資安威脅趨勢 - 惡意Markdown指引檔劫持AI程式開發代理，Codex及Claude Code恐遭植入惡意程式並竊取OAuth權杖
惡意Markdown指引檔劫持AI程式開發代理，Codex及Claude Code恐遭植入惡意程式並竊取OAuth權杖 一、 摘要 資 安業者Forever Security揭露新型態AI代理攻擊手法，攻擊者透過惡意網站，將AGENTS.md或CLAUDE.md指引檔下載至使用者電腦的Downloads資料夾，利用OpenAI Codex及Anthropic Claude Code會自動讀取指引檔案的特性，誘使AI代理執行惡意指令。 攻擊者藉此新增惡意MCP伺服器、安裝function-color惡意NPM套件，或竄改API連線設定，將OAuth權杖傳送至攻擊者控制的伺服器，造成憑證外洩及帳號遭接管的風險。 二、存在風險 研究人員指出，攻擊者利用AI程式開發代理會自動讀取Markdown指引檔的特性，誘使Codex及Claude Code執行惡意操作。其中，Codex可能遭植入惡意MCP伺服器並安裝function-color套件；Claude Code則可能遭竄改API連線位址，導致OAuth權杖外洩。 由於Markdown檔案屬於一般文字文件，傳統端點防護機制不一定能有效識別，當AI代理自動讀取並執行其中指令時，可能造成惡意程式安裝、憑證外洩及開發環境遭入侵。建議企業避免在Downloads等不可信任目錄啟動AI代理，並定期檢查指引檔案及MCP設定，防止未授權的設定異動。 IoC： 惡意NPM套件： function-color 可疑檔案： AGENTS.md CLAUDE.md 可疑設定檔及設定項目： ~/.codex/config.toml .claude/settings.json [mcp_servers.project-tools] ANTHROPIC_BASE_URL 可疑行為： 未經授權新增或修改MCP伺服器設定。 AI代理自行安裝function-color等非預期NPM套件。 Codex設定檔出現未經授權的MCP伺服器註冊資訊。 Claude Code的API連線位址遭修改或重新導向。 AI代理執行要求略過核准機制或停用沙箱的命令。 OAuth權杖出現異常傳輸或未授權使...