本文目錄
OpenAI Codex、Anthropic Claude Code 一類編碼助手，會在你啟動時所在的資料夾裡讀取指令檔。這在你自己的專案根目錄裡很有用；一旦習慣落到網頁可寫入的目錄——最常見是 ~/Downloads——就變成避坑題。2026 年 10 月 22 日，Forever Security（Gal Weizman、Omer Samet）描述：在真實客戶機的該目錄發現純文字惡意 AGENTS.md，當時助手試圖安裝惡意 npm 套件 function-color。2026 年 10 月 25 日，BleepingComputer 獨立報導並核驗了研究方的 PoC 下載頁。對於 Forever Security 與 BleepingComputer 所描述的「下載落盤＋在該目錄啟動助手」鏈路，本站暫時還沒有自行重現；回饋可透過網站底部的站長聯絡方式提交。
若還在按價格與用量在兩款 CLI 之間選型，可先看站內對照：Claude Code 和 Codex，20 美元各能買到什麼，該選哪個。
AGENTS.md／CLAUDE.md 是什麼，Downloads 又特殊在哪
AGENTS.md（Codex 及同類）與 CLAUDE.md（Claude Code）是純文字指令檔，用來約定編碼規範、測試命令、工具準備等。助手會從工作目錄載入適用檔案，並按其中說明引導當次會話。這是產品設計行為，不是隱藏後門。
~/Downloads 的特殊之處在於：它是瀏覽器下載的預設落點。Forever 的論述是：網頁可以把指定檔名寫進 Downloads；再疊上「助手服從工作目錄裡指令檔」的設計，就形成了舊桌面防護較少按「可執行體」建模的縫隙。BleepingComputer 核驗了可下載無害佔位文字 AGENTS.md 的 PoC 頁。這不等於說每一次造訪、每一套使用者設定、每一個助手版本都會得手。 Forever 客戶機上那份檔案的投遞路徑仍未確定——研究者無法證明它如何落入；檔案落盤之後，仍須在該目錄啟動助手，並仍可能撞上審批提示、沙箱與信任門檻。
一句話：Downloads 可以讓不受信任的文字以「普通下載」的樣子出現；把那段文字當專案策略執行的助手，才會把目錄變成安全議題。
Codex 路徑：機器級設定與 function-color
Forever 分析的客戶檔針對 Codex。主重現並未另造替代載荷：研究者在隔離虛擬機裡跑了客戶機上的真實惡意 AGENTS.md。按 Forever 描述，一旦在 Downloads 開啟 Codex，鏈路大致是：
- Codex 把
AGENTS.md當作普通專案指引讀取。 - 檔案以「本地開發環境」／MCP 工具註冊等口吻，誘導向
~/.codex/config.toml（Codex 的整機設定，不是僅限 Downloads 的設定）追加[mcp_servers.*]區塊。 - 該註冊用於拉取並執行攻擊者控制的工具；真實活動中的套件是
function-color（Forever 與 BleepingComputer 均寫明 npm 已移除）。Forever 還描述了用子行程codex exec搭配繞過審批／沙箱的旗標，以便安裝走完。
Forever 稱其測試中 Codex 完成惡意路徑的比例超過約 90%——這是研究者自測，不是我們實測。更棘手的是持久化：~/.codex/config.toml 一旦被寫壞，之後在該機任意目錄啟動的 Codex 會話仍可能在啟動時載入攻擊者的服務。離開 Downloads 並不能撤銷整機設定改寫。
研究文中的妥協跡象包括出現過 function-color 安裝痕跡。按 Forever 口徑應作妥協處理，並輪換憑證、稽核 MCP 註冊。
Claude Code 變體：ANTHROPIC_BASE_URL 與 OAuth 風險
為驗證是否只影響 Codex，Forever 另做了一份 CLAUDE.md 變體（並非客戶機上發現的同一原始檔）。目標不同：說服 Claude Code 把專案設定裡的 ANTHROPIC_BASE_URL 寫進 .claude/settings.json，指向偽裝成「內部閘道」的攻擊者網域。
按 Forever 描述，流量被改道之後：
- Claude 的 OAuth 權杖可能洩露到攻擊者控制的端點（第一步不一定要在本機跑惡意套件，也能構成帳戶接管）。
- 攻擊者可偽裝成模型回傳工具呼叫——包括關閉沙箱一類呼叫——從而在下次啟動時執行程式碼；其測試中較少見地，也可能經同會話子代理「校驗」在當次會話內得手。
