下载文件夹里的恶意 AGENTS.md，试图让 AI 编程代理安装木马

据 The Hacker News 10月26日报道，安全公司 Forever Security 在一名真实客户的电脑上发现了一个放在下载文件夹（~/Downloads）里的恶意 AGENTS.md 文件，它试图让该开发者的 AI 编程代理安装一个已知的恶意 npm 包。公司称已在任何代码执行之前拦截了这次尝试，但无法确定该文件是如何进入这个文件夹的。

AGENTS.md 是一种纯文本指令文件，OpenAI 的 Codex 等编程代理在某个文件夹中启动时会读取它，并把它当作指令执行。这份文件被伪装成普通的工程笔记，其中一段要求代理把一台服务器加入自身配置，并从 npm 安装名为 function-color 的包。

function-color 属于另一批研究人员已经记录过的恶意活动：它会拉取名为 function-flag 的下载器，再由后者获取并运行 Windows 载荷。CloudSEK 与 Checkmarx 在分析该活动之后将其命名为 MALFEX。

Forever 认为，这一手法之所以成立，是把两件单独看都无害的事情拼在了一起：代理天生信任并服从它所打开文件夹里的指令文件；而网页可以在没有点击、没有权限提示的情况下，自行往下载文件夹写入文件，并决定文件名与内容。两者叠加，网页就能把“命令”投放到代理视为可信的目录中。研究人员并未确认客户遭遇的正是这条路径，但他们自己搭了一个概念验证页面：访问即会静默把一个 AGENTS.md 下载到下载文件夹。

随后该公司在 Codex 和 Claude Code 上复现了攻击，以说明这不是某一家产品独有的缺陷。针对 Codex，它在隔离虚拟机内运行了真实的攻击文件：文件以例行项目配置为名，要求 Codex 在 ~/.codex/config.toml 中注册一台服务器，并执行安装该包的命令。由于该配置对该机器上所有 Codex 会话生效，此后任何文件夹都会加载攻击者的服务器；Forever 称 Codex 在超过 90% 的尝试中执行了恶意代码。

针对 Claude Code，可行的攻击方式不同，成功率也更低。一个被放置的 CLAUDE.md 伪装成内部网关配置，试图让 Claude 把 ANTHROPIC_BASE_URL 写入项目设置文件，将 API 流量指向 Forever 控制的服务器。仅这一处改动就会泄露该会话的登录令牌，等同于账号被接管；同时该服务器还能冒充模型返回指令，由代理去执行。Claude 对这类写入需要人工批准，且常常拒绝看起来可疑的操作，但在长篇工程文档的包装下，大约有一半概率获得批准。

Forever 认为，OpenAI 和 Anthropic 并没有可以直接修补的东西，因为代理按照其所在文件夹中的指令文件行事，本就是它被设计出来的行为。公司把这比作浏览器渲染钓鱼页面：浏览器按设计工作，攻击藏在页面里。

其建议很务实：不要在 ~/Downloads 里启动 Codex、Claude Code 或任何代理，因为这是网页可以自行写入的唯一目录；留意并非自己编写的 AGENTS.md 或 CLAUDE.md；检查 ~/.codex/config.toml 里是否出现了自己没加过的服务器配置或被改动的 base URL，以及项目的 .claude/settings.json 中是否出现自己没设置的 ANTHROPIC_BASE_URL；保持审批提示和沙箱开启；一旦发现被植入的文件，就假定登录令牌已经泄露并立即轮换。

Forever 自身的遥测数据让风险更具体：约一半客户会在下载文件夹中运行编程代理，约四分之一的代理会话会打开浏览器。也就是说，代理恰好在网页可写入的位置启动，而且很多时候是代理自己在浏览，文件到达时没有人盯着。