AGENTS.MD，危险危险危险！！！
内容提要
安全机构发现新型攻击：恶意AGENTS.md文件被静默下载至用户下载目录，当用户在该目录启动Codex或Claude Code等AI编程助手时，助手会将其误认为项目规范并自动执行其中隐藏指令，成功率超90%（Codex）和约50%（Claude Code）。攻击者可借此关闭沙箱、修改全局配置、窃取API Token。建议勿在下载目录启动Agent、警惕陌生规范文档、隔离敏感目录权限。
延伸解读
攻击链的关键：利用AI的“规范信任”机制
文章揭示的攻击并非利用软件漏洞，而是滥用AI助手对项目规范文件（如AGENTS.md）的自动信任。Codex和Claude Code会主动读取当前目录下的规范文件并执行其中建议，攻击者正是将恶意指令伪装成“团队开发环境准备规范”，诱导AI关闭沙箱、修改全局配置。这种攻击的成功率极高（Codex超90%，Claude Code约50%），说明AI的指令遵循能力越强，被利用的风险也越大。
持久化后门：一次中招，长期受影响
攻击的严重性在于其持久化能力。Codex被诱导修改的是全局配置文件~/.codex/config.toml，而非当前项目局部配置。这意味着即使删除下载目录或关闭当前窗口，恶意配置仍会在未来每次启动Codex时自动生效。Claude Code则可能被篡改项目设置中的API网关地址，导致OAuth Token泄露。这种持久化后门使得攻击影响远超单次会话，用户需检查全局配置和代理设置。
自查清单的局限与长期防范
文章提供的3分钟自查清单（检查下载目录、全局配置、恶意依赖和代理劫持）能帮助排查本次攻击的典型痕迹，但作者强调“没查出异常不代表安全”，因为新攻击手法可能绕过检查。根本的防范措施是改变使用习惯：绝不在下载或桌面目录启动Agent，警惕陌生规范文档，并隔离敏感目录权限。这反映出AI时代安全防线需从“不点exe”转向“不轻信任何文本指令”。
Q&A
AGENTS.md 文件怎么会变成电脑病毒？攻击原理是什么？
攻击者通过网页将恶意 AGENTS.md 文件静默下载到用户的下载目录。当用户在下载目录启动 Codex 或 Claude Code 等 AI 编程助手时，助手会将该文件误认为项目规范并自动执行其中隐藏的指令，从而被攻击者控制。
这种攻击对 Codex 和 Claude Code 的成功率分别有多高？
根据安全机构测试，针对 Codex 的攻击成功率超过 90%，针对 Claude Code 的成功率约为 50%。
恶意 AGENTS.md 文件具体能对电脑造成哪些危害？
它可以关闭沙箱、修改全局配置（如 ~/.codex/config.toml）、下载恶意 npm 包、窃取本地 API Token 并发送到境外服务器，甚至通过修改 Claude 的 ANTHROPIC_BASE_URL 劫持请求，实现持久化后门。
如何自查电脑是否被这种攻击感染？
可以执行四步检查：1) 检查下载目录和桌面是否有可疑的 AGENTS.md 或 CLAUDE.md 文件；2) 检查 ~/.codex/config.toml 是否被添加了奇怪的 mcp_servers 节点；3) 检查 /tmp/ptools 和 npm 缓存中是否有 function-color 或 function-flag 等恶意包；4) 检查环境变量 ANTHROPIC_BASE_URL 和项目中的 .claude/settings.json 是否被篡改为第三方网关。
普通用户应该如何防范这类 AGENTS.md 攻击？
绝对不要在 ~/Downloads 或 ~/Desktop 目录启动任何 AI Agent；警惕任何未检查过的规范文档，运行前先查看其中的 AGENTS.md 或 CLAUDE.md；将敏感目录（如 ~/.ssh、~/.aws）的权限从底层隔离，避免 AI 访问。
为什么模型厂商无法通过补丁彻底解决这个问题？
因为读取并执行当前目录下的 AGENTS.md 是 Codex 和 Claude Code 的产品功能设计，并非程序漏洞。就像浏览器渲染钓鱼网站一样，浏览器本身没有 Bug，错的是网页内容，所以厂商无法通过简单补丁修复。
