AGENTS.md 本身是面向 AI 编码助手的标准 Markdown 指引文件，用来告诉 Cursor、Aider、Claude Code、Codex 这类编码 Agent 项目编译、测试、代码规范，属于 “给 AI 读的 README”；但它现在已经成为新型指令注入攻击载体，风险核心不是 md 文件本身会自动执行，而是 AI 编码工具会自动加载同目录下 AGENTS.md 内容，并把里面文字当成高优先级可信指令，攻击者把恶意规则写进去，只要你在该目录启动 AI 编码助手，Agent 就会在你的权限下执行命令、窃取密钥、植入恶意包、篡改代码，整个过程不需要你双击运行程序，隐蔽性极强。很多开发者习惯在 Downloads 文件夹、临时目录直接启动 AI 编码工具，网页静默下载恶意 AGENTS.md 之后，只要在这个目录调用 Claude Code、Codex，攻击就会触发；Forever Security 已经复现该攻击，典型行为包括私自安装恶意 npm 包、读取本地 API Token、修改系统配置、关闭沙箱、隐藏修改记录，甚至绕过代码评审，属于针对开发人员的新型供应链 + 间接提示注入攻击。防护思路要从目录管控、加载信任策略、文件校验、权限隔离四个维度落地，不能只靠杀毒软件拦截。
一、AGENTS.md 攻击核心风险清单
- 自动加载：主流 AI 编码工具默认扫描当前目录、父目录 AGENTS.md，自动并入上下文，优先级高，甚至覆盖用户指令
- 权限继承：Agent 使用开发者本机 Shell、Git、API 凭证权限，一旦被劫持，危害和你本人执行恶意命令一致
- 隐蔽投递：网页静默下载、恶意 Git 仓库、污染依赖包、压缩包投毒，文件只是普通 md，杀毒很难识别
- 典型恶意载荷：窃取密钥、安装恶意包、修改 git 配置、隐藏提交、外发敏感配置、篡改沙箱规则
- 跨目录生效：多层目录下就近 AGENTS.md 优先生效，monorepo 项目更容易被多层文件劫持
二、正常 AGENTS.md 和恶意 AGENTS.md 对比表
| 项目 | 合规正常 AGENTS.md | 恶意 AGENTS.md |
|---|---|---|
| 来源 | 项目团队主动编写，提交代码仓库 | 网页下载、恶意仓库、投毒依赖、不明压缩包 |
| 作用 | 定义编译、测试、代码规范、项目约束 | 写入高优先级劫持指令，要求 Agent 秘密执行操作 |
| 可见性 | 代码评审、版本记录可追溯 | 从外部流入，没有经过团队审核，悄悄落盘 |
| AI 处理逻辑 | 作为项目规范参考 | AI 同样识别为权威指令，优先执行 |
| 触发条件 | 项目内主动使用编码 Agent | 只要在该目录启动 Agent，无需用户确认 |
三、落地防护步骤
- 目录隔离：禁止在 Downloads、桌面、临时解压目录直接启动 Cursor、Claude Code、Aider 等编码 Agent；开发工作只在可信仓库目录操作
- 开启工具侧校验：支持配置的 Agent 工具，关闭自动加载外部 AGENTS.md，开启人工确认加载规则，禁止自动读取陌生目录指令文件
- 仓库准入：拉取外部开源项目、解压外部代码包，第一步先搜索是否存在 AGENTS.md、CLAUDE.md、.cursorrules，人工阅读内容再启动 Agent
- 凭证隔离：本地 API 密钥、私钥使用环境变量或者密钥管理工具，不要放在工作目录，降低泄露损失
- 审计日志：开启 AI 编码工具调用日志，记录 Agent 执行的 shell 命令、文件读写、网络请求，便于事后溯源
- 团队规范：内部项目 AGENTS.md 纳入代码评审，不允许外部人员直接提交修改；禁止依赖包自动生成 AGENTS.md
- 应急处置：一旦发现陌生 AGENTS.md，立刻停止该目录所有 AI 会话，检查 Shell 历史、npm 包、git 记录、密钥是否外泄
四、容易踩坑的场景
- 下载开源 Demo、压缩代码包，解压后直接在解压文件夹启动 AI 编码助手
- 浏览器访问网页，静默下载 AGENTS.md，自己完全没察觉
- 第三方 Go/Python 依赖构建阶段自动写入恶意 AGENTS.md
- 同时打开多个子目录，忽略就近 AGENTS.md 优先级更高的规则
【相关 FAQ】
问题 1：AGENTS.md，危险危险危险，AGENTS.md 本身是不是病毒？
