攻击利用的是「指令文件」

AI 编程工具靠指令文件理解项目要求：OpenAI Codex 支持 AGENTS.md，Claude Code 能读 CLAUDE.md。这些纯文本本该写编码规范、项目配置和开发流程。但攻击者可以把有害指令伪装成普通工程文档。当 Agent 打开受影响目录，可能把这些指令当成可信指引，用既有权限执行命令。

真实发现：Downloads 里藏着恶意文件

Forever Security 在一位客户的下载文件夹里发现了一份恶意 AGENTS.md，它指示 Codex 安装一个名为 function-color 的可疑 npm 包。安全系统在恶意包执行前拦下了安装。调研未能确定原文件如何进入电脑，但他们演示了：在某些浏览器配置下，恶意网站可以无需额外确认弹窗就触发类似下载。

Codex 和 Claude Code 都被盯上

攻击者复现了针对两款主流 AI 编程助手的攻击。在 Codex 实验中，恶意指令试图：

• 修改 Agent 的机器级配置；
• 注册一个外部的 MCP（Model Context Protocol）服务器；
• 安装那个恶意包。

由于配置作用范围超出原始工作目录，改动还可能影响后续会话。

普通人怎么防

文中事件与安全发现均出自原站报道（Forever Security），具体细节以安全厂商披露为准。