安全团队发现恶意AGENTS.md可劫持AI编程代理
Forever Security在客户下载文件夹中发现恶意AGENTS.md文件，并在OpenAI Codex与Claude Code上复现了攻击。
据BleepingComputer报道，安全研究公司Forever Security于2026年10月25日公布，在客户的下载文件夹中发现一个恶意的AGENTS.md文件，该文件试图诱导AI编程代理安装恶意npm包“function-color”。
研究人员在OpenAI Codex上复现了该攻击，约90%的测试中，代理打开了系统计算器应用。另一个相关测试使用恶意的CLAUDE.md文件，把Claude Code的API流量重定向到研究人员控制的服务器。
在该Claude Code测试中，OAuth令牌被暴露，服务器在约50%的测试中成功执行了工具调用。研究人员还发布了一个概念验证页面，可静默地将AGENTS.md文件下载到用户的下载文件夹。
研究人员表示，内部统计显示有数百名客户从~/Downloads目录运行Claude Code、OpenAI Codex和Cursor CLI等代理，其中超过1300个Claude Code会话是从该位置启动的。他们建议用户不要将~/Downloads设为AI编程代理的工作目录。
无需厂商补丁
AGENTS.md等Markdown文件包含针对AI编程代理的项目指令，代理会自动加载工作目录中的相关文件。研究人员指出，OpenAI或Anthropic无需发布补丁，因为代理执行的是其设计所允许的行为。研究人员也无法确定恶意指令文件是如何进入目标用户下载文件夹的。
快速问答
这个攻击影响哪些AI编程代理？
研究人员在OpenAI Codex和Claude Code上进行了复现，并提到Cursor CLI等代理也可能从下载文件夹运行。
OpenAI或Anthropic会发布修复吗？
研究人员表示没有可供厂商修补的漏洞，因为代理只是在执行其既定功能。
用户应如何防范？
研究人员建议不要把~/Downloads设置为AI编程代理的工作目录。