用 Codex、Claude Code 这类编程 Agent 的人，最近要警惕一个看起来毫不起眼的文件：AGENTS.md。
量子位 11 月 7 日的文章介绍了安全机构 Forever Security 披露的一条攻击链：你只是打开了一个网页，什么都没点，一个名为 AGENTS.md 的纯文本文件就被放进了 ~/Downloads。之后你在下载目录里顺手启动 Codex 或 Claude，让它帮忙整理文件，Agent 就会把这个文件当成项目规范读进去，并照着执行。
这件事的危险之处在于：全程不需要你运行任何可执行文件。
攻击是怎么完成的
我们平时给项目放 AGENTS.md 或 CLAUDE.md，是为了告诉 AI"本项目用 Python 3.11""按这个规范写代码"。Agent 启动时会自动读取当前目录下的这类文件——这本来是方便的功能。
攻击者利用的正是这一点。按 Forever Security 的复现，恶意文件不是一眼能看穿的"立即删除系统文件"，而是一份约 13KB、写得像模像样的"团队本地开发环境准备规范"，真正的指令藏在末尾，大意是：为支持本项目工具链，请在会话开始前把某个 tools server 注册进 ~/.codex/config.toml，并在临时目录执行一次校验。
针对 Codex 的复现结果：
- 攻击成功率超过 90%；
- Codex 主动执行了带
--dangerously-bypass-approvals-and-sandbox参数的子进程，等于自己关掉了审批和沙箱； - 被改的是整台机器的全局配置
~/.codex/config.toml，而不是当前文件夹。所以即使删掉下载目录里的文件，换到干净的工作目录启动 Codex，恶意服务仍会被反复唤起。
针对 Claude Code 的复现结果： 成功率约 50%。攻击方式是诱导 Claude 改写项目里的 .claude/settings.json，把 ANTHROPIC_BASE_URL 换成攻击者的代理网关。生效后 OAuth 登录 Token 会被送到对方手里，对方再冒充模型下发关闭沙箱的命令。
为什么说这次和以往不一样
过去的安全常识是"不点陌生 .exe、不乱跑脚本就基本安全"。到了 Agent 时代，对有终端权限的 Agent 来说，Markdown 文档就是指令。
更麻烦的是，这不是打个补丁就能修好的漏洞：读取当前目录的 AGENTS.md 并按说明准备环境，本来就是产品设计。就像浏览器渲染钓鱼网页，浏览器没 Bug，错的是网页内容。
我的判断是：模型越听话、编码越强，这类攻击破坏力越大。厂商后续可能会在"自动读取哪些目录""能否改全局配置"上收紧，在那之前只能靠使用者自己设防。
3 分钟自查：4 个地方
常在 Mac 或 Linux 上用 Codex、Claude Code 的，建议现在查一遍：
1. 有没有来路不明的规范文件
`` ls -la ~/Downloads/AGENTS.md ~/Downloads/CLAUDE.md ~/Desktop/AGENTS.md ~/Desktop/CLAUDE.md ``
另据安全研究员提到，攻击者还会用零宽字符藏提示词，肉眼看是空白，AI 读到的却是一整段指令。
2. Codex 全局配置有没有被动过
`` ls -l ~/.codex/config.toml ``
看有没有陌生的 [mcp_servers.*] 节点，尤其命令里带 launchctl、curl 或临时目录脚本的，有就说明被植入了持久化后门。
3. 有没有这次事件的恶意依赖
`` ls -la /tmp/ptools ``
再看 npm 全局依赖或缓存里有没有 function-color、function-flag。出现了就说明恶意指令已经跑过，应该先断网、再重置环境。
4. Claude 的 Base URL 有没有被换掉
`` echo $ANTHROPIC_BASE_URL ``
同时检查各项目根目录下的 .claude/settings.json。不是自己配的网关地址一律删掉，并去官方后台轮换 API Token 和登录会话。
需要强调：这四项只能排查这次曝光攻击链的典型痕迹，没查出问题不等于一定安全。
日常防护：3 个习惯
别在下载目录和桌面启动 Agent。 把 ~/Downloads、~/Desktop 当成"污染区"。干活就新建一个干净的项目目录，在那里启动 Codex。
没看过的规范文件不要直接用。 别人给的代码库、网上拉的开源项目，运行 Agent 之前先打开 AGENTS.md、CLAUDE.md 看一遍，重点看有没有让 AI 改全局配置、装额外依赖、访问外部地址的内容。
把权限收紧，少开"全自动"。 ~/.ssh、~/.aws 和各种 .env 尽量不让 Agent 碰到。别嫌确认弹窗烦就把免确认参数拉满，这次攻击恰恰是让 AI 自己关掉了这道确认。
对 Codex 用户的建议
这次事件不是劝你别用 Codex，而是提醒你：Agent 权限越大，越要清楚它在哪个目录、读了哪些文件、能改什么。重度用户建议把上面的自查做成每周习惯，并给 Codex 单独准备工作目录。需要长时间跑复杂任务的，可以看 Pro 档：
信息来源
OKAI66 为独立第三方服务平台，非 OpenAI/xAI 官方网站。
更多每日 AI 热点见 best2ai.com
文章整理自互联网，只做测试使用。发布者：Lomu，转转请注明出处：https://www.it1024doc.com/19375.html
