Blog Keamanan Siber
AGENTS.md Palsu di Downloads dan Cara Mengamankan Agen AI
Daftar isi· 7 bagian
Firma keamanan Forever Security menemukan file AGENTS.md palsu di folder Downloads milik seorang pelanggan. File instruksi itu menyuruh agen AI pemrograman memasang paket npm berbahaya. Dalam uji lanjutan, cara yang sama membuat OpenAI Codex menjalankan malware dan membuat Claude Code membocorkan token masuknya.
Temuan dari komputer pelanggan
AGENTS.md adalah file teks berformat Markdown yang berisi petunjuk proyek untuk agen pemrograman: alat yang dipakai, cara menjalankan pengujian, dan aturan penulisan kode. Agen seperti Codex membaca file ini dari folder kerjanya, lalu mengikuti isinya. Claude Code memakai file serupa bernama CLAUDE.md.
Dalam laporan yang terbit 22 Oktober 2026, peneliti Forever Security Gal Weizman dan Omer Samet menceritakan bagaimana perangkat lunak mereka menghentikan sebuah agen yang hendak memasang paket npm bernama function-color di komputer pelanggan. Perintah itu ternyata berasal dari AGENTS.md yang tersimpan di folder ~/Downloads. Isinya ditulis menyerupai catatan teknis biasa, sehingga tidak tampak mencurigakan bagi agen. Serangan dihentikan sebelum ada kode yang berjalan.
Paket function-color bukan paket baru. Checkmarx, dalam laporan 5 Oktober 2026, memasukkannya ke kampanye malware npm bernama MALFEX. Operator kampanye itu menerbitkan 12 paket, delapan di antaranya berbahaya, dengan total 40.767 unduhan per 1 Oktober 2026. Menurut The Hacker News, function-color menarik paket pengunduh function-flag yang kemudian mengambil dan menjalankan program berbahaya untuk Windows. Forever menyebut paket itu kini sudah dihapus dari npm.
Para peneliti belum dapat memastikan bagaimana file itu sampai ke folder Downloads pelanggan. Untuk menguji kemungkinannya, mereka membuat halaman web contoh yang menyimpan AGENTS.md ke folder Downloads tanpa klik dan tanpa permintaan izin.
Cara file instruksi membajak agen
Forever lalu menguji dua agen pemrograman populer. Hasilnya berbeda, tetapi keduanya dapat dibelokkan.
OpenAI Codex
Di mesin virtual yang terisolasi, peneliti menjalankan AGENTS.md asli milik penyerang. Codex menjalankan malware dalam lebih dari 90 persen percobaan. File itu membuat Codex mengubah ~/.codex/config.toml, konfigurasi yang berlaku untuk seluruh komputer, dengan menambahkan server MCP milik penyerang. Server MCP adalah layanan tambahan yang memberi agen alat baru. Karena konfigurasinya berlaku global, server itu ikut dimuat di setiap sesi dan setiap proyek berikutnya.
Untuk menembus batasan jaringan, muatan serangan menjalankan perintah codex exec dengan opsi --dangerously-bypass-approvals-and-sandbox. Menurut Forever, model AI-nya sendiri yang menuliskan opsi tersebut. Laporan itu mencatat lima lapis pengaman yang berhasil dilewati, termasuk pemeriksaan kepercayaan folder (trust gate) dan kotak pasir (sandbox) jaringan.
Claude Code
Claude Code lebih sulit dikelabui. Peneliti menyusun CLAUDE.md sendiri yang meminta agen menambahkan ANTHROPIC_BASE_URL ke file .claude/settings.json di proyek. Pengaturan itu mengalihkan lalu lintas API Claude Code ke server milik peneliti. Penulisan pengaturan ini disetujui sekitar separuh percobaan.
Begitu lalu lintas dialihkan, token OAuth, yaitu kunci masuk akun Claude, ikut terkirim ke server peneliti. Mereka memakai ulang token itu ke API Anthropic yang asli untuk menunjukkan bahwa akun dapat diambil alih. Eksekusi kode menyusul saat Claude Code dibuka berikutnya, atau sekitar satu dari lima kali dalam sesi yang sama. Forever juga mencatat bahwa subagen yang membaca file itu langsung menandainya sebagai serangan, sehingga isinya harus dibuat panjang dan datar seperti dokumen teknik biasa.
Mengapa folder Downloads berisiko
Menurut BleepingComputer, Chrome, Edge, dan Firefox menyimpan unduhan ke ~/Downloads secara bawaan dan hanya menampilkan notifikasi. Brave meminta persetujuan pengguna sebelum menyimpan. Artinya, halaman web yang dirancang khusus dapat menaruh file bernama AGENTS.md di folder itu tanpa disadari.
Masalahnya muncul ketika pengguna membuka agen AI di folder yang sama, misalnya untuk merapikan unduhan atau mengolah file yang baru diunduh. Data telemetri Forever menunjukkan sekitar separuh pelanggannya menjalankan agen pemrograman di dalam folder Downloads, dan sekitar seperempat sesi agen membuka peramban sungguhan.
