下载文件夹里的一份说明文件，能让编码 agent 自己开门

Markdown 文件里没有一行可执行代码，却能让一个编码 agent 改掉全局配置、把 API 流量转到别人服务器上。安全行业刚确认了这条路走得通。

一、发生了什么

安全公司 Forever Security 在 10 月 26 日前发布报告：他们在一台客户机器的下载目录里发现一份恶意 AGENTS.md 文件，内容指示 Codex 安装一个名为 function-color 的恶意 npm 包。安装在执行前被拦下，恶意软件没能运行。文件怎么进到下载目录的，研究人员没查清，但他们验证了另一件事：一个普通网页就能触发这样的下载，不需要用户再点一次确认。

这家公司在自己的测试里复现了更完整的攻击链。Codex 在九成以上的测试里照做了恶意指令，被改过的机器级 MCP 配置还会在后续会话里继续生效，哪怕开发者换了目录。对 Claude Code 的演示则是用一份恶意 CLAUDE.md 把 agent 的 API 流量重定向到研究者控制的服务器，认证令牌随之暴露，约一半测试成功，研究者还重放了一个截获的 OAuth 令牌。IDC 的分析人士认为这是可信的早期预警，但成功率未经独立验证。

二、跟你有什么关系

写代码的人：你的 agent 会读取工作目录里的指令文件，而下载目录、克隆的仓库、共享网盘都可能藏这种文件。agent 拿着你的登录态，等于替别人开了门。更麻烦的是，Codex 的机器级配置被改过后，你换个目录它也带着病根。

团队管理者：AGENTS.md、CLAUDE.md 这类文件该像源代码一样管理，谁改的、改了什么，要有 review 记录。

安全团队：Omdia 的调查显示四成受访者对自家 agent 防护没把握，这份报告给了具体的排查方向。

三、怎么用

1. 不要让编码 agent 在下载目录里启动；开辟专用工作区，跟浏览器下载物隔离。
2. 关掉类似「跳过审批和沙箱」这类高权限开关，至少生产机绝不打开。
3. 安装包走内部源或扫描代理，npm 包不直接从公网拉。
4. 机器上放着生产凭据的，换到隔离开发环境，令牌用短时效的。
5. 定期检查 agent 的全局配置有没有被动过，改动记录对不上就当异常处理。

四、三个别信的说法

「Markdown 不是程序，看看没事」。 攻击的原理恰恰是 agent 把这些文件当指令读。文件本身无害，解释它的那个系统有权有凭证，组合起来就是攻击链。

「我只在可信目录里用 agent，没事」。 Codex 要求目录被信任才中招，但攻击者可以诱导你把恶意文件放进受信目录，比如伪装成项目说明。信任标记挡不住社工。

「换个更聪明的模型就防住了」。 这是架构问题：工具把「听指令」和「给权限」当成了一件事。HFS 的研究者说得直接，厂商必须把两者拆开，项目文件里的指令不能自行修改安全设置。

五、一句话结论

以前是别运行来路不明的代码，现在是别让 agent 读了来路不明的说明——入口变了，防线得跟着挪。指令文件管它想做什么，权限只该由你说了算。

信息来源

• InfoWorld：恶意下载如何骗过 AI 编码 agent（2026-10-26）

功能与价格以官方公告为准。本文写于 2026 年 10 月 27 日。