一句话看懂：安全团队 Forever Security 发现，攻击者仅靠放入下载目录的恶意 AGENTS.md 文件，就能诱导 AI 编码代理执行恶意指令。这不是可修复的软件漏洞，而是代理设计逻辑被利用，值得所有用 AI 代理处理本地文件的人警惕。
事件核心：发生了什么
据 TechRadar 报道，Forever Security 在真实客户机器上发现一个位于 ~/Downloads 的 AGENTS.md 文件，伪装成普通工程笔记，内容却指示 AI 代理部署恶意软件并外泄会话令牌。研究人员在 OpenAI Codex 和 Claude Code 上均复现了该攻击。攻击利用了三个条件：网站可未经用户点击将文件写入下载目录；.md 文件默认不被视为危险格式；AI 代理会严格按 AGENTS.md 的指令行事。最终代理被诱导安装名为 function-color 的恶意 npm 包，该包是两年前另一场攻击中遗留的旧载荷。目前公开信息显示，研究人员尚不确定文件如何进入下载目录，推测来自被入侵的网站。
为什么重要
这类攻击属于提示注入的变体，但破坏面更大：AI 代理拥有文件读写、命令执行和网络访问能力，一旦被劫持，后果不只是信息泄露，还可能直接运行恶意代码。研究人员的判断很关键——这不是 bug，厂商也没有补丁可打，因为代理按指令执行正是其设计目标。这意味着下载目录这类“浏览器可写、代理可读”的路径，正在成为新的攻击面，传统的终端安全防线绕过了人的判断，难以适配。
对用户/开发者/创作者的影响
对开发者而言，不要从 ~/Downloads 启动 Codex、Claude Code 等代理，并把该目录视为不可信区域；启用代理前先通读来历不明的 AGENTS.md 或仓库指令文件。此外应检查 .claude/settings.json 等配置中是否出现自己没设置的 ANTHROPIC_BASE_URL、代理地址或 API 端点，这些可能是令牌被劫持的信号。保留审批门和沙箱等限制；若发现可疑指令，应立即轮换凭证，因为令牌被盗意味着活跃会话暴露。创作者和企业团队在引入代理自动化时，也应同步评估其本地文件访问权限。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是看 Codex、Claude Code 等产品是否会在代理启动时增加对下载目录或外部指令文件的告警与隔离；二是看浏览器厂商能否限制静默写入常见文件格式；三是看该攻击是否出现更多在野样本，推动代理权限模型从“默认信任指令文件”转向更细粒度的授权。
来源：TechRadar
