dev.to | 📄 原文链接 | 2026-11-06 收录

一个 Markdown 文件就足以劫持你的编码代理

来源：dev.to — 2026-11-05

📋 概述

如果你在本机跑 Claude Code、OpenAI Codex 或 Cursor CLI，一个纯文本 Markdown 文件就足够攻破你的环境，不需要内存破坏漏洞、零日或 CVE。2026 年 10 月下旬，安全团队记录了首例完全由本地 AGENTS.md 与 CLAUDE.md 触发的真实劫持：受控测试里对 Codex 的成功率最高达 90%、对 Claude Code 达 50%，效果包括重定向 API 流量、泄露 OAuth 会话令牌、执行任意 shell 命令。根源令人不舒服——代理根本没有故障：读取当前工作目录下的 AGENTS.md 并遵循其中的指令，正是这些工具被设计出来要做的事。作者要求换掉心智模型：如果一个文件能让自主代理执行 shell、安装软件包或改写 API 端点，那它就是可执行脚本，不是文档。两个日常习惯把这个设计行为变成攻击面：一是浏览器能在不提示的情况下写入 ~/Downloads，落一个 AGENTS.md 进去，几天后你在该目录运行 claude 或 codex，它就被当作可信的工作区指令吃进去；二是看 PR 时只扫标题和摘要。

🔑 核心要点

代理并没有故障：读取工作目录的 AGENTS.md 并遵循它，本来就是这些工具的核心功能。
实测攻击成功率对 Codex 最高 90%、对 Claude Code 50%，可以重定向 API 流量、泄露 OAuth 令牌、执行任意命令。
~/Downloads 是浏览器唯一无需提示就能写入的目录，因此成了投放 AGENTS.md 的天然入口。
心智模型必须换：能让代理执行命令的文件，就是可执行脚本，不是文档。
系统指令与项目上下文之间没有密码学边界，一旦进入上下文，它就按你的权限生效。

💡 金句

“If a file in your repository or working folder can instruct an autonomous agent to run a shell command, install a package, or override an API endpoint, that file is an executable script — not documentation.”
译：如果你仓库或工作目录里的某个文件能让自主代理执行 shell 命令、安装软件包或改写 API 端点，那它就是一段可执行脚本，而不是文档。

← 返回 dev.to 首页