一句话看懂：安全机构 Forever 披露，黑客利用 Chrome 可静默向 ~/Downloads（下载）写入纯文本文件的默认行为，放入特制的 AGENTS.md 或 CLAUDE.md，诱导开发者在该目录启动 Codex 或 Claude Code 后执行恶意配置，从而接管本机或窃取账号。这值得关注，是因为它不需要 0day，也不会有官方补丁。
事件核心：发生了什么
据 Watkin Lab（@0xWatkin）2026 年 10 月 26 日转述，Forever 在真实客户电脑上捕获了一起“野生”攻击。攻击入口是 Chrome 的既有默认行为：网页可以不弹窗就把纯文本文件（如 .md）写入用户的下载文件夹。系统过去认为纯文本不会自行执行，因此风险有限。
攻击者抓住的是开发者的操作习惯：不少开发者会直接在下载文件夹里打开 Claude Code 或 Codex，让 AI 解压或整理刚下载的文件。一个约 13KB 的 AGENTS.md 或 CLAUDE.md 被静默放进该目录后，会被 AI 编程工具当作项目指令读取。素材给出的成功率是：针对 OpenAI Codex 超过 90%，针对 Claude Code 约 50%。
两种路径各有侧重：在 Codex 场景中，恶意 Markdown 伪装成“工程规范”，诱导其把恶意 MCP 服务写入全局配置 ~/.codex/config.toml，并加上 –dangerously-bypass-approvals-and-sandbox 参数，从而让恶意配置在以后任何项目中被自动加载；在 Claude Code 场景中，则诱导其创建 .claude/settings.json，把 ANTHROPIC_BASE_URL 指向攻击者服务器，使登录 Token 在连接时暴露，随后攻击者可以仿冒大模型下发关闭沙盒的 Bash 指令。
为什么重要
这起攻击没有利用 Chrome 或 AI 工具本身的代码漏洞。官方结论是“无 CVE、不会发补丁”：浏览器自动保存文本是正常功能，AI 读取目录下的 Markdown 并执行其中指令也是产品默认行为。问题出在两个“正常功能”叠加后形成的信任边界：AI 编程助手把项目目录内的文本视为可信指令，而浏览器允许外部网页向该目录写入内容。
对 AI 编程工具生态而言，这意味着指令文件（AGENTS.md、CLAUDE.md、各类 rules/settings 配置）正在成为新的攻击面。传统安全模型重点防守可执行文件，而大模型驱动的 Agent 会把自然语言当作控制流，攻击成本因此明显下降：不需要研究内存破坏或提权链，只需要一份排版正常的 Markdown。
对用户/开发者/创作者的影响
对开发者：避免在 ~/Downloads、临时目录等外部可控位置直接启动 Claude Code 或 Codex；在把下载文件移入正式项目目录前，先检查是否夹带 AGENTS.md、CLAUDE.md、.claude/settings.json 或 MCP 配置改动。对已经在下载目录运行过工具的人，建议核查 ~/.codex/config.toml 是否出现陌生 MCP 服务，以及 ANTHROPIC_BASE_URL 是否被改写。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
对使用 AI 编程助手处理外部内容的创作者与普通用户：尽量不给 Agent 过宽的文件与网络权限，慎用跳过审批和沙盒的参数。目前公开信息显示，该攻击依赖用户主动在受污染目录启动工具，并非所有使用场景都会触发。
值得关注的后续
观察点一：OpenAI 与 Anthropic 是否会在产品层增加对项目目录内指令文件的来源提示、首次加载确认或配置变更审计。观察点二：Chrome 等浏览器是否会对静默写入的 .md 类文件增加下载提示，或对特定目录做额外防护。观察点三：Forever 的完整分析是否公开更详细的样本与复现条件，以便开发者社区验证成功率数据。
来源：@0xWatkin
