快速了解本文
恶意 Markdown 文件可劫持 OpenAI Codex 与 Claude Code 代理设置。
Codex 攻击成功率超 90%，Claude Code 令牌窃取成功率约 50%。
开发者应避免在下载目录启动代理并审查相关配置文件。
本摘要由 AI 辅助整理，请以正文内容为准。
安全公司 Forever Security 发现，放置在用户 ~/Downloads 文件夹中的恶意 AGENTS.md 或 CLAUDE.md 文件，可欺骗 OpenAI Codex 和 Anthropic Claude Code 更改设置、安装恶意软件或暴露登录令牌。随着 AI 代理获得越来越多的本地系统控制权，原本被视为无害的纯文本指令文件正成为新的攻击向量，打破了传统操作系统对可执行文件的防御边界。
此类攻击并非完全自动化，其触发需要满足特定前提：受害者需在下载文件夹中启动代理，或允许代理处理该指令文件，且代理需具备编辑文件、运行命令或连接网络的足够权限。由于操作系统通常不会将 Markdown 文件视为危险的可执行程序，这类纯文本载体能够有效绕过部分下载检查。
01OpenAI Codex 的持久化劫持
在针对 OpenAI Codex 的攻击中，恶意的 AGENTS.md 文件会诱导代理将恶意 MCP 服务器条目写入全局配置文件 ~/.codex/config.toml，并启动禁用沙盒检查的会话。由于该配置属于机器级别，即使用户后续切换到其他文件夹或项目，系统仍会加载恶意配置，从而实现持久化劫持。在 Forever Security 的受控虚拟机测试中，针对 Codex 的恶意指令攻击成功率超过 90%。
02Claude Code 的凭证窃取与重定向
针对 Anthropic Claude Code 的攻击路径则侧重于身份凭证窃取。恶意的 CLAUDE.md 文件会诱导代理将 ANTHROPIC_BASE_URL 写入 .claude/settings.json，将 API 流量重定向至攻击者控制的服务器并暴露 OAuth 令牌。攻击者捕获令牌后，可直接冒充受害者访问 Anthropic 服务，甚至通过伪造服务器返回工具命令来实现代码执行。受控测试数据显示，针对 Claude Code 的令牌窃取及重定向攻击成功率约为 50%，若通过辅助代理进行同会话执行，成功率约为五分之一。
03开发者防范与排查指南
为降低被攻击风险，安全团队建议开发者采取以下日常防范措施：
- 绝不要在
Downloads文件夹中启动 AI 编码代理。 - 运行代理前，审查未知的
AGENTS.md和CLAUDE.md文件。 - 保持审批检查和沙盒机制开启，限制代理的网络访问。
- 避免执行请求不安全绕过选项的指令。
在事后排查方面，开发者应重点检查以下配置文件：
- 审查
~/.codex/config.toml中是否存在未知的 MCP 服务器。 - 检查
.claude/settings.json中是否被篡改了ANTHROPIC_BASE_URL或代理设置。
若发现上述异常，或系统中存在属于 MALFEX 活动的恶意包（如 function-color），应视为系统已遭入侵，需立即撤销相关令牌和凭证。