AGENTS.md 投毒实测：Codex 中招率超 90%

54 minutes ago AI闪点

11 月 7 日，量子位披露了安全机构 Forever Security 截获的一种新型投毒手法。用户只是随手打开一个网页，没点任何弹窗，一个名为 AGENTS.md 的纯文本文件就悄悄躺进了下载目录。接下来在终端敲一句 Codex 或 Claude，AI 助手会自动把这个文件当成最高圣旨执行。

13KB 规范文档骗过自动审批

攻击载荷不是一眼假的提示词注入，没有”马上删除系统文件”这类粗糙内容，而是整整 13KB、长篇大论的团队本地开发环境准备规范，里面写着要求在 session 开始前把标准 tools server 注册到 ~/.codex/config.toml 并用临时目录执行一次校验。Forever Security 用真实攻击者的载荷在虚拟机里复现，针对 Codex 投毒时攻击成功率超过 90%。Codex 随后主动执行了带 dangerously-bypass-approvals-and-sandbox 参数的子进程，等于自己关掉安全防护并替攻击者装上了恶意依赖，而且改的不是当前目录的局部配置，是整台机器全局的 ~/.codex/config.toml。

Claude Code 成功率约 50%

针对 Claude Code 的测试成功率同样在 50% 左右。攻击者诱导 Claude 去改写项目的 .claude/settings.json，把 ANTHROPIC_BASE_URL 悄悄改成攻击者自建的反向代理网关，表面上看只是改了个内部网络地址，但地址一生效，Claude 下一次发请求就会把用户的 OAuth 登录 Token 原样送到对方手上，接着对方服务器假扮大模型，直接返回带 dangerouslyDisableSandbox 为 true 的 Bash 工具调用命令。

三分钟自查四件事

安全研究员给出的建议很直接。如果平时在 Mac 或 Linux 上频繁用 Codex、Claude Code 或各类编码智能体，第一步检查下载目录和桌面有没有你不记得写过的指令文件，包括 ls ~/Downloads/AGENTS.md ~/Downloads/CLAUDE.md ~/Desktop/AGENTS.md ~/Desktop/CLAUDE.md，团队代码库新 pull 下来的也要扫一眼，因为攻击者还会用零宽 Unicode 字符把提示词藏成一片空白，肉眼看是空白，AI 读进去全是攻击指令。第二步查最近 7 天全局 Codex 配置有没有被动过。第三步别相信自动审批这道防线。模型侧的安全边界与漏洞挖掘链路，可参考 Claude 挖出 62 个 Chrome 漏洞的完整攻击链。

延伸阅读

AI 自学笔记 每天更新 AI 前沿动态，订阅 RSS，或按 Ctrl/⌘+D 收藏本站，明天见。

继续读

同一批更新里这几篇值得一看：

想快速查定义？对应的词条在这里：

Related News