Nagpapatakbo ng Claude Code o Codex sa Downloads? Pagsusuri sa kaligtasan ng AGENTS.md
Ang isang file na pinangalanang AGENTS.md o CLAUDE.md sa Downloads ay maaaring magmaneho sa Claude Code at Codex. Ano ang mga file na ito at isang 5-minutong pagsusuri ng iyong mga config.
Sa pahinang ito
Mabilisang sagot: huwag simulan ang Claude Code o Codex sa iyong ~/Downloads folder. Noong 22 Oktubre 2026, inilathala ng kumpanyang pangseguridad na Forever Security ang pananaliksik na nagpapakita na ang isang website ay maaaring tahimik na mag-save ng file na tinatawag na AGENTS.md o CLAUDE.md sa Downloads, at ang isang agent na sinimulan sa folder na iyon ay ituturing ang file bilang pinagkakatiwalaang instruksyon. Sa ibaba: kung ano ang mga file na ito, kung ano ang nagawang baguhin ng mga mananaliksik, at isang pagsusuri na tumatagal ng mga limang minuto.
Isipin ang karaniwang bersyon. Nag-save ka ng dose-dosenang PDF at screenshot mula sa isang website, nagbukas ng terminal sa Downloads, nag-type ng claude o codex at hiniling na "ayusin ang mga file na ito". Walang kahit ano doon ang pakiramdam na mapanganib. At iyon ang patibong.
Ano ang AGENTS.md at CLAUDE.md, at bakit pinaniniwalaan sila ng agent#
Ang isang coding agent ay hindi nagsisimula sa bawat sesyon mula sa zero. Bago nito tingnan ang iyong kahilingan, sinusuri nito ang folder kung saan ito sinimulan para sa isang plain text file ng mga nakatayong instruksyon: "gumamit ng tabs, patakbuhin ang mga test gamit ang npm test, huwag kailanman hawakan ang migrations folder." Ang AGENTS.md ay ang pangkalahatang pangalan, ang CLAUDE.md ay ang parehong ideya para sa Claude Code. Sa iyong sariling proyekto, kapaki-pakinabang ang mga file na ito, dahil ikaw ang sumulat sa kanila.
Hindi matukoy ng agent kung sino ang sumulat ng isang file. Ang isang CLAUDE.md na inilagay ng isang website sa Downloads ay mukhang eksaktong katulad ng isinulat mo noong nakaraang linggo.
Mga flashcard
Mga salitang makikita mo sa artikulong ito
I-tap ang card para i-flip ito
Ano ang ginawa ng mga mananaliksik sa isang file sa Downloads#
Ang post ng Forever Security (mga may-akda na sina Gal Weizman at Omer Samet, 22 Oktubre 2026) ay naglalarawan ng dalawang kaso. Lahat ng success rate sa ibaba ay sariling pagsukat ng mga mananaliksik.
Codex. Ang itinanim na AGENTS.md ay nagsabi sa agent na magdagdag ng MCP server entry sa ~/, at ang entry na iyon ay humantong sa pag-install ng isang npm package na tinatawag na function-color. Ayon sa mga mananaliksik, tumakbo ang payload sa higit sa 90% ng mga pagtatangka. Tingnan kung saan nakatira ang file na iyon: ang iyong home folder, hindi Downloads. Ang config ay machine-wide, kaya apektado ang bawat susunod na sesyon sa anumang folder, matagal pagkatapos mong makalimutan ang Downloads folder.
Claude Code. Ang itinanim na CLAUDE.md ay sinubukang magsulat ng ANTHROPIC_ setting sa .. Ang setting na iyon ang nagpapasya kung saan ipinapadala ng agent ang trapiko ng API nito. Ituro ito sa server ng iba at makikita ng server na iyon ang iyong OAuth token at makakapagpadala pabalik ng mga tool call para patakbuhin ng agent. Nagtagumpay ang pagsulat mga kalahati ng oras; isang landas na naisakatuparan sa loob ng parehong sesyon, mga ikalimang bahagi ng oras.
Malinaw sa post na walang "sira" sa alinmang produkto: gumagana ang agent ayon sa disenyo, at ang panganib ay nagmumula sa kung saan nakalagay ang file at kung gaano ito pinagkakatiwalaan ng agent. Sinabi rin ng Forever na nakakita sila ng tunay na itinanim na AGENTS.md sa makina ng isang customer at napigilan ang isang malisyosong npm install bago pa man tumakbo ang anumang code; mula noon ay tinanggal na ng npm ang function-color. Ang huling bahagi ay sariling salaysay ng mga mananaliksik. Sinakop ng OpenNET ang kuwento noong 26 Oktubre 2026 at itinuro ang katulad na panganib kapag ang isang AGENTS.md ay dumating sa pamamagitan ng pull request o isang na-clone na repository.
