpotensi memengaruhi sesi Codex berikutnya di komputer yang sama.

Jika perubahan konfigurasi tersebut membuat server penyerang dimuat secara otomatis, dampaknya dapat meluas ke proyek lain. Artinya, risiko tidak selalu berhenti pada folder tempat berkas instruksi pertama kali ditemukan.

Pada Claude Code, peneliti menguji pendekatan berbeda melalui berkas CLAUDE.md. Instruksi tersebut meminta agen mengalihkan lalu lintas API ke server yang dikendalikan penyerang, sehingga berpotensi mengekspos token autentikasi pengguna.

Forever Security melaporkan bahwa pendekatan tersebut berhasil dalam sekitar separuh percobaan pengujian. Token yang bocor berpotensi disalahgunakan untuk mengakses akun, bergantung pada jenis token, masa berlaku, cakupan izin, dan mekanisme perlindungan layanan terkait.

Angka keberhasilan tersebut harus dipahami sebagai hasil eksperimen dalam kondisi pengujian tertentu, bukan tingkat keberhasilan serangan di seluruh lingkungan pengguna. Kondisi sistem, versi perangkat lunak, konfigurasi izin, serta perilaku model dapat memengaruhi hasilnya.

Peneliti juga menyebut sebagian besar pengujian menggunakan perintah pengganti yang hanya membuka aplikasi kalkulator. Pendekatan ini memungkinkan perilaku agen diamati tanpa selalu menjalankan muatan berbahaya yang sesungguhnya.

Instruksi Berbahaya Bisa Menyamar sebagai Dokumentasi

Claude Code dilaporkan memiliki sejumlah mekanisme yang membuatnya lebih sulit diarahkan untuk melakukan tindakan mencurigakan. Agen dapat meminta persetujuan pengguna sebelum mengubah pengaturan tertentu dan terkadang menolak instruksi yang terlihat berbahaya.

Namun, peneliti menyatakan bahwa instruksi yang dikemas sebagai dokumentasi teknis masih dapat memengaruhi keputusan agen. Dalam eksperimen mereka, pendekatan tersebut tetap berhasil pada sekitar separuh percobaan.

Temuan ini menyoroti persoalan mendasar dalam sistem AI berbasis instruksi. Agen perlu membaca dan mengikuti dokumentasi agar dapat bekerja efektif, tetapi kemampuan tersebut juga dapat dimanfaatkan oleh pihak yang menyisipkan arahan berbahaya.

Persoalan serupa dikenal dalam keamanan AI sebagai risiko injeksi instruksi atau prompt injection. Dalam skenario ini, konten yang seharusnya diperlakukan sebagai data atau referensi justru memengaruhi keputusan sistem AI.

Perlindungan yang efektif karena itu tidak cukup hanya mengandalkan kemampuan model mengenali instruksi mencurigakan. Sistem juga perlu membatasi izin, memisahkan sumber instruksi yang tepercaya dari konten eksternal, serta mengendalikan tindakan sensitif melalui mekanisme teknis.

Apakah OpenAI dan Anthropic Perlu Menambal Celah Ini?

Forever Security berpendapat bahwa masalah tersebut tidak selalu dapat diselesaikan melalui tambalan pada model atau penyedia agen AI. Menurut perusahaan itu, agen yang mengikuti instruksi dari berkas dalam lingkungan kerjanya dapat saja menjalankan fungsi yang memang dirancang untuknya.

Forever mengibaratkan situasi tersebut dengan peramban yang menampilkan halaman phishing. Peramban menjalankan tugasnya untuk menampilkan konten, sedangkan bahaya berasal dari konten yang dibuat penyerang.

Namun, analogi tersebut tidak berarti penyedia agen AI bebas dari tanggung jawab keamanan. Desain sistem, tingkat kepercayaan terhadap berkas, pembatasan akses, serta mekanisme persetujuan tetap dapat memengaruhi seberapa mudah sebuah instruksi berbahaya dieksekusi.

