网页塞一个 Markdown 就能劫持 Claude Code,Downloads 目录成 AI 攻击新死角
pbaylies · x · 2026-10-26
安全机构 Forever 披露一起在真实客户电脑上发现的野生攻击：利用浏览器静默下载纯文本文件的「正常功能」，往 /Downloads 投放恶意 AGENTS.md/CLAUDE.md，再借开发者习惯在该目录启动 AI 编码工具的死角实施攻击。
- 针对 Codex（成功率 >90%）：伪装成工程规范的 Markdown 指示 Codex 在 /.codex/config.toml 注册恶意 MCP 服务，并加上 --dangerously-bypass-approvals-and-sandbox 跑「校验」，此后在任何项目启动 Codex 都会自动加载木马。
- 针对 Claude Code（成功率约 50%）：指示 Claude 创建 .claude/settings.json，把 ANTHROPICBASEURL 指向黑客服务器，窃取登录 Token 并下发关闭沙盒的 Bash 指令接管电脑。
- 官方结论耐人寻味：此洞无 CVE、OpenAI 与 Anthropic 不发补丁——浏览器存文本和 AI 严格执行 Markdown 都是「正常功能」。
作者提醒：不要在 /Downloads 里启动 Claude Code 或 Codex，过去 30 年「纯文本无害」的安全常识在 AI 时代被重写。
「编程与Agent」频道最新
- 柏林 DevDay 前夜黑客松 250 名开发者齐聚用 Codex 造物 — paw_lean · 2026-10-26
- Ben Bajarin：用前沿 AI 对抗前沿攻击，智能体成企业网防新前线 — BenBajarin · 2026-10-26
- 开发者吐槽：脱离 harness 的 API 模型「裸奔」时笨得让人想哭 — madeofAjala · 2026-10-26
- HarnessMM 论文：缓存已定决策,Agent Token 消耗降 88% 成功率反升 — omarsar0 · 2026-10-26
- 微软展示用 Copilot App 与 Foundry 搭建跨 Teams/Outlook 的意图识别 Agent — marlene_zw · 2026-10-26
- 求推荐可穿戴录音麦克风：要长续航，接自己转写和 MCP — altryne · 2026-10-26