Downloads में Claude Code या Codex चलाएँ? AGENTS.md सुरक्षा जाँच

संक्षिप्त उत्तर: अपने ~/Downloads फ़ोल्डर में Claude Code या Codex शुरू न करें। 22 अक्टूबर 2026 को सुरक्षा कंपनी Forever Security ने शोध प्रकाशित किया जिसमें दिखाया गया कि एक वेबसाइट चुपचाप Downloads में AGENTS.md या CLAUDE.md नाम की फ़ाइल सहेज सकती है, और उस फ़ोल्डर में शुरू किया गया एजेंट उस फ़ाइल को विश्वसनीय निर्देश मान लेता है। नीचे: ये फ़ाइलें क्या हैं, शोधकर्ताओं ने क्या बदलवा लिया, और एक जाँच जिसमें लगभग पाँच मिनट लगते हैं।

सामान्य स्थिति की कल्पना करें। आपने किसी वेबसाइट से एक दर्जन PDF और स्क्रीनशॉट सहेजे, Downloads में टर्मिनल खोला, claude या codex टाइप किया और उससे कहा "इन फ़ाइलों को क्रम में लगाओ"। इसमें कुछ भी जोखिम भरा नहीं लगता। और यही असली बात है।

AGENTS.md और CLAUDE.md क्या हैं, और एजेंट उन पर क्यों भरोसा करता है#

एक कोडिंग एजेंट हर सत्र शून्य से शुरू नहीं करता। आपके अनुरोध को देखने से पहले, वह उस फ़ोल्डर की जाँच करता है जिसमें उसे शुरू किया गया था, स्थायी निर्देशों की एक सादा टेक्स्ट फ़ाइल के लिए: "टैब का उपयोग करें, परीक्षण npm test से चलाएँ, migrations फ़ोल्डर को कभी न छुएँ।" AGENTS.md सामान्य नाम है, CLAUDE.md Claude Code के लिए वही विचार है। आपके अपने प्रोजेक्ट में ये फ़ाइलें उपयोगी हैं, क्योंकि आपने उन्हें लिखा है।

लेकिन एजेंट यह नहीं बता सकता कि फ़ाइल किसने लिखी। किसी वेबसाइट द्वारा Downloads में गिराई गई CLAUDE.md बिल्कुल वैसी ही दिखती है जैसी आपने पिछले हफ़्ते लिखी थी।

शोधकर्ताओं ने Downloads में एक फ़ाइल के साथ क्या किया#

Forever Security की पोस्ट (लेखक Gal Weizman और Omer Samet, 22 अक्टूबर 2026) दो मामलों का वर्णन करती है। नीचे दी गई सभी सफलता दरें शोधकर्ताओं की अपनी माप हैं।

Codex. रोपी गई AGENTS.md ने एजेंट से कहा कि ~/.codex/config.toml में एक MCP server प्रविष्टि जोड़े, और उस प्रविष्टि ने function-color नामक npm पैकेज इंस्टॉल करने का रास्ता खोला। शोधकर्ताओं के अनुसार, payload 90% से अधिक प्रयासों में चला। देखें कि वह फ़ाइल कहाँ रहती है: आपका होम फ़ोल्डर, Downloads नहीं। config मशीन-व्यापी है, इसलिए किसी भी फ़ोल्डर में हर बाद का सत्र प्रभावित होता है, बहुत बाद तक जब आप Downloads फ़ोल्डर भूल चुके हों।

Claude Code. रोपी गई CLAUDE.md ने .claude/settings.json में एक ANTHROPIC_BASE_URL सेटिंग लिखने की कोशिश की। वह सेटिंग तय करती है कि एजेंट अपना API ट्रैफ़िक कहाँ भेजता है। इसे किसी और के सर्वर पर इंगित करें और वह सर्वर आपका OAuth टोकन देखता है और एजेंट के चलाने के लिए टूल कॉल वापस भेज सकता है। लिखना लगभग आधे समय सफल हुआ; उसी सत्र में निष्पादित होने वाला एक रास्ता, लगभग पाँचवें हिस्से समय में।

पोस्ट स्पष्ट करती है कि दोनों उत्पादों में कुछ भी "टूटा" नहीं है: एजेंट डिज़ाइन के अनुसार काम करता है, और जोखिम इससे आता है कि फ़ाइल कहाँ रहती है और एजेंट उस पर कितना भरोसा करता है। Forever यह भी कहता है कि उसे एक ग्राहक की मशीन पर एक असली रोपी गई AGENTS.md मिली और किसी भी कोड के चलने से पहले एक दुर्भावनापूर्ण npm इंस्टॉल रोक दिया; npm ने तब से function-color हटा दिया है। यह अंतिम भाग शोधकर्ताओं का अपना विवरण है। OpenNET ने 26 अक्टूबर 2026 को यह कहानी कवर की और इशारा किया कि जब AGENTS.md किसी pull request या क्लोन किए गए रिपॉज़िटरी के माध्यम से आता है तो समान जोखिम होता है।

