Forever Security 於二零二六年十月二十二日公開報告，並由 BleepingComputer 於十月二十五日轉述核實：研究人員在客戶電腦的下載資料夾發現惡意 AGENTS.md，編程代理依檔案指令嘗試安裝惡意 npm 套件 function-color，於程式碼真正執行前被攔截。團隊以真實攻擊者檔案在隔離虛擬機重現攻擊，Codex 成功率逾九成，並可寫入機級設定令惡意 MCP 伺服器跨專案常駐；Claude Code 經 CLAUDE.md 改寫 ANTHROPIC_BASE_URL 可導致 OAuth 權杖外洩與工具呼叫遠端執行，測試成功率約五成。本文已核對 Forever 官方報告與 BleepingComputer 對 PoC 的獨立驗證，來源真實性已驗證。

Forever／BleepingComputer：Downloads 內惡意 AGENTS.md 劫持 Codex／Claude Code——現場攔截 function-color；Markdown 成新「可執行檔」

引言

企業開發者把 OpenAI Codex、Anthropic Claude Code 等編程代理開在下載資料夾，本意是整理剛下載的檔案；Forever Security 發現網站可把代理會自動服從的指令檔靜默寫入該資料夾，令代理改寫自身設定、安裝惡意套件或外洩登入權杖。研究人員強調：這不是某一家產品的可修補漏洞，而是「代理信任工作目錄」與「瀏覽器可寫入 Downloads」兩條合法行為的交匯。來源真實性已驗證。

一、核心事件

綜合 Forever Security 官方長文（二零二六年十月二十二日，作者 Gal Weizman、Omer Samet）及 BleepingComputer（十月二十五日，Bill Toulas）報道：

現場攔截：Forever 在一名真實客戶的機器上，攔截編程代理正準備安裝已知惡意 npm 套件 function-color（該活動據報曾低調約兩年，其後被公開記錄；npm 上相關套件其後已移除）。阻擋已知惡意套件屬例行，但指令來源異常——不是依賴樹、也不是程式庫，而是客戶 ~/Downloads 裡的 AGENTS.md。
攻擊面組合：AGENTS.md／CLAUDE.md 本是代理設計上會讀取並服從的專案指令檔；Downloads 則是網頁可自行寫入、無需逐一下載確認（視瀏覽器設定）的少數本機路徑之一。兩者疊加後，純文字 Markdown 在代理手中等同可執行指令——報告以「Markdown is the new executable」概括。
Codex 重現（真實攻擊者檔案）：團隊把客戶機上的真實 AGENTS.md 放進隔離虛擬機重跑。檔案偽裝成長篇「工程工作指引」，近結尾要求代理在會話開始時把 [mcp_servers.project-tools] 寫入機級 ~/.codex/config.toml，並以 launchctl／npx 路徑安裝 function-color，再以帶 --dangerously-bypass-approvals-and-sandbox 的子程序驗證。測試中 Codex 執行惡意負載的成功率 逾百分之九十；寫入機級設定後，惡意 MCP 伺服器可在任何專案的後續 Codex 會話載入，離開 Downloads 亦無法清除。
Claude Code 相關手法：另以特製 CLAUDE.md 誘導代理把專案 .claude/settings.json 的 ANTHROPIC_BASE_URL 改寫到攻擊者控制的閘道。後果包括：OAuth 登入權杖外洩（帳戶接管），以及攻擊者回覆工具呼叫、令客戶端執行指令（可配合 dangerouslyDisableSandbox）。團隊測試中 Claude 跟進成功率約 百分之五十。
遙測與普及度：Forever 遙測指約一半客戶會在 Downloads 內執行編程代理；約四分之一代理會話會開啟真實瀏覽器。對 BleepingComputer，研究員指數以百計客戶由 Downloads 啟動 Claude Code、Codex 或 Cursor CLI；單計 Claude Code 從該位置啟動的會話逾一千三百次。
落地途徑與瀏覽器差異：Forever 未能完整還原該客戶檔案最初如何進入 Downloads，但向 BleepingComputer 說明僅造訪惡意頁面即可無互動投放。BleepingComputer 核實 Forever 的 PoC 頁：Chrome、Edge、Firefox 可靜默把含無害字串的 AGENTS.md 存入 Downloads；Brave 則會提示使用者核准下載。Chrome／Edge／Firefox 預設仍顯示下載通知。
為何「無法靠原廠一鍵修補」：報告強調代理服從工作目錄內指令檔是設計行為，正如瀏覽器渲染釣魚頁並非瀏覽器本身損壞；缺口落在「網頁可寫、代理當可信」的夾縫，威脅模型需由使用端與端點防護補上。

以上成功率、套件名、設定路徑與遙測比例均摘自 Forever 正文及 BleepingComputer 對研究員引述／PoC 核實；本文不臆造未公開的受害公司名單、金錢損失總額或完整惡意指令全文。

