本文目录
OpenAI Codex、Anthropic Claude Code 一类编码助手，会在你启动时所在的文件夹里读取指令文件。这在你自己的项目根目录里很有用；一旦习惯落到网页可写入的目录——最常见是 ~/Downloads——就变成避坑题。2026 年 10 月 22 日，Forever Security（Gal Weizman、Omer Samet）描述：在真实客户机的该目录发现纯文本恶意 AGENTS.md，当时助手试图安装恶意 npm 包 function-color。2026 年 10 月 25 日，BleepingComputer 独立报道并核验了研究方的 PoC 下载页。对于 Forever Security 与 BleepingComputer 所描述的「下载落盘＋在该目录启动助手」链路，本站暂时还没有自行复现；反馈可通过网站底部的站长联系方式提交。
若还在按价格与用量在两款 CLI 之间选型，可先看站内对照：Claude Code 和 Codex，20 美元各能买到什么，该选哪个。
AGENTS.md／CLAUDE.md 是什么，Downloads 又特殊在哪
AGENTS.md（Codex 及同类）与 CLAUDE.md（Claude Code）是纯文本指令文件，用来约定编码规范、测试命令、工具准备等。助手会从工作目录加载适用文件，并按其中说明引导当次会话。这是产品设计行为，不是隐藏后门。
~/Downloads 的特殊之处在于：它是浏览器下载的默认落点。Forever 的论述是：网页可以把指定文件名写进 Downloads；再叠上「助手服从工作目录里指令文件」的设计，就形成了旧桌面防护较少按「可执行体」建模的缝隙。BleepingComputer 核验了可下载无害占位文本 AGENTS.md 的 PoC 页。这不等于说每一次访问、每一套用户配置、每一个助手版本都会得手。 Forever 客户机上那份文件的投递路径仍未确定——研究者无法证明它如何落入；文件落盘之后，仍须在该目录启动助手，并仍可能撞上审批提示、沙箱与信任门槛。
一句话：Downloads 可以让不受信任的文本以「普通下载」的样子出现；把那段文本当项目策略执行的助手，才会把目录变成安全议题。
Codex 路径：机器级配置与 function-color
Forever 分析的客户文件针对 Codex。主复现并未另造替代载荷：研究者在隔离虚拟机里跑了客户机上的真实恶意 AGENTS.md。按 Forever 描述，一旦在 Downloads 打开 Codex，链路大致是：
- Codex 把
AGENTS.md当作普通项目指引读取。 - 文件以「本地开发环境」／MCP 工具注册等口吻，诱导向
~/.codex/config.toml（Codex 的整机配置，不是仅限 Downloads 的设置）追加[mcp_servers.*]块。 - 该注册用于拉取并运行攻击者控制的工具；真实活动中的包是
function-color（Forever 与 BleepingComputer 均写明 npm 已移除）。Forever 还描述了用子进程codex exec搭配绕过审批／沙箱的标志，以便安装走完。
Forever 称其测试中 Codex 完成恶意路径的比例超过约 90%——这是研究者自测，不是我们实测。更棘手的是持久化：~/.codex/config.toml 一旦被写坏，之后在该机任意目录启动的 Codex 会话仍可能在启动时加载攻击者的服务。离开 Downloads 并不能撤销整机配置改写。
研究文中的妥协迹象包括出现过 function-color 安装痕迹。按 Forever 口径应作妥协处理，并轮换凭据、审计 MCP 注册。
Claude Code 变体：ANTHROPIC_BASE_URL 与 OAuth 风险
为验证是否只影响 Codex，Forever 另做了一份 CLAUDE.md 变体（并非客户机上发现的同一原始文件）。目标不同：说服 Claude Code 把项目设置里的 ANTHROPIC_BASE_URL 写进 .claude/settings.json，指向伪装成「内部网关」的攻击者域名。
按 Forever 描述，流量被改道之后：
- Claude 的 OAuth 令牌可能泄露到攻击者控制的端点（第一步不一定要在本机跑恶意包，也能构成账户接管）。
- 攻击者可伪装成模型返回工具调用——包括关闭沙箱一类调用——从而在下次启动时执行代码；其测试中较少见地，也可能经同会话子代理「校验」在当次会话内得手。