Karena itu, mitigasi perlu dilakukan pada beberapa lapisan sekaligus. Pengembang agen dapat memperkuat pembatasan tindakan berisiko, sementara pengguna dan administrator perlu memastikan bahwa agen tidak memiliki akses berlebihan terhadap sistem maupun kredensial penting.

Peneliti juga mengakui belum ada bukti bahwa metode tersebut benar-benar digunakan penyerang terhadap pelanggan yang mengalami insiden awal. Mereka tidak memastikan bagaimana berkas instruksi itu masuk ke folder Unduhan pelanggan tersebut.

Dengan demikian, temuan ini menunjukkan kemungkinan jalur serangan dan hasil pengujian, bukan bukti bahwa semua agen koding telah dieksploitasi secara aktif melalui metode yang sama.

Cara Melindungi Agen Koding dari Serangan

Forever Security menyarankan pengguna untuk tidak menjalankan agen koding langsung dari folder Unduhan. Sebaiknya, pengguna membuat direktori kerja khusus untuk setiap proyek dan hanya menempatkan berkas yang diperlukan di dalamnya.

Pengguna juga perlu memeriksa AGENTS.md, CLAUDE.md, serta berkas instruksi serupa sebelum menjalankan agen dari proyek yang baru diunduh atau disalin. Pemeriksaan tetap diperlukan meskipun berkas tersebut terlihat seperti dokumentasi pengembangan biasa.

Selain itu, izin persetujuan pengguna dan fitur sandbox sebaiknya tetap diaktifkan. Sandbox dapat membantu membatasi akses agen ke sistem dan data di luar lingkungan kerja yang telah ditentukan, meskipun efektivitasnya bergantung pada konfigurasi dan implementasi.

Agen koding juga sebaiknya dijalankan dengan hak akses minimum. Hindari memberikan akses yang tidak diperlukan ke direktori sensitif, kunci API, token autentikasi, maupun konfigurasi sistem.

Jika menemukan perubahan konfigurasi atau aktivitas jaringan yang mencurigakan, hentikan agen dan periksa perubahan yang terjadi. Apabila terdapat indikasi kuat bahwa token telah terekspos, cabut atau rotasi token tersebut, periksa aktivitas akun, dan tinjau kemungkinan penyalahgunaan akses.

Langkah-langkah tersebut tidak menghilangkan seluruh risiko, tetapi dapat mengurangi dampak ketika agen menerima instruksi yang tidak tepercaya.

Keamanan Agen AI Perlu Mengawasi Perilaku Sistem

Temuan Forever Security memperlihatkan bahwa keamanan agen koding tidak hanya berkaitan dengan kualitas kode yang dihasilkan. Cara agen membaca instruksi, mengakses konfigurasi, menjalankan perintah, dan menangani kredensial juga menjadi bagian penting dari permukaan serangan.

Selama agen AI semakin banyak digunakan untuk mengotomatisasi pekerjaan pengembangan perangkat lunak, pembatasan izin dan pengawasan tindakan perlu menjadi bagian dari desain sistem. Pengguna tidak seharusnya menjadi satu-satunya lapisan pertahanan terhadap instruksi berbahaya.

Pada akhirnya, agen koding yang aman harus mampu bekerja dengan dokumentasi tanpa memperlakukan setiap instruksi sebagai sesuatu yang otomatis tepercaya. Kombinasi validasi sumber, izin minimum, sandbox, persetujuan untuk tindakan sensitif, dan pemantauan aktivitas dapat membantu memperkuat perlindungan.

Seperti ditekankan Forever Security, pemantauan perlu diarahkan pada perilaku agen, bukan hanya pada tindakan pengguna. Pendekatan tersebut menjadi semakin penting ketika sistem AI memperoleh kemampuan untuk menjalankan perintah dan mengakses sumber daya nyata di komputer.