AI代理被恶意AGENTS.md文件诱骗运行危险恶意软件

📋总体概括

安全研究人员发现新型提示注入攻击：攻击者将恶意指令藏入名为AGENTS.md的文件，AI编程代理在从网上下载或读取项目文件时会无条件信任并执行其中的指令，可能导致运行危险恶意软件、泄露代码或调用工具造成破坏。该漏洞暴露了AI代理对本地配置文件缺乏来源校验的结构性缺陷，随着代理类工具普及，供应链式提示注入风险正快速上升。