File Markdown Berbahaya Bisa Membajak AI Agent

File Markdown Berbahaya Bisa Membajak AI Agent – Penggunaan AI coding agent semakin memudahkan pengembang dalam menulis kode, menjalankan pengujian, dan mengelola proyek perangkat lunak.

Namun, kemampuan agen untuk membaca file serta menjalankan perintah juga membuka peluang penyalahgunaan ketika agen mengikuti instruksi yang sengaja dibuat untuk tujuan berbahaya.

Peneliti keamanan menemukan kasus ketika sebuah AI coding agent mencoba memasang paket npm berbahaya bernama function-color di komputer pelanggan. Penyelidikan mengarah pada file AGENTS.md yang ditemukan di folder ~/Downloads, yang juga digunakan sebagai direktori kerja agen tersebut.

AGENTS.md merupakan file teks yang berisi petunjuk bagi AI coding agent, misalnya mengenai perangkat yang harus digunakan, cara menjalankan pengujian, dan aturan penulisan kode.

File semacam ini bukan program yang langsung berjalan saat dibuka. Namun, jika agen membaca dan mengikuti instruksi di dalamnya, konten berbahaya dapat mendorong agen menjalankan perintah atau memasang perangkat lunak yang tidak tepercaya.

Dalam pengujian, peneliti mereproduksi serangan terhadap OpenAI Codex dan mendemonstrasikan teknik terkait terhadap Claude Code.

Temuan ini menunjukkan bahwa file instruksi yang tampak seperti dokumen biasa dapat menjadi sarana untuk memengaruhi tindakan agen, terutama ketika agen memiliki izin untuk mengakses sistem atau menjalankan perintah.

Bagaimana Serangan Ini Bekerja?

Serangan memanfaatkan gabungan perilaku peramban dan AI coding agent. File berbahaya dapat diunduh ke komputer, kemudian dibaca ketika pengguna menjalankan agen dari direktori yang memuat file tersebut.

Folder Downloads menjadi perhatian karena biasanya menampung berbagai file dari internet, termasuk dokumen yang belum diperiksa. Dalam kondisi tertentu, halaman web dapat memicu pengunduhan file tanpa meminta pengguna menentukan lokasi penyimpanan.

Namun, perilaku ini bergantung pada peramban, pengaturan, dan mekanisme pengunduhannya; notifikasi unduhan juga dapat muncul.

Rantai serangannya secara umum berlangsung sebagai berikut:

File instruksi berbahaya masuk ke komputer. File seperti AGENTS.md dapat tersimpan di folder unduhan melalui proses pengunduhan dari situs web atau cara lain.
Pengguna menjalankan AI coding agent dari direktori tersebut. Agen yang memuat instruksi sesuai konteks kerjanya dapat membaca file yang telah disiapkan penyerang.
Agen mengikuti instruksi berbahaya. Instruksi dapat mengarahkan agen untuk menjalankan perintah, memasang paket npm tertentu, atau mengubah konfigurasi.
Dampak bergantung pada izin agen. Jika agen memiliki akses yang memadai, tindakannya dapat menyebabkan eksekusi kode yang tidak diinginkan atau membuka jalan bagi pencurian kredensial.

Dengan demikian, file Markdown tidak harus memiliki kemampuan eksekusi sendiri untuk menjadi bagian dari serangan. Risiko muncul ketika AI coding agent memperlakukan isinya sebagai instruksi yang layak dijalankan.

Pengujian Memperlihatkan Potensi Penyalahgunaan

Dalam pengujian terhadap Codex, peneliti menggunakan proof of concept (PoC) dengan muatan yang tidak berbahaya, yaitu membuka aplikasi kalkulator. Percobaan tersebut dilaporkan berhasil sekitar 90% dari pengujian yang dilakukan.

Pada pengujian terpisah terhadap Claude Code, peneliti menggunakan file CLAUDE.md untuk mengarahkan lalu lintas API agen ke server yang mereka kendalikan. Menurut laporan tersebut, teknik ini dapat mengekspos token OAuth agen.

Token tersebut berpotensi disalahgunakan untuk menyamar sebagai pihak yang memiliki akses, termasuk mengirimkan instruksi lanjutan yang memicu eksekusi kode. Rangkaian serangan ini dilaporkan berhasil dalam sekitar 50% pengujian.

Angka tersebut merupakan hasil pengujian dalam kondisi yang dibuat peneliti, bukan ukuran tingkat keberhasilan serangan di seluruh komputer pengguna. Meski demikian, temuan ini menegaskan pentingnya membatasi akses dan memeriksa instruksi yang dibaca agen.

Langkah untuk Mengurangi Risiko

Pengguna dan organisasi yang memanfaatkan AI coding agent perlu memperlakukan file instruksi sebagai bagian dari permukaan serangan, bukan otomatis sebagai dokumen tepercaya.

Berikut beberapa langkah pencegahan yang dapat diterapkan:

Hindari menjalankan agen dari folder Downloads. Gunakan direktori proyek yang memang menjadi sasaran pekerjaan. Folder unduhan dapat berisi file dari sumber yang belum diverifikasi.
Periksa file instruksi sebelum digunakan. Tinjau AGENTS.md, CLAUDE.md, dan file sejenis yang tidak dikenal. Waspadai perintah untuk memasang paket, mengakses kredensial, mengirim data ke server eksternal, atau mengubah konfigurasi tanpa alasan yang jelas.
Batasi cakupan direktori kerja. Jalankan agen dari direktori utama proyek yang relevan, bukan dari folder induk yang terlalu luas atau direktori home. Dengan begitu, konteks dan akses kerja agen dapat dibatasi sesuai kebutuhan.
Pertahankan mekanisme persetujuan dan sandbox. Jangan menonaktifkan perlindungan hanya agar agen bekerja lebih cepat. Tinjau permintaan untuk menjalankan perintah atau mengakses sumber daya sensitif sebelum menyetujuinya.
Batasi akses terhadap token dan kredensial. Hindari menempatkan token OAuth, kunci API, kata sandi, atau informasi rahasia di lokasi yang dapat dibaca agen tanpa kebutuhan. Cabut dan ganti kredensial jika diduga telah terekspos.
Uji kode yang tidak tepercaya di lingkungan terisolasi. Gunakan lingkungan pengujian terpisah agar dampak dari perintah atau paket berbahaya tidak langsung menjalar ke sistem utama.

Risiko Keamanan

Kasus ini memperlihatkan bahwa risiko keamanan AI tidak hanya berasal dari model atau kode yang dijalankannya. File teks yang berisi instruksi juga dapat menjadi perantara serangan apabila agen memercayai dan menjalankannya tanpa pemeriksaan yang memadai.

AI coding agent sebaiknya diperlakukan seperti alat yang memiliki akses ke sistem, bukan sekadar asisten percakapan. Menentukan direktori kerja dengan tepat, memeriksa file instruksi, membatasi izin, dan mempertahankan perlindungan eksekusi merupakan langkah penting untuk mengurangi risiko penyalahgunaan.

Baca artikel lainnya: