仅凭一个恶意文本文件，黑客可劫持Codex与Claude Code

Part01

恶意文件攻击原理

下载文件夹中的普通文本文件可诱骗AI编码Agent篡改自身设置、安装恶意软件，甚至泄露登录令牌。

Forever Security是在拦截某真实客户计算机上的Agent安装已知恶意npm包的行为后，发现这一风险的。该公司随后在受控测试中，分别复现了针对OpenAI Codex和Anthropic Claude Code的多条攻击路径。

事件起因是Forever Security拦截了某AI编码Agent安装名为function-color包的操作。调查人员溯源发现，该安装指令来自客户~/Downloads文件夹内存储的AGENTS.md文件。

该文件看起来是普通的工程笔记，实则包含精心构造的指令，诱导Agent修改自身配置并安装上述恶意包。

目前该文件的来源尚不明确。研究人员尚未证实是恶意网站将其投放至客户设备，但后续测试证明，网站可通过浏览器常规下载行为投放同名文件，构成可行的攻击路径。

AGENTS.md文件类似于面向AI工具编写的README文件。OpenAI官方文档说明，Codex启动工作前会读取这类文件，从中获取项目规则、命令及其他指令。Claude Code则使用CLAUDE.md实现类似功能，会在对话启动时读取该文件。

风险的核心在于，Agent默认信任的指令文件，恰好存放在网页下载内容默认保存的文件夹中。Markdown文件本身无法自动运行，因此操作系统针对下载程序设计的检测机制不会将其判定为危险文件。只有当AI Agent将文本内容视为可信指令，并调用自身工具执行时，风险才会触发。

这类攻击并非完全自动化。受害者必须在下载文件夹内启动编码Agent，或主动允许Agent读取植入的指令文件。同时，Agent需要拥有足够权限，才能编辑文件、运行命令、连接互联网或安装包。因此，审批提示和沙箱机制可以降低攻击成功的概率。

Part02

Codex可被诱导篡改全局配置

在Forever Security的受控测试中，Codex在90%以上的测试用例中都会执行恶意文件中的指令。这些指令诱导Codex向全局配置文件~/.codex/config.toml中添加MCP服务器条目，随后启动新的Codex会话，且新会话会禁用审批流程与沙箱检测。

这种篡改会让攻击实现持久化。一旦恶意服务器被写入全局配置，即使用户切换到其他文件夹或项目，后续启动的Codex会话仍会加载该恶意配置。多数测试使用的是无害程序，仅在隔离虚拟机中运行过一次真实恶意包。

该恶意包属于MALFEX，这是一个长期活跃的npm恶意活动家族，主要针对Windows开发者。Checkmarx发现，function-color会拉取function-flag组件，后者可下载并静默运行Windows程序。

该恶意活动家族使用的其他包还可投放远程访问木马，窃取浏览器、Discord、Telegram、加密钱包中的数据。更多技术细节可参考Cyber Security News关于MALFEX npm恶意活动的相关报道。

Part03

针对Claude Code的攻击

可重定向流量

针对Claude Code的攻击需要采用不同方法。研究人员构造了恶意CLAUDE.md文件，诱导Claude向.claude/settings.json中写入ANTHROPIC_BASE_URL值，将Claude的API流量重定向至研究人员控制的服务器，窃取请求中携带的OAuth令牌。

Forever Security通报称，Claude在约半数测试中会执行该篡改操作。研究团队将截获的令牌重放到Anthropic的服务中，成功获得受害者账号的访问权限。在部分测试中，伪造服务器还会返回工具指令，最终实现代码执行。借助辅助Agent实现同会话代码执行的成功率约为五分之一。

这一发现再次为已有结论提供了新证据：指令文件与插件正成为软件供应链的新兴风险点。此前已有研究显示，针对Claude Code和Codex的恶意Agent skills可绕过自动化扫描器的检测，隐藏自身恶意行为。

开发者绝对不要在下载文件夹内启动Codex、Claude Code或其他编码Agent。在Agent打开文件夹前，应先检查其中是否存在未知的AGENTS.md和CLAUDE.md文件。用户还应保持审批检查与沙箱功能启用，限制Agent的网络访问权限，不要执行要求绕过安全机制的指令。

安全团队应检查~/.codex/config.toml中是否存在未知MCP服务器，同时核查.claude/settings.json中是否出现陌生的ANTHROPIC_BASE_URL配置或代理地址。

如果设备上发现function-color包、异常Agent配置或API流量被重定向的情况，应视为可能已遭入侵。用户需在干净设备上吊销受影响的令牌及关联凭证，同时隔离受感染系统，排查是否存在恶意软件。

推荐阅读

电报讨论

— 阅读原文请访问微信公众号「FreeBuf」 · 原文链接 —