别再在下载文件夹里启动 AI 助手了！一个 Markdown 文件就能劫持你的 AI 编程助手？实测成功率最高 90%

大白话你平时用 Claude Code、Codex 或 Cursor 写代码时，它们会自动读取当前文件夹里的 AGENTS.md、CLAUDE.md 这类说明文件，然后照着做。问题在于，这些文件对模型来说和系统指令没有硬边界——里面写什么，助手就可能干什么。安全团队 Forever Security 和 Aviatrix 说，他们在受控测试里靠这种文件实现了对 Codex 最高 90%、对 Claude Code 约 50% 的成功劫持，能改 API 流量、偷 OAuth 令牌、跑 shell 命令。最阴的是，浏览器能悄悄往 ~/Downloads 写文件，你要是习惯在那个目录里启动助手，就可能中招。

对你意味着所有在本地跑 AI 编程助手的开发者都该看一眼：以后克隆陌生仓库、审 PR 时，别再把 AGENTS.md 当无害文档扫一眼就过。