AI 编码智能体被 Downloads 文件夹中的 AGENTS.md 文件劫持

研究人员在一名客户的 Downloads 文件夹中发现了一个恶意的 AGENTS markdown 指令文件，它诱骗 AI 编码智能体安装了一个恶意 npm 包。

他们针对 OpenAI Codex 复现了该攻击，并演示了一种针对 Claude Code 的相关技术，仅凭恶意指令即可泄露 OAuth 令牌并劫持账户。

AGENTS.md 等 markdown 文件是纯文本文件，包含面向 AI 编码智能体的项目特定指令，例如使用哪些工具、如何运行测试以及遵循哪些编码规范。

智能体遵循恶意指令

监测 AI 智能体和自主软件所引入风险的公司 Forever Security 的研究人员在客户电脑上发现了这一手法，当时一个编码智能体试图安装恶意的 npm 包 'function-color'。

调查将 AI 智能体安装恶意 npm 包的尝试追溯到客户 ~/Downloads 文件夹中的一个 AGENTS.md 文件，该文件夹同时也是该智能体的工作目录。

智能体会自动从工作目录加载适用的文件，并使用其中的指令来指导其行为。

虽然这些文件并非可执行文件，但其中包含的恶意指令可能导致 AI 智能体利用其可用的工具和权限运行命令、安装软件包或更改设置。

"这里没有什么是 OpenAI 或 Anthropic 需要修补的。遵循其文件夹中 AGENTS.md 的智能体正是在做它被设计来做的事，"研究人员表示。

研究人员的测试证实，攻击者可以利用此类文件操纵 OpenAI Codex 和 Claude Code 执行代码或窃取凭据。

尽管研究人员无法确定该恶意指令文件是如何进入目标的 ~/Downloads 位置的，但他们向 BleepingComputer 解释说，仅仅访问一个恶意页面就可以在无需任何用户交互的情况下投放载荷。

在 Forensics Security 本周的一份报告中称："~/Downloads 很特殊。它是 Web 能够自行写入的唯一文件夹"，并且"一个网页可以静默地将名为 AGENTS.md 的文件下载到你的 Downloads 文件夹中。"

研究人员创建了一个概念验证（PoC）来演示该攻击如何在用户未察觉的情况下将恶意文件投放到 ~/Downloads 位置。

当 BleepingComputer 验证该 PoC 页面时，它下载了一个包含无害内容的 AGENTS.md 文件，即字符串"sensitive data here"和"line 2"。

默认情况下，包括 Chrome、Edge 和 Firefox 在内的许多流行浏览器会将从 Web 下载的文件保存到用户的 ~/Downloads 目录，而不会提示用户为每次下载选择保存位置。

BleepingComputer 在其他浏览器（如 Brave）中的测试会提示用户批准下载，这应足以提醒用户有文件被下载。

然而，Chrome、Edge 和 Firefox 默认会显示下载通知，在文件保存到本地时提醒用户。

在将文件投放到 Downloads 后，该攻击需要目标在同一目录中启动其 AI 智能体，以便它能够加载该指令文件并消化其恶意指令。

Forever 的研究员 Gal Weizman 告诉 BleepingComputer，这是常见做法，因为人们经常使用 AI 智能体来整理该文件夹或处理新下载的文件。

Weizman 表示，内部统计显示有数百名客户从他们的 ~/Downloads 文件夹运行 AI 智能体，包括 Claude Code、OpenAI Codex 和 Cursor CLI。这位研究员告诉 BleepingComputer，仅 Claude Code 就从该位置启动了 1,300 多个会话。

测试表明攻击可行

研究人员使用一个仅打开计算器应用的无害载荷，针对 Codex 测试了他们重建的攻击链，记录到 90% 的成功率。

在另一项测试中，他们使用一个恶意的 CLAUDE.md 文件将 Claude Code 的 API 流量重定向到他们控制的服务器。这暴露了智能体的 OAuth 令牌，使服务器能够冒充模型并返回执行代码的工具调用，在约 50% 的测试中成功。

研究人员表示，该风险是浏览器和智能体预期行为的结合，将预防和防御责任直接落在用户身上。

用户应避免将 ~/Downloads 设置为 AI 编码智能体的工作目录，因为该位置可能包含不受信任的文件，智能体可能会将其解释为指令。

OpenAI 和 Anthropic 建议从其预期要处理的项目目录运行其 AI 编码智能体。

将工作目录限定在相关项目内有助为智能体提供适当的上下文并限制其工作范围，降低其处理无关位置中不受信任文件的风险。

OpenAI 和 Anthropic 的常见建议是在特定项目的根目录中启动 AI 编码智能体，而不是在你的主目录或宽泛的父目录中启动。尽可能缩小其工作区域，仅在需要时扩大访问范围。

关键思想是工作目录定义了智能体的默认项目上下文，并且根据工具的不同，有助于建立其文件系统访问边界。

用户应在允许 AI 编码智能体遵循不熟悉的 AGENTS.md、CLAUDE.md 及类似指令文件之前对其进行审查，保持批准提示和沙箱保护处于启用状态，并在将其运行于主系统之前先在隔离环境中测试可能不受信任的代码。