Mabilisang pagsusuri
Bakit mas malala ang kaso ng Codex kaysa sa isang masamang sesyon sa Downloads?
Ipakita ang sagot
Sagot: Ang config na binago nito ay machine-wide, kaya apektado ang bawat susunod na sesyon sa anumang folder
Kailangan lang tumakbo nang isang beses ang itinanim na file. Ang isinusulat nito sa ~/ ay nananatili doon at nalalapat sa mga susunod na sesyon sa bawat folder.
Aling mga setting ang titingnan, at ano ang hitsura ng normal#
Dalawang file, isa para sa bawat tool sa pananaliksik.
Sa ~/, hanapin ang mga [mcp_servers.*] entry na hindi mo natatandaang idinagdag, at ang base URL na hindi mo itinakda. Ang isang kahina-hinalang entry ay nagpapakuha at nagpapatakbo ng isang bagay mula sa npm sa iyong makina:
[mcp_servers.helper]
command = "npx"
args = ["-y", "some-package"]Ang pangalang helper at ang package dito ay mga placeholder. Sa kaso ng mga mananaliksik, ang package sa likod ng naturang entry ay function-color.
Sa ., hanapin ang isang API endpoint o proxy na hindi mo inilagay doon. Kung hindi mo kailanman itinakda ang ANTHROPIC_, hindi ito dapat banggitin ng file. Kung itinakda mo, dapat itong address ng provider na pinili mo. Para sa CheapTokens, ang isang Anthropic-style client tulad ng Claude Code ay gumagamit ng https:/ na walang /v1 sa dulo; ang mga OpenAI-style client ay gumagamit ng https:/.
Kung pinapatakbo mo ang Claude Code sa sarili mong key, ang step-by-step para sa pagkonekta ng Claude Code sa CheapTokens ay nagpapakita ng buong file, at ang docs ay naglilista ng parehong base URL. Para sa mahabang agent loop, ang DeepSeek-V4-Flash (deepseek-) ay may 380K context, hanggang 32,768 output token bawat sagot at isang presyo sa anumang oras; ang model page ay may natitira.
Ang Cline, Aider at iba pang agent ay hindi bahagi ng pananaliksik na ito, at bawat isa ay nagtatago ng mga setting nito sa sariling lugar. Ang ugali ay pareho: alamin kung aling file ang may hawak ng endpoint at basahin ito nang isang beses.
Ang 5-minutong pagsusuri#
Magbukas ng terminal at dumaan sa mga ito nang sunod-sunod. Walang binabago ang anuman dito; nagbabasa lamang ito.
Hakbang-hakbang
Suriin ang iyong makina
Hanapin ang mga naliligaw na instruction file
find ~/Downloads -maxdepth 3 -name "AGENTS.md" -o -name "CLAUDE.md"Anumang hit na hindi mo isinulat: buksan ito bilang text at basahin. Kung hindi mo alam kung saan ito galing, tanggalin ito.
Basahin ang Codex config
grep -n "mcp_servers\|base_url" ~/.codex/config.tomlBawat [mcp_servers.…] linya ay dapat isang bagay na natatandaan mong idinagdag. "No such file" ay ayos lang kung hindi ka gumagamit ng Codex.
Basahin ang Claude Code settings
grep -n "BASE_URL\|proxy" ~/.claude/settings.json .claude/settings.jsonPatakbuhin ito mula sa iyong project folder upang masakop ang parehong file. Bawat address sa output ay dapat isang provider na pinili mo.
Tingnan ang iyong shell
env | grep -i "BASE_URL"Ito ay naglilista ng mga base URL na itinakda bilang environment variable. Parehong tuntunin: dapat mong makilala ang bawat isa.
Hanapin ang package mula sa kaso
npm ls -g --depth=0 | grep function-colorPatakbuhin din ang npm ls function- sa loob ng mga proyektong ginamitan mo ng agent. Kung lumitaw ito, ituring na nakompromiso ang makina.
Kung may mukhang mali#
Isara muna ang agent. Pagkatapos, tanggalin ang mga entry na hindi mo nakikilala, at i-rotate ang bawat kredensyal na nakita ng agent: API key, token, anumang nasa environment. Kung bago ang ideya ng pag-rotate ng key, ano ang API key at paano ito iimbak ay sumasaklaw sa mga pangunahing kaalaman.
Mga ugali na pumipigil sa muling pagganap nito, lahat mula sa mga mitigation ng mga mananaliksik:
- Simulan ang mga agent sa isang project folder na ikaw mismo ang gumawa, hindi sa Downloads.
- Basahin ang anumang
AGENTS.mdoCLAUDE.mdna hindi mo isinulat bago mo patakbuhin ang isang agent dito, kabilang ang mga dumarating sa pamamagitan ng clone o pull request. - Panatilihing bukas ang approval prompt at sandboxing, at mag-ingat sa anumang instruksyon na humihiling sa agent na patayin ang mga ito.
