事件经过
Forever Security捕获了一起针对客户机器的实时攻击，其中一名编码助手在会话中途开始安装已知恶意npm包‘function-color’；追踪显示触发指令来自一份13KB的AGENTS.md文件，该文件已被静默放入~/Downloads目录。由于CLI助手会从其启动目录自动加载指令文件，而浏览器会自动将文件保存到~/Downloads，因此‘纯文本文件变成了可执行文件’。Forever在Codex上复现了该攻击链（成功率>90%），在Claude Code上复现了约50%的成功率，研究人员表示该漏洞没有CVE编号，OpenAI和Anthropic均不会修复，因为文件跟随和浏览器自动保存都属于‘预期功能’。
影响分析
这是一种野外观察到的、实际可用的代理执行攻击类型，能够以用户的完整权限运行代码。它可以植入一个持久化的恶意MCP服务器，在每台机器上未来的每次Codex会话开始时触发，冒充模型或将Claude Code的API流量重定向以窃取OAuth凭证，并能够访问AI编码助手可访问的任何机密信息——将AI编码助手的整改过程转变为一种静默的供应链和凭证窃取向量。
攻击途径
恶意网页通过标准后台下载（无需点击，无需提示）静默地向开发者的~/Downloads目录写入一份约13KB的AGENTS.md占位文本文件。当开发者随后在该文件夹内启动Codex或Claude Code时，代理会自动将该文件读取为可信项目指令并以用户权限执行——在~/.codex/config.toml中注册恶意MCP服务器条目，重写.claude/settings.json中的ANTHROPIC_BASE_URL（导致OAuth令牌泄露并将所有Claude流量重定向至攻击者服务器），并运行已知恶意包‘function-color’的npm安装。该攻击链完全基于双方的‘既定设计’行为，因此没有CVE编号，两家供应商均不会修复。
受影响系统
OpenAI Codex CLI、Anthropic Claude Code以及类似将CLAUDE.md/AGENTS.md/.mcp.json视为可信指令的CLI AI代理；结合浏览器静默将下载文件保存到~/Downloads的行为。无供应商修复（架构性交集，无CVE）。
缓解措施
切勿从~/Downloads或任何浏览器可写文件夹启动编码代理；始终从干净的项目特定工作目录启动。将CLAUDE.md/AGENTS.md/.mcp.json/settings.json视为信任边界，首次运行前及每次拉取后审查它们。限制代理沙箱/审批设置（避免使用--dangerously-bypass-approvals-and-sandbox），将‘function-color’包加入黑名单，并监控代理发起的npm安装和设置文件写入。