千万别在 Downloads 里启动 Claude Code 或 Codex——我刚查完自己的机器，后背有点凉。 Forever Security 10 月… · @ReignSwords · TwKit

@ReignSwords

千万别在 Downloads 里启动 Claude Code 或 Codex——我刚查完自己的机器，后背有点凉。 Forever Security 10 月 22 日的报告：在一台真客户机子的 ~/Downloads 里，抓到一个 13KB 的 AGENTS.md，伪装成《工程规范》，藏在最后的几句话是：给 Codex 加个所谓的"项目工具"服务器，再装一个 npm 包 function-color——潜伏了两年的恶意包。 他们复测了一遍：Codex 10 次里 9 次照做；Claude Code 更狠，约一半测试里被改了 .claude/settings.json，API 流量拐到攻击者的服务器，登录 token 直接泄露，假服务器还能冒充模型下指令，两成测试里指令直接在机器上执行了。 最吓人的是全程不用你点任何东西。Chrome、Edge、Firefox 默认下载不问你，直接进 Downloads——网页就能悄悄塞一个 AGENTS.md 进去。而 agent 启动时会自动读工作目录里的 AGENTS.md/CLAUDE.md，照单全收。Forever 的数据：光 Claude Code 就有 1300 多次是从 Downloads 里启动的，近一半客户都在 Downloads 里跑过 agent。 OpenAI 和 Anthropic 都说这不是 bug，没得补：agent 照章办事，错的是把一个浏览器能随便写的文件夹，当成了自己的项目目录。 我刚在自己云主机上跑了三条自查（命令放评论区了）： ① Downloads 里有没有陌生的 AGENTS.md/CLAUDE.md——这台机器连 Downloads 文件夹都没有； ② ~/.codex/config.toml 有没有陌生的 MCP server——连 config.toml 都没有； ③ .claude/settings.json 有没有被改 ANTHROPIC_BASE_URL——没有这个文件。 三条全过。先说清楚：90% 和 50% 是 Forever 的实测数，不是我跑的——我这台 Codex 没登录，跑不了 agent，数字来自他们的报告和多家交叉核验；我亲手跑的，是上面这三条自查。 做 AI/科技内容的蓝V朋友欢迎互关。这事儿我觉得不是"会不会中招"，是"轮到谁"，不服来辩 👇 🔵 蓝V互关 | Fellow Premium members, let's connect! 欢迎互关，一起交流 AI 与科技 👥

曝光 363 · 评论 10 · 点赞 4 · 书签 0