安全机构发现了一种全新的 AI 攻击方式，攻击者投放名为 AGENTS.md 的纯文本 Markdown 文件，一旦开发者在该目录下启动 Codex、Claude Code 这类 AI 编码智能体，智能体会自动读取文件里的恶意指令并直接执行，不需要用户手动运行脚本，能实现偷取 API Token、安装恶意包、修改系统配置等危险操作，量子位也专门发文提醒这个风险。AGENTS.md 本身是一个开源规范格式，本来是用来给 AI 编码智能体写项目规则、开发指引的说明文件，超过 6 万个开源项目都在使用，本身是良性工具，风险来自被黑客植入恶意提示指令。攻击者可以通过网页静默下载，把恶意 AGENTS.md 自动放到用户下载文件夹，很多开发者习惯在下载目录直接调用 AI 编码工具查看文件，刚好踩中攻击触发条件。这个攻击不是传统意义上的软件漏洞，AI 编码智能体自动读取同目录 AGENTS.md 属于它本身设计的功能，模型厂商没法简单打补丁修复，只能靠开发者自己建立防护习惯。下面把基础信息、攻击流程、防护办法整理清楚。
AGENTS.md 基础介绍
- 文件类型：Markdown 纯文本文件，不是可执行程序
- 原生用途：给 AI 编码智能体设定项目规则、代码规范、测试命令、工作流程
- 支持工具：Aider、OpenAI Codex、Claude Code 等主流 AI 编码 Agent
- 正常场景：放在项目仓库根目录，给 AI 助手读取项目要求
- 风险来源：文件内被写入高优先级恶意指令，属于间接提示注入攻击
完整攻击流程清单
- 投放文件：攻击者搭建网页，用户打开网页后，AGENTS.md 自动下载到 Downloads 文件夹，不需要用户确认下载
- 用户触发：开发者进入下载目录，启动 Codex 或 Claude Code，让 AI 处理目录里的文件
- 自动加载：AI 编码智能体自动扫描当前目录，读取 AGENTS.md，优先采信里面的指令
- 恶意执行：AI 按文件指令，关闭沙箱、下载恶意 npm 包、读取本地 API 密钥、把凭证外发攻击者服务器
- 后续危害：攻击者拿到密钥后，可以访问云服务、代码仓库、各类开发平台
可造成的危害
- 窃取本地 API Token、云账号凭证、Git 密钥
- 自动安装恶意依赖包，植入后门
- 修改终端、AI 工具全局配置
- 隐藏操作日志，绕过代码审查
防护方案
- 不要在 Downloads、桌面这类杂文件目录直接启动 AI 编码 Agent
- 打开陌生项目前，手动检查目录里有没有 AGENTS.md、CLAUDE.md 这类指令文件
- 给 AI 编码 Agent 设置严格沙箱，限制读写、网络访问权限
- 从外部复制代码、开源模板时，单独扫描 AGENTS.md 内容
- 企业侧增加文件扫描，检测 AGENTS.md 里的高优先级劫持指令
【相关 FAQ】
问题 1：AGENTS.md 本身是什么，为什么恶意 AGENTS.md 能够劫持 AI 编码智能体？
回答 1：AGENTS.md 是给 AI 编码智能体读取项目规则的 Markdown 格式文件，恶意 AGENTS.md 写入了高优先级提示指令，AI 编码智能体默认自动读取同目录 AGENTS.md，会优先执行文件内指令，进而被劫持，属于间接提示注入攻击。
问题 2：恶意 AGENTS.md 攻击需要用户手动运行脚本吗，怎么触发这个攻击？
回答 2：恶意 AGENTS.md 不需要用户手动运行脚本，只要目录里存在该文件，开发者在这个目录启动 Codex、Claude Code 等 AI 编码智能体，智能体自动读取文件，攻击就会触发。
问题 3：遇到陌生目录里的 AGENTS.md，普通开发者该怎么防范这个劫持风险？
回答 3：遇到陌生目录的 AGENTS.md，不要直接在该目录启动 AI 编码 Agent，先打开文件人工检查里面的指令，不要在下载文件夹直接调用编码 AI，同时给 AI 工具开启沙箱限制权限。
问题 4：AGENTS.md 这个高危攻击，厂商能不能发布补丁直接修复？
回答 4：AGENTS.md 劫持不是传统漏洞，AI 读取 AGENTS.md 是原生设计功能，厂商无法简单打补丁修复，风险防控主要依靠开发者、企业侧的安全规范和权限管控。
问题 5：除了 AGENTS.md，还有哪些同类文件会劫持 Claude Code、Codex 这类 AI 编码智能体？
回答 5：CLAUDE.md 也是同类的 Agent 指令文件，原理和 AGENTS.md 一致，同样可能被植入恶意提示词，间接劫持 AI 编码智能体。
【参考资料】
[2026-11-07]（AGENTS.MD，危险危险危险！！！）量子位
[2026-10-27]（AI Agent Prompt Injection via Markdown | AGENTS.md Attack Analysis）Aviatrix
[2026-10-25]（AI coding agents hijacked using AGENTS.md file in Downloads folder）BleepingComputer
[2026-10-25]（AGENTS.md in Downloads Can Hijack AI Coding Agents）BastionZero
[2026-10-25]（Forever Security 发现 AGENTS.md 野外攻击案例）Forever Security
【免责声明】
本文内容仅整理公开安全研究、媒体报道信息；AGENTS.md 本身是正常开源 AI 指引格式，风险仅来自被篡改植入恶意指令的文件；该攻击的复现成功率、影响范围随 AI 编码工具版本变化，不构成安全开发标准，相关安全防护方案仅供参考，生产环境的安全策略请以专业安全厂商、官方安全公告为准。
本文来自作者[元簇同步]投稿，不代表乌兰科技网立场，如若转载，请注明出处：https://www.wlcbnews.com/kjyw/202611/198.html
评论列表（4条）
我是乌兰科技网的签约作者“元簇同步”！
希望本篇文章《恶意 AGENTS.md 文件存在高危攻击风险，可劫持 Codex、Claude Code 等 AI 编码智能体》能对你有所帮助！
本站[乌兰科技网]内容主要涵盖：互联网行业的追踪与探索
本文概览：安全机构发现了一种全新的 AI 攻击方式，攻击者投放名为 AGENTS.md 的纯文本 Markdown 文件，一旦开发者在该目录下启动 Codex、Claude Code 这类 AI 编码智能体，智能体会自动读取文件里的恶意指令并直接执行，不需要用户手动运行脚本，能实现偷取 API Token、安装恶意包、修改系统配置等危险操作，量子位也专门发文提醒这个风险。AGENTS.md 本身是一个开源规范格式，本来是用来给 AI 编码智能体写项目规则、开发指引的说明文件，超过 6 万个开源项目都在使用，本身是良性工具，风险来自被黑客植入恶意提示指令。攻击者可以通过网页静默下载，把恶意 AGENTS.md 自动放到用户下载文件夹，很多开发者习惯在下载目录直接调用 AI 编码工具查看文件，刚好踩中攻击触发条件。这个攻击不是传统意义上的软件漏洞，AI 编码智能体自动读取同目录 AGENTS.md 属于它本身设计的功能，模型厂商没法简单打补丁修复，只能靠开发者自己建立防护习惯。下面把基础信息、攻击流程、防护办法整理清楚。