AGENTS.md 本身是给 AI 编码 Agent 读取的 Markdown 格式指引文件，现在出现了新型攻击方式，恶意 AGENTS.md 文件会悄悄下载到电脑，一旦开发者在该目录启动 Codex、Claude Code 这类 AI 编码工具，Agent 会自动读取文件里的恶意指令，不用用户手动运行脚本就能触发风险，这个安全问题已经被安全厂商实锤捕获真实攻击样本，打破了大家之前认为只要不运行 exe 程序就安全的旧认知。攻击的实现逻辑是攻击者把带后门指令的 AGENTS.md 放到网页，用户浏览网页时文件自动下载到 Downloads 文件夹，很多开发者习惯直接在下载目录调用 AI 编码 Agent 处理文件，AI 工具本身的原生功能就是读取同目录下 AGENTS.md 作为任务规则，于是就会顺着里面的指令修改系统配置、拉取恶意依赖、窃取本地 API 密钥并外传。整套攻击流程不需要诱导用户点击确认下载、不需要用户主动执行命令，利用 AI Agent 的原生读取机制做间接提示注入，目前 Forever Security 已经复现该攻击，对 Codex 成功率较高，Claude Code 同样受影响，日常使用 AI 编码工具的开发者需要重点检查目录内是否存在陌生 AGENTS.md。
攻击链路明细
| 步骤 | 行为说明 | 风险点 |
|---|---|---|
| 1 | 访问恶意网页，AGENTS.md 自动下载至下载文件夹 | 用户无感知，不需要确认下载 |
| 2 | 开发者在该目录启动 Codex / Claude Code 等 AI 编码 Agent | 工具默认加载目录内 AGENTS.md |
| 3 | AI 读取文件内隐藏恶意指令，自动执行 | 绕过传统杀毒对可执行文件的检测 |
| 4 | 执行操作：修改全局配置、安装恶意 npm 包、上传 Token 凭证 | 以当前用户权限执行，容易泄露密钥 |
安全自查与防护清单
- 不要在 Downloads 下载目录直接启动 Claude Code、Codex 等 AI 编码 Agent
- 打开新项目前，优先检查目录下是否存在 AGENTS.md、CLAUDE.md、.cursorrules 这类 Agent 规则文件
- 陌生仓库、下载得到的 AGENTS.md，必须完整通读内容再交给 AI 读取
- 给 AI Agent 开启沙箱限制，禁止无授权执行 shell 命令、向外发送文件
- 区分自己项目内可信 AGENTS.md 和来路不明的外部 AGENTS.md
【相关 FAQ】
问题 1：AGENTS.md 被标注危险，恶意 AGENTS.md 是怎么跑到电脑里的？
回答 1：AGENTS.md 存在安全风险，恶意 AGENTS.md 可以在用户浏览网页的时候自动下载到电脑下载文件夹，不需要用户点击下载确认，用户很难察觉。
问题 2：AGENTS.md 为什么会劫持 AI 编码 Agent，它是什么原理？
回答 2：AGENTS.md 是 AI 编码 Agent 的规则指引文件，Codex、Claude Code 这类工具默认读取当前目录 AGENTS.md 作为执行指令，攻击者写入恶意提示实现间接提示注入，AI 会自动跟着指令执行危险操作。
问题 3：遇到来路不明的 AGENTS.md，日常使用 AI 编码工具该怎么防护？
回答 3：遇到来路不明的 AGENTS.md，尽量不要在下载文件夹启动 AI 编码 Agent，每次加载前检查目录中的 AGENTS.md 内容，给 Agent 配置沙箱，限制它随意执行命令、外传密钥。
【参考资料】
[2026-11-07]（AGENTS.MD，危险危险危险！！！）量子位
[2026-10-27]（Markdown as Malware: How AI Agents Turn Downloads Folders into Instruction Injection Vectors）DEV Community
[2026-10-25]（AI coding agents hijacked using AGENTS.md file in Downloads folder）BleepingComputer
[2026-10-25]（AGENTS.md in Downloads Can Hijack AI Coding Agents）BastionZero
【免责声明】
本文仅整理 AGENTS.md 相关安全风险公开报道与安全机构研究内容，AGENTS.md 本身是正常的 AI Agent 指引规范格式，风险来自被篡改写入恶意指令的样本；防护方案仅作为参考，不构成企业安全落地标准，相关 AI 工具安全策略请以对应产品官方安全公告为准。