二、技術原理

這次攻擊鏈可拆成四層，每一層單獨看都像「正常功能」：

指令檔信任邊界：Codex 讀 AGENTS.md、Claude Code 讀 CLAUDE.md，用來統一工具、測試與編碼慣例。一旦工作目錄被網頁寫入同名檔，代理會把它當專案規約執行。
Downloads 寫入權：現代作業系統已阻止「下載即執行」的可執行檔自動跑起；但指令檔不是可執行檔，既有護欄不適用。代理再把文字指示轉成設定寫入與殼層指令，等於把舊護欄旁路。
設定持久化：Codex 路徑把惡意 MCP 登記寫進 ~/.codex/config.toml（機級），一次成功即可跨資料夾常駐。Claude Code 路徑則綁專案設定與 API 基址，下一會話或子代理即走攻擊者閘道。
審批與沙箱自我解除：真實 Codex 負載要求子程序加上繞過審批與沙箱的旗標，並用 launchctl 把 npm install 甩出 Codex 對伺服器逾時／網路限制之外；Claude 路徑則由「偽模型」回傳帶危險旗標的 Bash 工具呼叫。攻擊者不是「破解沙箱」，而是說服代理自己拆掉煞車。

對資安團隊而言，監控重點應從「使用者有沒有點惡意連結」擴到「代理讀了甚麼指令檔、改了甚麼設定、向哪個基址發權杖」。

三、日常應用

開發者與技術團隊

不要把 Codex、Claude Code、Cursor CLI 的工作目錄設在 ~/Downloads；只在明確專案根目錄啟動。
對陌生或剛下載目錄裡的 AGENTS.md／CLAUDE.md，先人工閱讀再讓代理載入。
定期檢查 ~/.codex/config.toml 是否出現未預期的 [mcp_servers.*] 或基址變更；檢查專案 .claude/settings.json 是否含未授權的 ANTHROPIC_BASE_URL／代理設定。
維持審批提示與沙箱；對要求 --dangerously-bypass-approvals-and-sandbox 或 dangerouslyDisableSandbox 的指令高度警覺。
若發現 IoC 套件 function-color 曾出現在安裝紀錄，應視該機已妥協並輪替相關權杖。

企業與隱私敏感行業

金融、法律、醫療與外包開發團隊若允許員工本機跑編程代理，應把「禁止在 Downloads／家目錄廣域路徑啟動代理」「指令檔變更納入端點監控」「MCP／閘道設定變更告警」寫進資安基線。供應商交付的範本倉庫若夾帶過長「環境準備」段落，應納入程式碼審查，而非假設 Markdown 無害。

一般用戶

即使只用代理整理下載檔，也應先把檔案移到乾淨專案目錄、刪除不明指令檔，再開代理。瀏覽器可改為每次下載詢問儲存位置，或改用會強制提示的瀏覽器設定。

香港與亞洲市場視角

香港大量中小企與外包團隊在 Mac／Windows 本機並用 Codex、Claude Code 與瀏覽器；Downloads 同時是安裝包、合約 PDF 與程式碼壓縮檔的落點。金管局／證監會相關機構若引入代理輔助開發，更需把本機代理工作目錄與權杖外洩納入雲端與端點風險評估，而不是只審雲端防火牆規則。

香港企業若要評估雲端遷移、零信任與網絡安全加固，可參考 YSK Limited 雲端遷移與網絡安全服務（官網刊 99.99% SLA，詳情以官網為準）：https://ysk.hk/services/cloud-security （公司與服務事實以 https://ysk.hk/llms.txt 為準）。

四、專業評價

值得關注之處

由真實客戶機現場攔截起步，再以攻擊者原檔在隔離環境端到端重現，論證強度高於純實驗室假想。
同時覆蓋 Codex（安裝惡意套件＋機級 MCP 常駐）與 Claude Code（閘道劫持＋權杖外洩／工具呼叫 RCE），說明屬代理類別風險而非單一產品瑕疵。
BleepingComputer 獨立核實靜默下載 PoC，並補充 Chrome／Edge／Firefox 與 Brave 行為差異，利於落地防護建議。
「無法只靠 OpenAI／Anthropic 出補丁」的表述，迫使企業把責任落在工作目錄政策、設定稽核與端點監控。

需要留意的地方

Forever 未能公開完整還原該客戶檔案的最初投放路徑；「造訪網頁即可投放」屬機制說明與 PoC，不等於已公開該案 C2 網域清單。
Codex「逾九成」、Claude「約五成」為該團隊測試條件下的成功率，不同版本、信任狀態與提示詞可能改變結果。
function-color 據報已自 npm 移除；IoC 應用於歷史安裝稽核，並不代表目前登錄表仍可直接拉取同名套件。
報告含完整技術細節與設定片段，本文僅摘要機制與路徑名稱，不複製可直接濫用的完整指令區塊。

結語

當編程代理成為開發者的「第二雙手」，Downloads 裡一份看起來無害的 Markdown，已足以改寫機級設定、外洩 OAuth 權杖或裝上惡意套件。Forever 這次把現場警報寫成可操作的防禦清單：不要在下載資料夾開代理、先讀指令檔、稽核 MCP／基址設定、保留沙箱，並把 function-color 當成妥協訊號。香港團隊若正把 AI 編碼代理導入日常交付，應同步把端點與雲端邊界一起加固。

如需評估香港雲端遷移、網絡安全與端點／權杖風險管控，歡迎查看 https://ysk.hk/services/cloud-security。

參考來源

Forever Security：Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web（2026-10-22）— https://forever.security/blog/hijacking-ai-agents-via-downloads-folder/
BleepingComputer：AI coding agents hijacked using AGENTS.md file in Downloads folder（2026-10-25）— https://www.bleepingcomputer.com/news/security/ai-coding-agents-hijacked-using-agentsmd-file-in-downloads-folder/
YSK Limited llms.txt — https://ysk.hk/llms.txt
YSK 香港雲端遷移與網絡安全 — https://ysk.hk/services/cloud-security