一个被放入 Downloads 文件夹的恶意文件针对 AI 编码 agent 发起攻击，试图诱骗其安装恶意软件。该手法依赖通过本地文件上下文而非网络路径实施间接注入，这使得攻击面比多数 prompt 层面的防御所假设的更贴近 agent 自身的工作环境。
对于运行会读取本地文件系统的 agent 的团队而言，这一发现重新界定了输入通道。一个会读取仓库文件、缓存下载内容或草稿笔记的 agent，会将这些内容视为上下文，而其中任何形似指令的文本都会与操作者实际的 prompt 相竞争。因此，信任边界必须围绕数据本身来划定，而不仅仅是围绕对话。具体而言，这意味着要标注文件来源、将不可信读取与经工具授权的操作区分开，并在任何可能受文件影响的安装或执行之前要求一个明确的审批步骤。
从现有报道中仍不清楚的是所涉及的具体 agent 和文件格式、确切的 payload 路径，以及该尝试是成功还是被拦截。这些细节对于界定暴露范围很重要，因此本工作室将所报道的行为视为一类问题的信号，而非单一产品的事件。针对 agent 系统的 evaluation 套件应将本地文件注入用例与网络传播的用例一并纳入，并应断言 agent 会拒绝执行仅在其读取内容中发现的指令。