恶意 AGENTS.md 文件藏身下载文件夹，可劫持 AI 编码代理
VectorWireAI · reddit · 2026-10-26
VectorWireAI 报告了一种针对 AI 编码代理的攻击手法：恶意 AGENTS.md 文件被放入 Downloads 文件夹后，可被 agent 读取并劫持其行为。由于许多 agent 工具会扫描工作目录之外的上下文文件，攻击者无需直接接触代码库，就能通过 prompt injection 指示 agent 执行恶意指令（如泄露数据、写入危险代码）。开发者应注意 agent 的上下文扫描范围，清理或隔离不可信目录中的 AGENTS.md/规则文件。
「编程与Agent」频道最新
- Claude Code 在安卓发现 21 万张已删除照片藏身隐藏缩略图缓存 — Loo_Atreides · 2026-10-26
- ChatGPT 经 MCP 服务器发出第一封客户传真 — tdhopper · 2026-10-26
- 中国电信开源 Xing4.0-29B-Intent：意图识别加参数抽取一体完成 — FellMentKE · 2026-10-26
- 开发者观察：代码库塞进单一上下文窗口内，agent 表现差距显著 — julianharris · 2026-10-26
- 42分钟视频拆解 AI Agent 为何失败：多数锅不在模型 — JohnSavill · 2026-10-26
- 用 Claude Code 给 Shield 电视棒做一个带 AI 吐槽的全功能启动器 — aristofeles · 2026-10-26