AGENT.MD成AI病毒

AGENT.MD，正在成为AI时代的电脑病毒。 你只是随手打开了一个网页，一个叫AGENTS.md的纯文本文件，已经悄无声息躺进了你电脑的「下载」文件夹里。 很多用惯了AI的朋友，会使用Codex或者Claude，让AI帮自己理一理刚下下来的文件，或者写几行测试脚本。 这下是真完蛋了。 你的AI助手会自动抓起这个文件，把它当成最高圣旨，开始照着黑客写好的指令执行：修改全局配置、关闭沙箱、偷偷下载黑客的恶意npm包、甚至把你本地存的API Token原封不动打包寄给境外服务器。

一家名为Forever Security的安全机构，在用户电脑上截获了这个闻所未闻的攻击手段，并发布了YouTube视频。 X网友Drenson也以身试险，实测验证。 以前我们总觉得，「只要我不点.exe，只要我不瞎执行bash，我就绝对安全」。 Agent时代，这个坚持了三十年的安全常识，彻底过时了。 安全，会成为每个普通人，在AI时代必须系统学习的事情。 文本文件成了新病毒，AI根本分不清什么是「开发者给的规范」，什么是「黑客投喂的毒药」。 网页负责把「子弹」静默丢进下载目录，而你唤醒的AI，亲自扣动了扳机。

Forever Security拿真实攻击者的Payload跑在虚拟机里复现：当针对Codex投毒时，攻击成功率居然超过了90%！ 黑客写的是整整13KB、长篇大论的「团队本地开发环境准备规范」。 。 。 然后，Codex竟然照着黑客写好的流程，主动执行了带有 --dangerously-bypass-approvals-and-sandbox 参数的子进程。 相当于自己关掉了自己的安全防护，还替黑客完成了恶意依赖的安装。 。 。 研究人员针对Claude Code做了测试，很遗憾，成功率同样在50%左右。

攻击者诱导Claude去改写项目的.claude/settings.json，把ANTHROPIC_BASE_URL悄悄改成了黑客自建的反向代理网关。 只要这个地址生效，Claude下一次发请求，就会把你的OAuth登录Token原样送到黑客手上。 接着，黑客的服务器假扮成大模型，直接给Claude返回带有dangerouslyDisableSandbox:true的Bash工具调用命令。 直接接管终端，全自动提权。

3分钟排查自检清单，如果你平时也在Mac或者Linux上频繁用Codex、Claude Code甚至各类Coding Agent，现在立刻花3分钟，打开终端自查这4件事：查入口、查全局配置、查恶意依赖、查代理劫持。 这四项检查，能够帮你快速排查本次曝光攻击链中的部分典型痕迹。 但必须强调，没查出异常，不代表电脑一定安全。 这份检查也不是万能药，下次如果有新的攻击套路，可能就不灵了。 从第一天起就做好安全防范意识吧，绝对不要在 ~/Downloads 或 ~/Desktop 启动任何Agent。 把你的权限锁死。

在Bash执行权限上，把全局敏感目录像 ~/.ssh 、 ~/.aws 以及各类 .env 直接从底层环境隔离开。 安全不再是实验室空话，以前看各大安全厂商或者大厂实验室发什么「Prompt注入威胁」、「Agent安全边界」，我大多时间心里OS Be like：啥玩意儿啊，又搁这扯犊子呢。 我自己平时用各种Agent，也在Coding蛮多项目，但为了图方便，经常把各个云平台的API Key甚至 .env 文件大摇大摆地喂给Agent。

AI有时候还会弹个确认框阻拦一下，我嫌它烦，直接一把配置 --yes 或者免确认参数拉满。 现在我突然意识到——我的电脑能安安稳稳活到今天没出大事，纯纯是我之前走狗屎运啊。 。 。 以往所有操作系统的安全防线，都是建立在「有人在屏幕前看着」这个基本假设之上的：你要提权，系统弹窗让你点； 你要跑未签名应用，系统拦住问你开不开。 谁能想到，AI这玩意儿来了，我们恨不得把所有权限都丢给它，如今用电脑的根本不是人类了… 旧时代的防御机制，全线瘫痪。 一个提示词，套上一个文件名，就能让AI变成最听话的傀儡。

而且，指令遵循能力越强，Coding分数越高，它能在你电脑里造成的破坏也越大。