- 研究人员发现，位于常见下载目录的恶意
AGENTS.md文件可劫持人工智能代理。 - 该攻击利用提示注入技术，可能导致恶意软件下载或访问令牌被盗。
- 建议维护者将下载文件视为不可信来源，并严格审查代理指令文件。
威胁行为者仅需一个基本的 Markdown (.MD) 文件和网站访问权限，即可欺骗人工智能代理执行恶意代码或泄露访问令牌。这一漏洞暴露了 AI 代理在处理自动下载文件时的安全隐患。
“永恒安全”（Forever Security）的研究人员指出，此类攻击已在野外环境中出现，但在造成实质性损害前被拦截。攻击之所以可行，基于三个关键因素：首先，网站可在未经用户明确知情或同意的情况下自动下载特定格式文件；其次，默认情况下 .md 文件不被系统判定为恶意或危险内容；最后，人工智能代理会无条件执行 AGENTS.md 文件中包含的任何指令。
报告显示，Forever Security 在真实客户的机器上捕获了活跃的恶意软件样本，具体表现为 ~/Downloads 目录下的 AGENTS.md 文件。这份伪装成普通工程笔记的文档实际上旨在操控 AI 代理，使其执行未授权的操作。
OpenAI Codex 与 Claude Code 均受影响
研究人员尚未确定该恶意文件是如何进入用户下载文件夹的，推测可能是浏览器从此前已被入侵的网站获取。由于网站可以在无需用户点击确认的情况下放置文件，这种机制使得网络能够间接指挥用户的代理执行命令。报告强调，Markdown 文件正逐渐演变为新的“可执行载体”。
在复现测试中，研究团队成功在 OpenAI Codex 和 Claude Code 等主流代理中触发了该攻击。值得注意的是，这并非软件缺陷，而是由设计逻辑导致的固有特性——AI 代理被设计为完全遵循 AGENTS.md 中的指令，类似于浏览器渲染网页内容的机制。核心风险在于读写权限的不匹配：AI 代理拥有读取文件的权限，而浏览器具备写入文件的能力，这使得攻击向量保持开放状态。当 AI 代理取代人类成为操作主体时，传统围绕人类判断建立的防御体系便失效了。
在此案例中，攻击者试图诱导 AI 代理安装一个名为 "function-color" 的恶意 npm 包。该恶意软件曾出现在两年前的另一场网络攻击活动中，这也表明 AI 代理可能被诱骗从互联网下载任意恶意载荷。
防范提示注入攻击的建议
本质上，这是经典提示注入攻击的一种变体。研究人员建议用户将下载文件夹视为“攻击者的敌对区域”，严禁在该目录下启动 Codex、Claude Code 或其他任何 AI 代理。此外，用户应警惕那些非本人编写的指令文件，特别是在下载文件或克隆的代码仓库中，必须在让代理接触这些文件之前进行人工审阅。
用户还应检查代理自身的配置，排查是否存在意外阻塞或篡改的命令。在项目目录下的 .claude/settings.json 文件中，需重点核查 ANTHROPIC_BASE_URL、代理设置或其他 API 端点是否被修改为非用户设定的值。
保持警惕至关重要。确保启用审批门槛和沙箱保护机制，并对任何要求代理绕过安全限制的指令保持高度怀疑。一旦发现异常，应立即轮换密钥。假设令牌一旦泄露即意味着会话已被实时劫持，而不仅仅是请求被捕获。
尽管人工智能代理本身并非恶意，但其在当前阶段表现出极高的轻信倾向，亟需通过外部约束来弥补这一安全短板。