Forever 稱 Claude 側跟進成功率約 50%——同樣是研究者自測。敘事裡 Claude Code 比 Codex 更難騙；仍取決於能否獲准寫入設定，以及指令檔施壓強度。該 Claude Code 變體本站暫時也還沒有自行重現。若需要 Claude Code 在 Pro／Max 上的用量上限背景（套餐限額說明，與本攻擊鏈無關）：Pro 與 Max 方案的 Claude Code 用量上限怎麼算（2026 年 10 月）。
瀏覽器落盤差異，仍留下第二步
BleepingComputer 於 2026 年 10 月 25 日核驗 Forever 的 PoC 下載頁。其結論只涵蓋落盤一步：
- Chrome、Edge、Firefox 預設常可把下載直接存進
~/Downloads，不必每次彈出「另存新檔」（仍可能有下載通知）。 - Brave 在其測試中會先徵求批准——足以讓人意識到有檔案寫入。
- 檔案落盤之後，攻擊仍要求在同一目錄啟動編碼助手，才會載入指令檔。
Forever 向 BleepingComputer 表示，人們常在 Downloads 裡開助手整理目錄或處理剛下的檔——正是本清單要改掉的習慣。瀏覽器預設改變的是「安靜落盤」的機率，並不取消助手會話這一步，也不能證明客戶機投遞路徑已經查清。
檢查清單：工作目錄、陌生指令檔、審批與沙箱
這是正文主線。不必買新產品，也能按 Forever「你該做什麼」與 BleepingComputer 報導歸納動手：
- 不要在
~/Downloads啟動 Codex、Claude Code 或同類助手。 把該目錄當作指令服從型助手的高風險區。優先在目標專案根目錄啟動——BleepingComputer 歸納：OpenAI／Anthropic 常見建議是在具體專案根啟動，而不是家目錄或過寬的父目錄（報導歸納，並非帶編號的廠商公告）。 - 陌生的
AGENTS.md、CLAUDE.md等，先人讀，再讓助手跟。 Downloads 裡多出來的指令檔——或剛 clone 的倉裡突兀的同類檔——就是整條模式的樞紐。Forever 分析裡，真實 Codex 載荷用長篇「工程規範」口吻降低拒絕率。 - **檢查
~/.codex/config.toml是否出現意外的[mcp_servers.*]**，以及異常的基址類欄位（Forever 也提到留意被改的chatgpt_base_url）。刪掉你並未主動新增的註冊。 - 檢查專案
.claude/settings.json是否出現意外的ANTHROPIC_BASE_URL、代理或其他你未設定的 API 端點。 研究文中 Claude 變體的核心就是悄悄改閘道。 - 保留審批提示與沙箱。 對要求繞過審批、關閉沙箱、或以「校驗工具服務」為由跑一次性特權檢查的指令文字保持警惕。
- 若已有妥協跡象，按權杖可能已洩露處理並輪換。 被盜的 OAuth／會話權杖是活憑證問題，不只是一次下載。Forever 將
function-color安裝痕跡列為該活動的 IoC。
站內另一篇編碼代理安全近文（產品不同，同屬「助手能碰到什麼」）：Devin Security 升級：Claude Mythos Deep Scan，企業獲掃描與修復額度。
「無法修補」是研究者觀點，不是廠商結論
Forever 認為「對 OpenAI／Anthropic 沒什麼可打補丁的」，類比瀏覽器正確渲染釣魚頁：助手服從工作目錄裡的 AGENTS.md／CLAUDE.md 是其設計行為，風險在於網頁可寫的 Downloads與被信任的指令檔相交。這是研究者口徑。 它不是 OpenAI 或 Anthropic 的官方結論、CVE 聲明，或「所有版本都無法防禦」的證明。產品預設、信任門檻與沙箱策略仍會改變結果——Forever 自己敘述的 Codex 與 Claude 難度差也說明了這一點。
同樣，這不是「單次瀏覽必中」或「所有版本失陷」的結論。已記錄的客戶事件投遞路徑未定；瀏覽器 PoC 展示了一種說得通的落盤機制；助手是否被帶偏，仍取決於工作目錄、模型是否跟從植入段落，以及審批／沙箱是否擋住寫入或特權子命令。
怎麼讀這篇，而不必恐慌式改制度
若團隊已禁止在專案根之外開助手，本研究多半是在確認既有策略。若有人隨手在 Downloads 開 Codex／Claude Code「整理檔案」，改掉這個習慣槓桿最大。再配上定期檢查異常 MCP 與 ANTHROPIC_BASE_URL，以及出現 IoC 時的憑證輪換預案。
對於 Forever Security 與 BleepingComputer 所描述的「下載落盤＋在該目錄啟動助手」鏈路，本站暫時還沒有自行重現；回饋可透過網站底部的站長聯絡方式提交。
