下载文件夹里的一份 AGENTS.md，就能让编程 Agent 去装恶意包
安全公司 Forever Security 在真实客户机器上拦下一次攻击：放在 ~/Downloads 的 AGENTS.md 诱导 Codex 改全局配置并安装恶意 npm 包；复现时 Codex 九成以上中招，Claude Code 也会受骗。
编程 Agent 启动时会把当前目录里的 AGENTS.md、CLAUDE.md 当成你的指示来执行。这次被曝光的攻击，就是利用了这一点。
发生了什么
- 安全公司 Forever Security 在一台客户电脑上拦截到 Codex 正要安装 npm 包
function-color。这个包属于研究人员此前披露的恶意软件投放活动。 - 安装指令来自用户
~/Downloads里一份约 13KB、伪装成「工程规范」的 AGENTS.md，而 Agent 恰好就在下载文件夹里启动。文件怎么进来的目前仍不清楚。 - 研究人员指出一个危险组合：网页可以不经点击就把任意文件存进下载文件夹，而 Agent 又默认服从目录里的说明文件。
为什么麻烦
在复现中，这份文件让 Codex 往用户级的 ~/.codex/config.toml 里加了一个 MCP 服务器，之后在任何目录开 Codex 都会加载它；Codex 在九成以上的测试里执行了恶意安装。Claude Code 的测试中也约有一半会被诱导泄露登录令牌。
怎么防
- 不要在下载文件夹里启动任何编程 Agent，把需要的文件挪到自己建的项目目录再跑。
- 不认识的 AGENTS.md / CLAUDE.md 先读再用，刚克隆的仓库也一样。
- 检查 Agent 配置里有没有你没加过的服务器或被改过的 API 地址。
- 审批提示和沙箱保持开启，对「让你关掉审批」的说明保持警惕；发现可疑文件就当令牌已泄露，及时轮换。
对用 Bot、Skill 模板的人也是同一个提醒：模板和说明文件本质上就是给 Agent 的指令，装之前看一眼内容很值得。
来源：The Hacker News · BleepingComputer
信息来源：The Hacker News / Forever Security（本文为编辑整理改写）