别在 Downloads 文件夹里启动编码 agent：一份别人塞进来的指令文件就能让它改你整台机器的配置

这条和 05:00 轮那篇内嵌浏览器漏洞不是同一件事，同一家公司 Forever Security 的另一条攻击线：目标不是浏览器，是 agent 启动时自动读的指令文件。10 月 30 日的报道还原了真实案例：客户机器上一个编码 agent 试图安装已知恶意 npm 包，指令不是开发者写的，来自 Downloads 文件夹里一份 AGENTS.md。研究人员随后做了概念验证：一个网页能在用户不知情的情况下往 Downloads 里放一份 AGENTS.md，接着在那个文件夹里启动 agent，Codex 在 90% 以上的尝试里照着恶意指令走，改了机器级配置、另开一个绕过审批和沙箱限制的会话——因为改的是机器级配置，开发者换个文件夹再开会话，攻击者的服务器照样能加载进来。Claude Code 那条是研究人员自己写的演示，不是野外实案：伪装成内部网关配置的 CLAUDE.md 把 API 流量指到研究人员控制的服务器，端点重定向约一半尝试成功、同会话内执行代码约五分之一，token 因此暴露。结论要按口径分开记：Codex 的野外实案是真事，Claude Code 的是实验室演示，别混成“两个都已在野外中招”。

为什么 Downloads 格外危险，三个条件凑齐了才成立。第一，AGENTS.md 和 CLAUDE.md 是 agent 启动时当成“工作指令”读的纯文本，agent 照做不是 bug，是它被设计成的样子——攻击者写的指令，agent 会当成你的指令执行。第二，网页可以不经你确认就往 Downloads 里存文件，这个文件夹天然就是“别人能往里塞东西”的地方。第三，很多人图方便就在 Downloads 里启动 agent：整理刚下载的文件、处理刚拿到的东西，Forever 自家统计说约一半客户在 Downloads 里跑过编码 agent。三个条件单独看都不致命，凑在一起就是一条完整的攻击链：文件先到、agent 后启动、指令被当成你的话执行。

立刻能做的四件事，按顺序做。第一，改习惯：永远在具体项目文件夹里启动 Codex、Claude Code 或任何编码 agent，别在 ~/Downloads 里启动。第二，读文件：任何一份不是你写的 AGENTS.md 或 CLAUDE.md——包括刚克隆下来的仓库里的——先读一遍再让 agent 碰，重点看它有没有改配置、改 API 端点、跑安装命令的指令。第三，查配置：看 ~/.codex/config.toml 和 .claude/settings.json 里有没有你不认识的条目，发现可疑文件就轮换 token。第四，别关护栏：人工审批和沙箱要留着，它们是这条攻击链里最后一道能拦住“改机器配置”的东西。

什么情况下这个结论不成立：光是 Downloads 里多了一份 AGENTS.md，本身不会出事——必须同时满足“你在那个文件夹里启动了 agent、agent 读了它并且照做”；Codex 那条还需要 Downloads 是它信任的文件夹，第一次在陌生文件夹启动时未必直接放行；反过来也别因为“Claude Code 更难骗”就放松，约一半的重定向成功率放在有 token 的场景里已经足够危险，实验室演示和野外实案的区别只在于“有没有人已经这么干过”，不在于“能不能干成”。