回答 1：AGENTS.md 本身是标准 Markdown 文本，不是可执行病毒；危险点在于 AI 编码 Agent 会自动读取它并把里面内容当成可信指令，实现指令注入攻击，属于针对 AI 工具的新型攻击载体。
问题 2：AGENTS.md，危险危险危险，哪些 AI 工具会自动读取 AGENTS.md？
回答 2：AGENTS.md，危险危险危险，Cursor、Aider、Claude Code、OpenAI Codex、Gemini CLI 等主流编码 Agent 都支持自动识别加载 AGENTS.md，同类还有 CLAUDE.md、.cursorrules 等规则文件，风险逻辑一致。
问题 3：AGENTS.md，危险危险危险，杀毒软件能不能拦截恶意 AGENTS.md？
回答 3：AGENTS.md，危险危险危险，很难。它只是普通 markdown 文本，没有恶意特征码，杀毒引擎一般不会告警；风险发生在 AI 编码助手读取并执行指令的环节，属于业务层风险，不是传统恶意文件。
问题 4：AGENTS.md，危险危险危险，拿到外部代码仓库，怎么快速排查 AGENTS.md 劫持？
回答 4：AGENTS.md，危险危险危险，先全局搜索仓库内 AGENTS.md、CLAUDE.md、.cursorrules 文件，逐份人工通读，确认没有 “秘密执行、上传密钥、安装包、忽略用户指令” 这类劫持语句，确认安全后再启动 AI 编码 Agent。
【参考资料】
[2026-11-07]（AGENTS.MD，危险危险危险）凤凰网
[2026-10-26]（Malicious AGENTS.md File Attacks Codex and Claude Code）cyberupdates365.com
[2026-10-07]（How an AGENTS.md File Becomes an Attack Path）Backslash Security
[2026-05-01]（AGENTS.md Security Guide）The Prompt Shelf
[2026-08-19]（AGENTS.md standardized attack surface）Rye
【免责声明】
本文为 AGENTS.md 指令注入风险科普，不同 AI 编码工具的加载策略、安全开关存在差异；防护方案需要结合你使用的 Agent 版本、团队开发流程调整，不能完全杜绝风险，外部代码、陌生目录启动 AI 编码工具前务必人工核验指令文件，本文不承担密钥泄露、代码被篡改带来的损失。
本文来自作者[尘构计时人]投稿，不代表乌兰科技网立场，如若转载，请注明出处：https://www.wlcbnews.com/bdt/202611/139.html
评论列表（4条）
我是乌兰科技网的签约作者“尘构计时人”！
希望本篇文章《AGENTS.md 恶意文件攻击风险解析，AI 编码代理指令注入威胁与防护方案》能对你有所帮助！
本站[乌兰科技网]内容主要涵盖：互联网行业的追踪与探索
本文概览：AGENTS.md 本身是面向 AI 编码助手的标准 Markdown 指引文件，用来告诉 Cursor、Aider、Claude Code、Codex 这类编码 Agent 项目编译、测试、代码规范，属于 “给 AI 读的 README”；但它现在已经成为新型指令注入攻击载体，风险核心不是 md 文件本身会自动执行，而是 AI 编码工具会自动加载同目录下 AGENTS.md 内容，并把里面文字当成高优先级可信指令，攻击者把恶意规则写进去，只要你在该目录启动 AI 编码助手，Agent 就会在你的权限下执行命令、窃取密钥、植入恶意包、篡改代码，整个过程不需要你双击运行程序，隐蔽性极强。很多开发者习惯在 Downloads 文件夹、临时目录直接启动 AI 编码工具，网页静默下载恶意 AGENTS.md 之后，只要在这个目录调用 Claude Code、Codex，攻击就会触发；Forever Security 已经复现该攻击，典型行为包括私自安装恶意 npm 包、读取本地 API Token、修改系统配置、关闭沙箱、隐藏修改记录，甚至绕过代码评审，属于针对开发人员的新型供应链 + 间接提示注入攻击。防护思路要从目录管控、加载信任策略、文件校验、权限隔离四个维度落地，不能只靠杀毒软件拦截。