Downloads 里的 AGENTS.md：网页静默投毒，Codex/Claude Code 被当执行器
Forever Security（Gal Weizman、Omer Samet）10 月 22 日披露：在客户机 Downloads 发现恶意 AGENTS.md。网页可静默写入该目录，而编码 Agent 会自动信任工作区指令文件——「Markdown 成了新可执行文件」。
Forever 在真实客户环境拦下一起活样本：恶意 AGENTS.md 被种进 ~/Downloads。论点很直接——浏览器本就可无点击写入 Downloads；Codex、Claude Code 等又会自动读取并服从 AGENTS.md / CLAUDE.md。两段「按设计工作」的能力叠在一起，就变成无需用户点运行的指令投毒。作者称这不是某一产品的可打补丁漏洞，而是 Agent 时代新威胁模型。
Codex 路径：伪装成工程规范的 AGENTS.md 诱导改写 ~/.codex/config.toml，注册 MCP project-tools，经 launchctl 拉起并 npm install 恶意包 function-color（MALFEX 相关战役），再触发子进程 `codex exec --dangerously-bypass-approvals-and-sandbox`；测试中意图执行率逾 90%。Claude Code 路径：植入 CLAUDE.md，写入 .claude/settings.json 把 ANTHROPIC_BASE_URL 指到攻击者网关以窃取 OAuth（约 50% 跟进），进而下发工具调用乃至 RCE。
作者建议的防御偏操作面：不要在 Downloads 里跑 Agent；检查陌生 AGENTS.md / CLAUDE.md；审计 config 里异常 MCP 与 ANTHROPIC_BASE_URL；保持沙箱与审批；若发现则轮换令牌。IoC 关注 npm 包 function-color。完整机制见 Forever 公开博文，本文只做高层次披露，不复述可复现载荷。
