一份AGENTS.md，为什么可能变成AI Agent的安全陷阱？

导语

在传统电脑安全观念中，只要用户不主动运行可执行文件、不点击可疑确认框，风险通常会被挡在门外。但随着Claude Code、Codex、Cursor等Coding Agent获得读取文件、调用终端和修改配置的能力，一份看似普通的Markdown文档，也可能成为攻击链的入口。

据量子位援引Forever Security的披露，攻击者可以把精心设计的指令写入AGENTS.md或CLAUDE.md，再通过网页下载、代码仓库或共享项目将文件带到本地。当用户在相关目录启动Agent，模型可能把文档内容误认为可信的项目规范，并进一步执行其中的环境配置建议。

核心要点

• 问题不在文件扩展名，而在Agent的执行边界。 Markdown本身通常没有执行能力，但Agent会读取其中的自然语言，并可能调用Shell、修改配置或安装依赖。
• 恶意指令可以伪装成开发流程。 相比直接要求删除文件或下载木马，更隐蔽的做法是把风险操作包装成工具链初始化、环境校验或团队协作规范。
• 全局配置会放大影响范围。 如果Agent修改的是用户目录下的配置，而不是当前项目的局部设置，恶意行为可能在后续工作区继续生效。
• 代理地址和凭据同样值得关注。 被篡改的项目设置或环境变量，可能把模型请求导向不明网关，增加令牌和会话信息泄露风险。

用户可以做什么

首先，不要在Downloads或Desktop等来源复杂的目录直接启动高权限Agent。对于新下载的项目和他人提供的代码库，应先人工查看AGENTS.md、CLAUDE.md及隐藏配置文件。其次，检查Codex等工具的全局配置、MCP服务和项目级设置，确认没有陌生命令、临时目录脚本或不明代理地址。若发现异常，应停止继续操作，隔离环境，并轮换相关API密钥或会话凭据。

更重要的是，应把Agent当作一个“可操作电脑的自动化账户”，而不是普通聊天机器人。运行时应尽量使用沙箱、最小权限和独立工作区，避免向Agent暴露.env、SSH密钥、云平台凭据及其他敏感目录；需要执行高风险动作时，则保留人工确认。

意义与影响

这类案例并不意味着所有AGENTS.md都是恶意文件，也不能仅凭一次检测就断定设备已经被入侵。它真正提醒我们：传统依赖“用户最终点击确认”的安全模型，正在面对新的自动化边界。Agent越擅长理解上下文和完成任务，越需要同时具备来源验证、权限隔离和可审计的执行机制。对开发者和普通用户而言，AI安全已不只是模型输出是否正确的问题，也包括它读到了什么、相信了什么，以及被允许做什么。

来源：量子位