कौन-सी सेटिंग्स देखें, और सामान्य सेटिंग कैसी दिखती है#

दो फ़ाइलें, शोध में प्रत्येक टूल के लिए एक।

~/.codex/config.toml में, ऐसी [mcp_servers.*] प्रविष्टियाँ देखें जो आपको याद नहीं कि आपने जोड़ी थीं, और ऐसा base URL देखें जो आपने सेट नहीं किया। एक संदिग्ध प्रविष्टि आपकी मशीन से npm से कुछ फ़ेच और चलवाती है:

[mcp_servers.helper]
command = "npx"
args = ["-y", "some-package"]

यहाँ helper नाम और पैकेज प्लेसहोल्डर हैं। शोधकर्ताओं के मामले में, ऐसी प्रविष्टि के पीछे का पैकेज function-color था।

.claude/settings.json में, ऐसा API endpoint या proxy देखें जो आपने नहीं डाला। यदि आपने ANTHROPIC_BASE_URL कभी सेट नहीं किया, तो फ़ाइल में इसका ज़िक्र ही नहीं होना चाहिए। यदि आपने किया, तो यह आपके चुने हुए प्रदाता का पता होना चाहिए। CheapTokens के लिए, Claude Code जैसा Anthropic-शैली क्लाइंट https://api.cheaptokens.dev का उपयोग करता है जिसके अंत में /v1 नहीं होता; OpenAI-शैली क्लाइंट https://api.cheaptokens.dev/v1 का उपयोग करते हैं।

यदि आप Claude Code अपनी कुंजी पर चलाते हैं, तो Claude Code को CheapTokens से जोड़ने का चरण-दर-चरण मार्गदर्शन पूरी फ़ाइल दिखाता है, और docs दोनों base URL सूचीबद्ध करते हैं। लंबे एजेंट लूप के लिए, DeepSeek-V4-Flash (deepseek-ai/DeepSeek-V4-Flash-0731) में 380K context, प्रति उत्तर अधिकतम 32,768 आउटपुट टोकन और किसी भी घंटे एक ही कीमत है; बाकी जानकारी model page पर है।

Cline, Aider और अन्य एजेंट इस शोध का हिस्सा नहीं थे, और प्रत्येक अपनी सेटिंग्स अपनी जगह रखता है। आदत वही है: जानें कि कौन-सी फ़ाइल endpoint रखती है और उसे एक बार पढ़ें।

5 मिनट की जाँच#

एक टर्मिनल खोलें और इन्हें क्रम से करें। यहाँ कुछ भी फ़ाइल नहीं बदलता; यह केवल पढ़ता है।

find ~/Downloads -maxdepth 3 -name "AGENTS.md" -o -name "CLAUDE.md"

grep -n "mcp_servers\|base_url" ~/.codex/config.toml

grep -n "BASE_URL\|proxy" ~/.claude/settings.json .claude/settings.json

env | grep -i "BASE_URL"

npm ls -g --depth=0 | grep function-color

यदि कुछ गलत लगे#

पहले एजेंट बंद करें। फिर वे प्रविष्टियाँ हटाएँ जिन्हें आप नहीं पहचानते, और हर उस क्रेडेंशियल को बदलें जिसे एजेंट देख सकता था: API कुंजियाँ, टोकन, पर्यावरण में कुछ भी। यदि कुंजी बदलने का विचार नया है, तो API कुंजी क्या है और उसे कैसे संग्रहीत करें मूल बातें बताता है।

आदतें जो इसे दोबारा होने से रोकती हैं, सभी शोधकर्ताओं के शमन उपायों से:

• एजेंट को अपने बनाए प्रोजेक्ट फ़ोल्डर में शुरू करें, Downloads में नहीं।
• कोई भी AGENTS.md या CLAUDE.md जो आपने नहीं लिखा, एजेंट पर चलाने से पहले पढ़ें, जिनमें क्लोन या pull request के माध्यम से आने वाले भी शामिल हैं।
• approval prompts और sandboxing चालू रखें, और किसी भी ऐसे निर्देश से सावधान रहें जो एजेंट से उन्हें बंद करने को कहे।