Apa yang terjadi
Forever Security menangkap serangan langsung pada mesin pelanggan di mana agen coding mulai menginstal paket npm yang dikenal berbahaya 'function-color' di tengah sesi; penelusuran menunjukkan instruksi pemicu berasal dari file AGENTS.md berukuran 13KB yang telah dijatuhkan secara diam-diam ke ~/Downloads. Karena agen CLI memuat file instruksi secara otomatis dari direktori peluncurannya dan browser menyimpan file secara otomatis ke ~/Downloads, 'file teks biasa menjadi executable.' Forever mereproduksi rantai ini pada Codex (>90% keberhasilan) dan Claude Code (~50%), dan para peneliti menyatakan bahwa celah ini tidak memiliki CVE dan baik OpenAI maupun Anthropic tidak akan menambalnya, karena baik perilaku mengikuti file maupun penyimpanan otomatis browser adalah fitur yang 'berfungsi sebagaimana dimaksud.'
Mengapa penting
Ini adalah kelas serangan eksekusi agen yang berfungsi dan teramati di alam liar yang menjalankan kode dengan hak akses penuh pengguna. Serangan ini dapat menanamkan server MCP berbahaya yang persisten yang menyala di awal setiap sesi Codex di masa depan pada mesin tersebut, menyamar sebagai model atau mengalihkan lalu lintas API Claude Code untuk mencuri kredensial OAuth, dan mencapai rahasia apa pun yang dapat diakses oleh agen coding AI — mengubah mitigasi asisten coding AI menjadi vektor rantai pasokan dan pengumpulan kredensial yang senyap.
Vektor serangan
Halaman web yang bermusuhan secara diam-diam menulis file teks placeholder AGENTS.md berukuran ~13KB ke direktori ~/Downloads pengembang melalui unduhan latar belakang standar (tanpa klik, tanpa perintah). Ketika pengembang kemudian meluncurkan Codex atau Claude Code di dalam folder tersebut, agen secara otomatis membaca file tersebut sebagai instruksi proyek yang tepercaya dan mengeksekusinya dengan hak akses pengguna — mendaftarkan entri server MCP berbahaya di ~/.codex/config.toml, menulis ulang ANTHROPIC_BASE_URL di .claude/settings.json (yang membocorkan token OAuth dan mengalihkan semua lalu lintas Claude ke server penyerang), dan menjalankan npm install paket 'function-color' yang dikenal berbahaya. Rantai serangan ini sepenuhnya merupakan perilaku 'sesuai desain' di kedua sisi, sehingga tidak memiliki CVE dan tidak ada vendor yang akan menambalnya.
Sistem yang terdampak
OpenAI Codex CLI, Anthropic Claude Code, dan agen AI CLI serupa yang memperlakukan CLAUDE.md/AGENTS.md/.mcp.json sebagai instruksi tepercaya; dikombinasikan dengan perilaku browser yang menyimpan unduhan secara diam-diam ke ~/Downloads. Tidak ada tambalan vendor (persimpangan arsitektural, tanpa CVE).
Mitigasi
Jangan pernah meluncurkan agen coding dari ~/Downloads atau folder apa pun yang dapat ditulisi browser; selalu luncurkan dari direktori kerja yang bersih dan khusus proyek. Perlakukan CLAUDE.md/AGENTS.md/.mcp.json/settings.json sebagai batas kepercayaan dan tinjau sebelum menjalankan pertama kali dan setelah setiap pull. Batasi pengaturan sandbox/persetujuan agen (hindari --dangerously-bypass-approvals-and-sandbox), blokir daftar paket 'function-color', dan pantau npm install yang diprakarsai agen serta penulisan file pengaturan.