資安威脅趨勢 - 惡意Markdown指引檔劫持AI程式開發代理，Codex及Claude Code恐遭植入惡意程式並竊取OAuth權杖
一、摘要
資安業者Forever Security揭露新型態AI代理攻擊手法，攻擊者透過惡意網站，將AGENTS.md或CLAUDE.md指引檔下載至使用者電腦的Downloads資料夾，利用OpenAI Codex及Anthropic Claude Code會自動讀取指引檔案的特性，誘使AI代理執行惡意指令。
攻擊者藉此新增惡意MCP伺服器、安裝function-color惡意NPM套件，或竄改API連線設定，將OAuth權杖傳送至攻擊者控制的伺服器，造成憑證外洩及帳號遭接管的風險。
二、存在風險
研究人員指出，攻擊者利用AI程式開發代理會自動讀取Markdown指引檔的特性，誘使Codex及Claude Code執行惡意操作。其中，Codex可能遭植入惡意MCP伺服器並安裝function-color套件；Claude Code則可能遭竄改API連線位址，導致OAuth權杖外洩。
由於Markdown檔案屬於一般文字文件，傳統端點防護機制不一定能有效識別，當AI代理自動讀取並執行其中指令時，可能造成惡意程式安裝、憑證外洩及開發環境遭入侵。建議企業避免在Downloads等不可信任目錄啟動AI代理，並定期檢查指引檔案及MCP設定，防止未授權的設定異動。
IoC：
惡意NPM套件：
function-color
可疑檔案：
AGENTS.md
CLAUDE.md
可疑設定檔及設定項目：
~/.codex/config.toml
.claude/settings.json
[mcp_servers.project-tools]
ANTHROPIC_BASE_URL
可疑行為：
未經授權新增或修改MCP伺服器設定。
AI代理自行安裝function-color等非預期NPM套件。
Codex設定檔出現未經授權的MCP伺服器註冊資訊。
Claude Code的API連線位址遭修改或重新導向。
AI代理執行要求略過核准機制或停用沙箱的命令。
OAuth權杖出現異常傳輸或未授權使用情形。
