網頁可在「下載」資料夾塞進一個檔案，Claude Code和Codex就照它的指令行事

網站存進「下載」資料夾的文字檔，如今可以向你電腦上的 AI 程式設計代理下達指令。Forever Security 的研究人員在一名客戶的電腦上，發現有人放入了一份 AGENTS.md——這是 OpenAI 的 Codex 等工具啟動時會讀取的純文字指令檔——而檔案指示代理安裝一種已知惡意軟體。如果你曾在「下載」資料夾中開啟 Claude Code 或 Codex，想整理資料夾，或處理剛下載的檔案，那就等於把這個資料夾視同自己的專案，給予同等信任。

就代理自身遵循的規則而言，它並沒有做錯事。AGENTS.md 及 Claude 對應的 CLAUDE.md，都是為了讓專案告訴代理應使用哪些工具、如何執行測試而設計；代理的運作方式本來就是依照這些指示行事。研究人員指出，網路上唯有「下載」資料夾能被網站自行填入檔案。他們寫道：「這裡沒有任何東西需要 OpenAI 或 Anthropic 修補。代理遵循所在資料夾中的 AGENTS.md，正是在做它被設計來做的事。」

那份實際檔案是一份 13 KB 的文件，標題寫著工程指南，攻擊指令藏在接近結尾處，語氣平淡，像是一則設定說明。它指示 Codex 在設定中新增一個「專案工具」伺服器，並安裝一個名為 function-color 的 npm 套件。研究人員指出，這是某個行動所使用的惡意軟體，而該行動約兩年來一直未被發現。Forever 的軟體在任何程式碼執行前就攔截了安裝。在團隊的測試中，他們大多使用無害的替代檔案，內容只會開啟計算機；Codex 在超過九成的嘗試中照著檔案指示行事，而真正的套件也曾在隔離的虛擬機器中執行一次。這項變更會寫入 Codex 的全機設定檔，因此之後每次啟動 Codex，無論所在資料夾為何，都會載入攻擊者的伺服器。

Claude Code 就沒那麼容易受騙。團隊自行撰寫了一份 CLAUDE.md，說服 Claude 將 API 流量導向攻擊者控制的伺服器，並把它偽裝成公司的閘道。這項設定會交出 Claude 的登入權杖；研究人員將權杖重放至 Anthropic 的正式 API，冒充受害者行事，也讓假伺服器能假裝成模型回應，傳回已關閉沙箱的指令。Claude 會要求使用者核准這類設定變更，而且經常會拒絕，但這項設定仍有約一半的機會成功寫入。

要把檔案放進電腦，比你想像的容易。Chrome、Edge 和 Firefox 預設會直接把下載內容存進那個資料夾，不會先詢問儲存位置；網頁也能自行指定檔案名稱和內容。報導這項發現的 BleepingComputer 前往研究人員架設的概念驗證頁面，親眼看到頁面放下一份無害的 AGENTS.md。Brave 則會先要求使用者授權。Forever 研究人員蓋爾·魏茲曼（Gal Weizman）告訴該媒體，該公司的客戶中有數百人會在「下載」資料夾執行 Claude Code、Codex 或 Cursor 的命令列代理，而光是 Claude Code 就曾在該資料夾啟動超過 1,300 個工作階段。

這項研究仍有一些未解之處。Forever 無法確認惡意檔案是如何出現在客戶電腦上的，而且攻擊仍需要有人之後在該資料夾啟動代理。Chrome、Edge 和 Firefox 確實會顯示下載通知，留心的使用者可能會注意到。真正的攻擊載荷是為 macOS 撰寫的。Forever 也銷售 AI 代理監控軟體，因此公司在所描述的風險上有商業利益；報告中也沒有 OpenAI 或 Anthropic 的回應。相關工具在全球各地銷售，因此開發者使用這些工具的每個市場，都面臨同樣的風險。

防範之道主要在於養成習慣。絕不要在「下載」資料夾啟動程式設計代理；應從代理要處理的專案資料夾啟動，這也是 OpenAI 和 Anthropic 目前的建議。凡是你沒有親自撰寫的 AGENTS.md 或 CLAUDE.md，都應先讀過，再讓代理讀取；核准提示和沙箱也要保持啟用。在 Codex 的設定檔中，檢查是否出現你未新增的伺服器項目；在專案的 Claude 設定中，則留意是否有你從未設定過的 API 位址。如果發現異常，應視登入權杖已遭竊取，立即撤銷；任何曾安裝 function-color 的電腦——npm 後來已下架該套件——也應視為遭到入侵。

Forever 在 10 月 22 日發布報告，BleepingComputer 則於 10 月 25 日跟進報導。研究人員表示，任何會讀取指令檔、又能改寫自身設定的代理，都可能以同樣方式遭到操控；Codex 和 Claude Code 只是這份長長名單上的前兩個名字。過去，瀏覽器下載的檔案在有人開啟之前都無害；如今，只要代理開始讀取資料夾，檔案就會自行開啟。

標籤: OpenAI, Anthropic, AI代理, Claude Code, 資訊安全, Forever Security