下载目录中的指令文件可劫持编程 Agent

一份落在 ~/Downloads 里的文本文件，能让 AI 编程助手主动安装恶意 npm 包。Forever Security 在真实客户机器上拦截了这样的行为：用户没有输入安装命令，Agent 却从工作目录里的 AGENTS.md 读到了指令，并开始执行。

这件事值得程序员花几分钟读，因为入口就是日常使用的项目规则文件。原文揭示的风险是：当浏览器下载目录与 Agent 信任的工作目录重合，网页送来的内容就可能获得执行指令的地位。不过，真实事件、攻击复现和成功率，需要分开看。

下载目录里的文件，怎么变成了 Agent 的命令

Forever Security 拦截的是恶意 npm 包 function-color 的安装。原文称，这个包与 CloudSEK、Checkmarx 后来命名为 MALFEX 的恶意软件活动有关，会继续拉取第二阶段下载器，并运行 Windows 载荷。

研究人员 Gal Weizman 和 Omer Samet 追查后，在客户的 ~/Downloads 里发现了一份伪装成工程规范的 AGENTS.md。这个目录恰好也是 Agent 的工作目录。

Codex 使用 AGENTS.md，Claude Code 使用 CLAUDE.md 承载项目指令。这类文件的用途，是让 Agent 自动了解编码约定、项目要求和操作流程。问题在于，一份文件出现在工作目录里，并不能证明它来自项目维护者。

攻击的关键，是让外部文件进入 Agent 会当作指令读取的位置。

浏览器提供了另一半条件。按原文描述，Chrome、Edge、Firefox 默认下载行为允许网页将指定名称和内容的文件保存到下载目录，不逐个弹窗确认。Forever 单独制作的概念验证页面，可以在无需点击的情况下投放无害测试文件。外部测试者使用 Brave 时遇到了保存提示，用户因此有机会察觉。

最后一个条件，是用户从这个目录启动 Agent。Forever 的遥测显示，有数百名客户从 ~/Downloads 运行 Codex、Claude Code 或 Cursor CLI；其中 Claude Code 就记录了超过 1,300 次会话。整理下载文件、处理刚下载的材料，都可能触发这种使用方式。

但证据链有一个缺口：研究人员没有查明真实客户机器上的 AGENTS.md 到底从哪里来。静默下载是单独验证过的可行路径，不能直接写成这次事件已经确认的投放方式。

Codex 的危险动作，为什么会影响后面的项目

Forever 在隔离虚拟机中，用真实攻击文件测试了 Codex。这份文件只有 13 KB，大部分内容像普通工程指南，恶意指令藏在接近末尾的一节。

它要求 Codex 向 ~/.codex/config.toml 添加 MCP server。MCP server 可以理解为 Agent 启动并调用的外部工具服务；这里的风险在于，它的启动命令被用来执行恶意安装。

原文描述，该命令通过 launchctl 运行 npm install function-color。由于安装需要网络访问，攻击文件还诱导 Codex 启动子会话，绕过沙箱和审批检查。

这里有一个重要前提：Codex 只会遵循已经信任的目录中的 AGENTS.md，用户此前在该目录工作过，就可能满足这个条件。Forever 报告，在此前提满足时，恶意安装的执行率超过 90%。

比单次安装更麻烦的是配置的作用范围。~/.codex/config.toml 是机器级配置，攻击者添加的服务会在这台机器后续的 Codex 会话启动时加载，影响其他项目。

离开被投放文件的目录，不会自动撤销已经写入全局配置的改动。

因此，只检查当前项目有没有陌生文件还不够。攻击一旦把行为写进全局配置，原来的文本文件就不再是唯一需要处理的入口。

Claude Code 为什么连登录令牌也可能交出去

Claude Code 的测试采用了另一条路线。研究人员在 CLAUDE.md 中把操作包装成内部网关配置，要求 Agent 写入设置文件，将 API 请求指向研究人员控制的服务器。

按照原文，Claude Code 通常会要求用户批准这类更改，也经常拒绝可疑修改，但测试中仍有大约一半的尝试完成了配置写入。

这一步改变了通信对象。后续 API 请求，包括 Agent 自身的登录令牌，都会被发送给攻击者服务器。原文将其描述为账户接管风险；同时，攻击者还可以冒充模型返回响应，向 Agent 下发工具调用。

研究人员进一步以「验证配置」为由使用子 Agent。原文援引 BleepingComputer 对研究的报道，称大约五分之一的测试运行实现了同一会话内的代码执行，并涉及关闭沙箱保护。

这里不能把几个比例混在一起。Codex 的超过 90%，对应特定信任前提下的恶意安装；Claude Code 的约 50%，对应 API 地址改写；约五分之一，对应进一步取得代码执行。它们不是同一个成功指标。

排查时，原文点名了 Claude Code 的 settings.json 和 ANTHROPIC_BASE_URL。前者是配置文件，后者用于指定 API 基础地址。一个看起来只是「接入网关」的设置，可以同时改变请求目的地和模型响应来源，审查时应当关注实际流量会发给谁。

我的判断

这篇最有价值的提醒，是把工作目录也纳入了安全边界。开发者往往关注 Agent 执行命令时有没有审批，却容易忽略：让它决定执行什么的规则文件，是否可信。

作者团队检查了日常启动目录，发现没有人从 ~/Downloads 启动，但有两个人习惯在用户主目录启动。他们随后要求从具体项目目录进入，并审阅非团队成员编写的 AGENTS.md、CLAUDE.md，包括刚克隆仓库中附带的文件。这是一次内部习惯检查，原文没有提供调整前后的攻击对照数据。

相比只依赖逐条命令审批，提前限制工作目录、核查规则文件，能更早处理不可信指令。但这些做法不能互相替代：窄目录降低误读范围，也无法保证目录里每份文件都可靠。

成功率同样需要保留边界。90%、50% 和约五分之一，均来自 Forever 的测试；BleepingComputer 报道了研究，不等于独立实验室复现了结果。原文也未充分交代测试版本、样本量等条件，不能据此断言一般团队会遇到相同比例。

还有一处时间矛盾：原文称 function-color 从 2025 年 7 月上线，到 2026 年 10 月 7 日被 npm 替换为安全占位版本，却又说潜伏了约两年。按给出的日期计算，大约是 15 个月。研究报告发表于 2026 年 10 月 22 日，文中的时长表述应当打个问号。

作者将其归为预期行为组合，并强调没有等待修复的 CVE。这个判断支持用户现在就调整操作习惯，但不能进一步证明产品设计没有改进空间。此外，作者最后介绍了自家按分钟计费的一次性虚拟机业务；干净环境有助于减少跨会话残留，原文没有给出它与其他隔离方案的对照测试。

能拿来做什么

• 把日常启动位置固定到当前任务对应的具体项目目录。处理下载材料时，也先明确 Agent 的工作范围，避免直接把整个 ~/Downloads 或用户主目录交给它。
• 接手新项目、克隆仓库后，先读其中的 AGENTS.md 和 CLAUDE.md。重点检查安装依赖、启动子会话、修改全局配置、调整网络地址和关闭保护等要求是否符合任务需要。
• 检查 ~/.codex/config.toml 中是否有陌生 MCP server，并核对 Claude Code 的 settings.json、ANTHROPIC_BASE_URL 是否指向自己明确配置的服务。团队使用内部网关时，应有可核验的地址和配置依据。
• 如果发现被投放的指令文件，按原文建议轮换 Agent 凭据；若确认机器安装过 function-color，应按机器已失陷处理，不能只删除 Markdown 文件就结束排查。