AI coding agent 指令檔成信任盲點：下載資料夾為何高風險
TechNews 科技新報報道，以色列資安公司 Rebora 發現，有人可利用下載資料夾內的惡意 AGENTS.md，影響 AI coding agent 在啟動後接收的工作指示。若開發者直接在 ~/Downloads 等混雜來源檔案的目錄開啟工具，代理可能把同一目錄的指引檔視為項目規則，繼而執行不應信任的操作。
受影響的不只是個人寫程式工作流程。香港使用 Codex、Claude Code 等工具的開發者、學生，以及讓 agent 接觸公司 repository、雲端帳戶或部署憑證的團隊，都應把「在哪個目錄啟動 agent」視為權限管理的一環。不過，這並非已獲確認的傳統軟件漏洞或 CVE；TechNews 科技新報指出，Rebora 的說法聚焦於代理信任當前工作目錄指令檔的設計與使用習慣。
風險在於指令的來源，而非 Markdown 本身
AGENTS.md、CLAUDE.md 一類 Markdown 檔案，本來可用來交代編碼規範、測試方法及項目慣例。便利之處也帶來信任邊界問題：agent 若自動讀取這些檔案，便可能把本來只適用於可信專案的規則，延伸至瀏覽器或其他來源剛寫入的下載內容。
按 TechNews 科技新報報道，Rebora 在測試中稱，當工作目錄存在惡意指令檔時，Codex 有逾九成機會依從相關指示，Claude Code 約為五成。這些數字來自單一資安公司的測試，報道未提供足以獨立覆核的完整測試條件，因此較適合作為風險警號，而非不同工具的固定安全排名。
報道所述後果包括安裝惡意 npm 套件、改動代理設定，以及令 OAuth 權杖等認證資料外流。能否造成實際損害，仍取決於代理擁有的檔案、網絡及命令執行權限，還有使用者是否批准操作；但只要 agent 已被授予較高權限，錯誤信任一份項目指令檔的代價便會放大。
把工作區當成安全邊界
較穩妥的做法，是只在已建立並受版本管理的專案根目錄啟動 agent，避免以 Downloads、家目錄或系統根目錄作工作區。下載資料夾的本質是外來檔案匯集處，將它同時當成 agent 的上下文來源，風險自然較高。
啟動前可做以下基本檢查：
- 查看專案及其上層目錄是否有不明的
AGENTS.md、CLAUDE.md或其他 agent 指引檔，並先閱讀來源與內容。 - 按所用工具的官方文件，確認它會讀取哪些指令檔、搜尋範圍延伸至哪一層目錄，以及是否可限制或關閉自動載入。
- 檢查 MCP server、Proxy、API endpoint 等設定，移除自己不認識或不屬於團隊的外部連線。
- 保持操作確認提示與沙箱隔離啟用，尤其不要讓 agent 在未確認下安裝套件、改動設定或對外傳送資料。
- 若懷疑 agent 曾讀取可疑指令並取得敏感資料，應撤銷及重新發行相關 API 金鑰與 OAuth 權杖，同時檢查帳戶活動與設定變更。
工具供應商與團隊都要釐清預設行為
這宗事件的啟示，是 AI coding agent 的「項目說明」不能自動等同於可信來源。團隊可把指引檔納入 code review，並限制 agent 可接觸的目錄、憑證與外部網絡；個人用戶則要先建立乾淨工作區，再把需要的檔案放入其中。呢個習慣看似細微，卻能減少 agent 在錯誤上下文中運作的機會。
下一步值得觀察的是各工具會否更清楚展示已載入的指令檔、外部設定及即將使用的權限。對使用者而言，在這些保護變得更一致前，先確認工作目錄和憑證範圍，仍是最直接的防線。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- TechNews 科技新報 — 別在「下載資料夾」啟動 AI，惡意 AGENTS.md 恐讓寫程式代理變綁架工具 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