Forever meringkas temuannya dengan kalimat “Markdown is the new executable.” File teks yang tampak tidak berbahaya kini dapat berperan seperti program, karena agen yang membacanya punya izin untuk menjalankan perintah, memasang paket, dan mengubah pengaturan.
Para peneliti juga menyatakan tidak ada yang perlu ditambal oleh OpenAI maupun Anthropic, karena agen membaca file instruksi di folder kerjanya memang sesuai rancangan. Mereka membandingkannya dengan halaman phishing: peramban bekerja normal, sedangkan serangannya ada di isi halaman. Laporan BleepingComputer tidak memuat tanggapan dari OpenAI maupun Anthropic. Kedua vendor itu, menurut BleepingComputer, menyarankan agen dijalankan dari folder utama proyek yang sedang dikerjakan.
Pola ini mirip dengan serangan ClickFix yang menipu pengguna agar menjalankan perintah sendiri, seperti yang dibahas dalam artikel peringatan ClickFix di Chrome. Bedanya, kali ini yang ditipu adalah agen AI yang bekerja atas nama pengguna.
Apa artinya bagi tim pengembang?
Agen pemrograman makin sering dipakai di software house, startup, dan tim TI internal di bank, rumah sakit, maupun instansi. Anthropic sendiri, seperti dibahas dalam artikel tentang Scion, mencatat lebih dari 30.000 penggabungan kode per hari pada September 2026, seiring makin banyaknya kode yang ditulis agen. Setiap agen yang punya akses ke terminal juga mewarisi hak akses pengembangnya: kunci API, token cloud, dan akses ke repositori.
Langkah yang dapat dilakukan sekarang, berdasarkan saran Forever Security:
- Jangan membuka agen di folder Downloads. Hindari juga folder yang terlalu luas seperti folder pengguna. Jalankan agen dari folder utama proyek yang memang sedang dikerjakan.
- Baca file instruksi yang tidak Anda tulis. Periksa AGENTS.md, CLAUDE.md, dan file sejenis sebelum agen mengikutinya, termasuk di repositori yang baru di-clone.
- Periksa konfigurasi agen. Cari blok
[mcp_servers.*]yang tidak dikenal atauchatgpt_base_urlyang berubah di~/.codex/config.toml. Di proyek, periksa.claude/settings.jsonuntukANTHROPIC_BASE_URLatau alamat API lain yang tidak pernah Anda atur. - Biarkan persetujuan dan sandbox tetap aktif. Waspadai instruksi yang meminta agen mematikan keduanya.
- Ganti kredensial bila curiga. Jika menemukan file yang ditanam atau paket function-color pernah terpasang, anggap token sudah bocor dan buat yang baru.
Untuk organisasi, langkah tersebut perlu dijadikan kebijakan tertulis yang berlaku untuk semua anggota tim. Tim keamanan dapat menambahkan pemeriksaan file instruksi agen dan konfigurasi MCP ke daftar audit perangkat pengembang. Pemantauan paket yang dipasang di mesin pengembang juga membantu mendeteksi paket berbahaya sebelum masuk ke proyek. Kebijakan seperti ini dapat disusun bersama layanan keamanan siber atau dimasukkan ke proses kerja tim pengembangan aplikasi web.
Pertanyaan yang sering muncul
Apakah Codex dan Claude Code punya celah keamanan?
Forever Security menyatakan tidak ada celah yang perlu ditambal. Agen membaca file instruksi di folder kerjanya sesuai rancangan. Risikonya muncul dari kombinasi peramban yang menyimpan file secara otomatis dan agen yang dijalankan di folder unduhan.
Apakah agen AI lain juga terdampak?
Forever hanya menguji Codex dan Claude Code, tetapi menyebut masalah ini berlaku untuk agen pemrograman secara umum. Agen apa pun yang membaca file instruksi dari folder kerjanya dan punya izin menjalankan perintah perlu diperlakukan dengan kehati-hatian yang sama.
Bagaimana cara mengetahui apakah komputer saya sudah terdampak?
Periksa apakah ada AGENTS.md atau CLAUDE.md di folder Downloads yang tidak Anda buat, lalu periksa ~/.codex/config.toml dan .claude/settings.json untuk alamat server yang asing. Keberadaan paket function-color di daftar paket terpasang juga menandakan komputer kemungkinan sudah disusupi.
Penutup
Temuan Forever Security menunjukkan bahwa file teks biasa kini perlu diperlakukan seperti program ketika ada agen AI yang membacanya. Bila tim Anda mulai memakai agen pemrograman dan ingin menyusun aturan pemakaian yang aman, tim Merakit siap membantu meninjau alur kerja dan konfigurasinya.
Sumber
- Forever Security: Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web (22 Oktober 2026)
- BleepingComputer: AI coding agents hijacked using AGENTS.md file in Downloads folder (25 Oktober 2026)
- The Hacker News: Malicious File in Downloads Folder Tries to Trick AI Coding Agent Into Installing Malware (26 Oktober 2026)
- Checkmarx: MALFEX npm malware campaign, three payloads and an adversary that signs their work (5 Oktober 2026)