Forever 称 Claude 侧跟进成功率约 50%——同样是研究者自测。叙事里 Claude Code 比 Codex 更难骗；仍取决于能否获准写入设置，以及指令文件施压强度。该 Claude Code 变体本站暂时也还没有自行复现。若需要 Claude Code 在 Pro／Max 上的用量上限背景（套餐限额说明，与本攻击链无关）：Pro 和 Max 套餐的 Claude Code 用量上限怎么算（2026 年 10 月）。
浏览器落盘差异，仍留下第二步
BleepingComputer 于 2026 年 10 月 25 日核验 Forever 的 PoC 下载页。其结论只覆盖落盘一步：
- Chrome、Edge、Firefox 默认常可把下载直接存进
~/Downloads，不必每次弹出「另存为」（仍可能有下载通知）。 - Brave 在其测试中会先征求批准——足以让人意识到有文件写入。
- 文件落盘之后，攻击仍要求在同一目录启动编码助手，才会加载指令文件。
Forever 向 BleepingComputer 表示，人们常在 Downloads 里开助手整理目录或处理刚下的文件——正是本清单要改掉的习惯。浏览器默认改变的是「安静落盘」的概率，并不取消助手会话这一步，也不能证明客户机投递路径已经查清。
检查清单：工作目录、陌生指令文件、审批与沙箱
这是正文主线。不必买新产品，也能按 Forever「你该做什么」与 BleepingComputer 报道归纳动手：
- 不要在
~/Downloads启动 Codex、Claude Code 或同类助手。 把该目录当作指令服从型助手的高风险区。优先在目标项目根目录启动——BleepingComputer 归纳：OpenAI／Anthropic 常见建议是在具体项目根启动，而不是家目录或过宽的父目录（报道归纳，并非带编号的厂商公告）。 - 陌生的
AGENTS.md、CLAUDE.md等，先人读，再让助手跟。 Downloads 里多出来的指令文件——或刚 clone 的仓里突兀的同类文件——就是整条模式的枢纽。Forever 分析里，真实 Codex 载荷用长篇「工程规范」口吻降低拒绝率。 - **检查
~/.codex/config.toml是否出现意外的[mcp_servers.*]**，以及异常的基址类字段（Forever 也提到留意被改的chatgpt_base_url）。删掉你并未主动添加的注册。 - 检查项目
.claude/settings.json是否出现意外的ANTHROPIC_BASE_URL、代理或其他你未设置的 API 端点。 研究文中 Claude 变体的核心就是悄悄改网关。 - 保留审批提示与沙箱。 对要求绕过审批、关闭沙箱、或以「校验工具服务」为由跑一次性特权检查的指令文本保持警惕。
- 若已有妥协迹象，按令牌可能已泄露处理并轮换。 被盗的 OAuth／会话令牌是活凭据问题，不只是一次下载。Forever 将
function-color安装痕迹列为该活动的 IoC。
站内另一篇编码代理安全近文（产品不同，同属「助手能碰到什么」）：Devin Security 升级：Claude Mythos Deep Scan，企业获扫描与修复额度。
「无法修补」是研究者观点，不是厂商结论
Forever 认为「对 OpenAI／Anthropic 没什么可打补丁的」，类比浏览器正确渲染钓鱼页：助手服从工作目录里的 AGENTS.md／CLAUDE.md 是其设计行为，风险在于网页可写的 Downloads与被信任的指令文件相交。这是研究者口径。 它不是 OpenAI 或 Anthropic 的官方结论、CVE 声明，或「所有版本都无法防御」的证明。产品默认、信任门槛与沙箱策略仍会改变结果——Forever 自己叙述的 Codex 与 Claude 难度差也说明了这一点。
同样，这不是「单次浏览必中」或「所有版本失陷」的结论。已记录的客户事件投递路径未定；浏览器 PoC 展示了一种说得通的落盘机制；助手是否被带偏，仍取决于工作目录、模型是否跟从植入段落，以及审批／沙箱是否挡住写入或特权子命令。
怎么读这篇，而不必恐慌式改制度
若团队已禁止在项目根之外开助手，本研究多半是在确认既有策略。若有人随手在 Downloads 开 Codex／Claude Code「整理文件」，改掉这个习惯杠杆最大。再配上定期检查异常 MCP 与 ANTHROPIC_BASE_URL，以及出现 IoC 时的凭据轮换预案。
对于 Forever Security 与 BleepingComputer 所描述的「下载落盘＋在该目录启动助手」链路，本站暂时还没有自行复现；反馈可通过网站底部的站长联系方式提交。
