只需一个简单的 Markdown (.md) 文件，AI 智能体便可能陷入“失控”状态。研究人员警告，这种常见的文本格式正演变为新的恶意可执行载体。威胁行为者仅需具备网站访问权限及一个基本的 .md 文件，即可诱骗用户智能体执行恶意代码或泄露访问令牌。
野外攻击实录与原理
安全公司 Forever Security 的研究人员表示，已在野外观察到此类攻击，并在造成实质性损害前成功拦截。该攻击链利用了三个关键因素：首先，网站可在用户不知情或未授权的情况下向特定目录下载文件；其次，.md 文件通常不被系统或用户视为潜在威胁；最后，AI 智能体会无条件执行 AGENTS.md 文件中包含的任何指令，无论其内容是否恶意。
在一份真实案例中，研究人员在一名客户的机器上捕获了位于 ~/Downloads 文件夹中的恶意 AGENTS.md 文件。该文档伪装成普通的工程笔记，实则指令智能体部署恶意软件并外泄会话令牌。尽管研究人员无法确切追溯该文件进入下载文件夹的具体路径，但推测其源自浏览器从已被攻破的网站自动获取的文件。
报告指出：“下载文件夹是网站无需点击或许可即可投放文件的唯一位置。这使得网络能够植入指令，由你自己的智能体执行。Markdown 就是新的可执行文件。”
Codex 与 Claude Code 均受影响
在实验室环境中，研究人员使用不同的智能体重现了该攻击，并在 OpenAI Codex 和 Claude Code 上均取得成功。值得注意的是，这并非软件漏洞，企业无法通过发布补丁来修复此问题。AI 智能体的设计初衷是严格遵循 AGENTS.md 文件的指令，这种行为模式类似于浏览器按设计渲染钓鱼页面。
问题的核心在于，AI 智能体拥有读取浏览器可写入文件夹的权限。“攻击向量依然开放，”研究人员表示，“围绕人类构建的防御措施在智能体取代人类操作时便会失效。”在此案例中，攻击者试图诱导智能体安装名为 ‘function-color’ 的恶意 npm 包。该软件源于两年前的另一场恶意活动，此前一直未被发现。这意味着，AI 智能体可能被诱骗从互联网下载包括勒索软件、信息窃取工具和远程管理 (RMM) 工具在内的几乎任何恶意负载。
防御建议：视下载目录为“敌对区域”
本质上，这是传统提示注入攻击的变种。为应对此类威胁，研究人员建议用户采取以下防御措施：
- 隔离高风险区域：将 ~/Downloads 文件夹视为“智能体的敌对区域”。避免在该目录中启动 Codex、Claude Code 或任何其他智能体，因为这是网络植入文件的高发区。
- 人工审查指令：仔细检查位于下载文件夹或克隆仓库中的指令文件，特别是那些非用户自行编写的文件。“在让智能体接触之前，请先阅读文件。”
- 审计配置完整性：检查智能体自身的配置文件，寻找意外的代码块或命令更改。例如，在项目根目录下的 .claude/settings.json 中，需警惕是否存在 ANTHROPIC_BASE_URL、代理服务器或其他非用户设置的 API 端点。
Forever Security 总结道：“保持警惕。保留并启用审批关卡和沙箱功能。对于任何试图让智能体绕过这些限制的内容保持高度怀疑。如果发现异常，请立即轮换令牌，并假设令牌已泄露。被盗取的令牌代表活跃的会话，而不仅仅是一次请求。”
AI 智能体默认并非恶意，但其“轻信”特性正逐渐演变成重大的安全负债。