AGENTS.MD，危险危险危险！！！
安全机构 Forever Security 披露了一种新型攻击：网页会把恶意 AGENTS.md 文件静默丢进用户的下载文件夹，用户在该目录启动 Codex 或 Claude Code 等 AI 编程助手后，助手会把文件当作可信指令执行。攻击可让助手关闭自身沙箱、安装恶意依赖包，或把本地 API Token 发往攻击者服务器，实验室测试中针对 Codex 的成功率超过 90%，针对 Claude Code 约为 50%。这件事的重要性在于，它打破了“不运行可执行文件就安全”的旧常识——在智能体时代，一个普通文本文件也能像病毒一样起作用。
报道来源
- 量子位 QbitAI2026-11-07 03:43