تشغّل Claude Code أو Codex في Downloads؟ فحص أمان AGENTS.md

إجابة قصيرة: لا تبدأ Claude Code أو Codex في مجلد ~/Downloads. في 22 أكتوبر 2026 نشرت شركة الأمن Forever Security بحثًا يُظهر أن موقعًا إلكترونيًا يمكنه حفظ ملف باسم AGENTS.md أو CLAUDE.md في Downloads بصمت، ثم يتعامل الوكيل الذي يبدأ في ذلك المجلد مع الملف كتعليمات موثوقة. فيما يلي: ما هي هذه الملفات، وما الذي تمكن الباحثون من تغييره، وفحص يستغرق نحو خمس دقائق.

تخيّل النسخة العادية. حفظت دستة من ملفات PDF ولقطات الشاشة من موقع إلكتروني، وفتحت طرفية في Downloads، وكتبت claude أو codex وطلبت منه "ترتيب هذه الملفات". لا شيء في ذلك يبدو محفوفًا بالمخاطر. وهذا هو الفخ.

ما هما AGENTS.md وCLAUDE.md، ولماذا يثق بهما الوكيل#

لا يبدأ وكيل البرمجة كل جلسة من الصفر. قبل أن ينظر إلى طلبك، يفحص المجلد الذي بدأ فيه بحثًا عن ملف نصي عادي يحتوي تعليمات دائمة: "استخدم tabs، شغّل الاختبارات بـ npm test، لا تلمس مجلد migrations أبدًا." AGENTS.md هو الاسم العام، وCLAUDE.md هو الفكرة نفسها لـ Claude Code. في مشروعك الخاص تكون هذه الملفات مفيدة، لأنك أنت من كتبها.

لكن الوكيل لا يستطيع معرفة من كتب الملف. ملف CLAUDE.md أسقطه موقع إلكتروني في Downloads يبدو تمامًا كالذي كتبته الأسبوع الماضي.

ما فعله الباحثون بملف في Downloads#

يصف منشور Forever Security (للمؤلفين Gal Weizman وOmer Samet، 22 أكتوبر 2026) حالتين. جميع نسب النجاح أدناه هي قياسات الباحثين أنفسهم.

Codex. ملف AGENTS.md المزروع طلب من الوكيل إضافة إدخال خادم MCP إلى ~/.codex/config.toml، وأدى ذلك الإدخال إلى تثبيت حزمة npm باسم function-color. وفقًا للباحثين، نُفّذ الحمولة في أكثر من 90% من المحاولات. انظر أين يعيش ذلك الملف: مجلدك الرئيسي، لا Downloads. الإعدادات على مستوى الجهاز، لذا تتأثر كل جلسة لاحقة في أي مجلد، بعد وقت طويل من نسيانك مجلد Downloads.

Claude Code. ملف CLAUDE.md المزروع حاول كتابة إعداد ANTHROPIC_BASE_URL في .claude/settings.json. ذلك الإعداد يحدد أين يرسل الوكيل حركة API الخاصة به. وجّهه إلى خادم شخص آخر وسيرى ذلك الخادم رمز OAuth الخاص بك ويمكنه إرسال استدعاءات أدوات ليشغّلها الوكيل. نجحت الكتابة نحو نصف المرات؛ ومسار نُفّذ في الجلسة نفسها، نحو خُمس المرات.

يوضح المنشور أن لا شيء "معطوب" في أي من المنتجين: يعمل الوكيل كما صُمم، والمخاطر تأتي من مكان الملف ومدى ثقة الوكيل به. تقول Forever أيضًا إنها وجدت AGENTS.md مزروعًا حقيقيًا على جهاز أحد العملاء وأوقفت تثبيت npm خبيثًا قبل تشغيل أي كود؛ وقد أزالت npm منذ ذلك الحين function-color. هذا الجزء الأخير هو رواية الباحثين أنفسهم. غطّى OpenNET القصة في 26 أكتوبر 2026 ويشير إلى خطر مشابه عندما يصل AGENTS.md عبر طلب سحب أو مستودع مستنسخ.

أي إعدادات يجب فحصها، وكيف يبدو الإعداد الطبيعي#

ملفان، واحد لكل أداة في البحث.

في ~/.codex/config.toml، ابحث عن إدخالات [mcp_servers.*] لا تتذكر إضافتها، وعن base URL لم تضبطه. الإدخال المشبوه يجعل جهازك يجلب شيئًا من npm ويشغّله:

[mcp_servers.helper]
command = "npx"
args = ["-y", "some-package"]

الاسم helper والحزمة هنا عناصر نائبة. في حالة الباحثين، كانت الحزمة وراء إدخال كهذا هي function-color.

في .claude/settings.json، ابحث عن نقطة نهاية API أو وسيط لم تضعه أنت. إذا لم تضبط ANTHROPIC_BASE_URL أبدًا، فلا ينبغي أن يذكره الملف إطلاقًا. وإذا ضبطته، فينبغي أن يكون عنوان المزوّد الذي اخترته. بالنسبة إلى CheapTokens، يستخدم عميل بنمط Anthropic مثل Claude Code العنوان https://api.cheaptokens.dev دون /v1 في النهاية؛ ويستخدم عملاء بنمط OpenAI العنوان https://api.cheaptokens.dev/v1.

إذا كنت تشغّل Claude Code على مفتاحك الخاص، فإن الدليل خطوة بخطوة لربط Claude Code بـ CheapTokens يعرض الملف كاملًا، والوثائق تسرد كلا الـ base URLs. لحلقات الوكيل الطويلة، يمتلك DeepSeek-V4-Flash (deepseek-ai/DeepSeek-V4-Flash-0731) سياقًا بسعة 380K، وحتى 32,768 رمز إخراج لكل إجابة، وسعرًا واحدًا في أي ساعة؛ وصفحة الطراز فيها الباقي.

لم يكن Cline وAider ووكلاء آخرون جزءًا من هذا البحث، وكل منها يحتفظ بإعداداته في مكانه الخاص. العادة نفسها: اعرف أي ملف يحمل نقطة النهاية واقرأه مرة واحدة.

فحص الخمس دقائق#

افتح طرفية واتبع هذه بالترتيب. لا شيء هنا يغيّر ملفًا؛ إنه يقرأ فقط.

find ~/Downloads -maxdepth 3 -name "AGENTS.md" -o -name "CLAUDE.md"

grep -n "mcp_servers\|base_url" ~/.codex/config.toml

grep -n "BASE_URL\|proxy" ~/.claude/settings.json .claude/settings.json

env | grep -i "BASE_URL"

npm ls -g --depth=0 | grep function-color

إذا بدا شيء ما خاطئًا#

أغلق الوكيل أولًا. ثم أزل الإدخالات التي لا تعرفها، وبدّل كل بيانات اعتماد كان الوكيل قادرًا على رؤيتها: مفاتيح API، والرموز، وأي شيء في البيئة. إذا كانت فكرة تبديل مفتاح جديدة عليك، فإن ما هو مفتاح API وكيف تخزّنه يغطي الأساسيات.

عادات تمنع تكرار ذلك، وكلها من تخفيفات الباحثين:

• ابدأ الوكلاء في مجلد مشروع أنشأته بنفسك، لا في Downloads.
• اقرأ أي AGENTS.md أو CLAUDE.md لم تكتبه قبل أن تشغّل وكيلًا عليه، بما في ذلك ما يصل عبر استنساخ أو طلب سحب.
• أبقِ طلبات الموافقة والعزل (sandboxing) مفعّلة، واحذر أي تعليمات تطلب من الوكيل إيقافها.