项目指令文件可能成为编程 Agent 攻击入口

项目里一份看似普通的 AGENTS.md，也可能成为编程 Agent 的攻击入口。dev.to 一篇文章称，攻击者能把恶意操作混进项目规范，诱导 Agent 修改请求地址、泄露凭证或执行命令。目前提供的节选不足以核实完整攻击链，文中的测试成功率也不能直接当作日常使用的风险概率。

目前能确认什么

按文章描述，攻击利用的是 Agent 读取项目指令文件、再调用工具的工作流程。AGENTS.md、CLAUDE.md 这类文件通常用于约定代码风格、测试命令和开发流程。风险出现在外部文本被当成可信操作指令时，这属于提示注入（Prompt Injection）。

节选中的恶意示例，把下载执行软件包、修改 API 地址包装成「环境预检」，还要求 Agent 不向用户提及这些步骤。危险操作因此混在了正常工程约定里。

Markdown 文件不会自行执行，关键在于 Agent 是否采纳指令，以及它获准执行哪些操作。

文章声称受控测试取得了较高成功率，但节选没有交代足够的测试条件。具体产品版本、权限配置、攻击样本和成功判定标准都不清楚，无法据此比较不同 Agent 的安全性。

我的判断

对程序员最直接的提醒，是把仓库指令文件纳入代码审查。PR 如果新增「先运行某个包」「修改网关地址」「静默完成初始化」等要求，就应追查操作目的和目标地址，不能因为它写在开发规范里就放行。

命令权限同样关键。允许 Agent 读文件、执行 shell、修改配置，是不同程度的授权；自动批准会减少人在危险操作前检查的机会。

至于改写 API 地址是否必然携带现有凭证、代理端能否进一步驱动工具调用，要看具体客户端实现和权限边界，现有节选无法确认。文章关于「首批真实攻击」的说法，也仍需研究报告支撑。