ARTICLE · 1336943
AGENTS.md 是文档,但更应是受管理的供应链工件
当 AGENTS.md 成为可执行配置：权限与供应链风险下，配置审计为何必须先行
一、AGENTS.md不仅仅是文档，而可执行指令
AGENTS.md 及其同族指令文件在 2026 年已经越过“项目说明书”的定位，因为它们在会话启动时被编码智能体自动加载，并作为“来自开发者的可信指导”被执行。
Cloud Security Alliance 在 2026 年 10 月的研判中给出了一个准确的概括——“Markdown 是新的可执行文件”：一个被智能体加载的纯文本文件，可以指示智能体安装软件包、修改自身设置，或把凭据发往攻击者控制的端点，而这一切并不利用任何软件漏洞，因为智能体只是在做它被设计来做的事。
由此产生的问题不是“AGENTS.md 是否方便”，而是：当配置文件的行为后果已经接近可执行代码，而它的治理强度却远低于代码时，权限边界与供应链完整性靠什么来保证？
2026 年 10 月披露的真实案例给出了一个不容乐观的起点：Forever Security 在一名客户的 ~/Downloads 目录中发现恶意 AGENTS.md，试图诱导 OpenAI Codex 安装与恶意软件关联的 npm 包。在隔离环境复现中，Codex 在超过 90% 的测试尝试中执行了恶意代码，Claude Code 攻击链的成功率约为 50%。
更值得警惕的是，研究人员判断厂商无需为此发布补丁，因为“智能体遵循所在文件夹中的指令文件”本身就是符合设计预期的行为。当风险来自设计逻辑而非实现缺陷时，治理的着力点只能落在配置文件的审计与版本管控上。
二、AGENTS.md处于AI供应链治理扩展带的中心
AGENTS.md 于 2025 年 8 月作为跨厂商约定出现，2025 年 12 月由 OpenAI 捐赠给 Linux 基金会旗下的 Agentic AI Foundation，采用范围覆盖超过 60,000 个开源项目和智能体框架，包括 Codex、Cursor、Devin、Gemini CLI、GitHub Copilot、Jules 与 VS Code。
AGENTS.md治理问题凸显，其原因客观上来自于规模化速度。它作为“厂商中立的项目说明书”这一定位，在事实层面是成立的；但“厂商中立”同时也意味着没有单一主体对文件内容的安全性承担默认责任。
2026 年的实证研究进一步揭示了这一生态的结构性特征。Madatha（2026）对 10,008 个公开 GitHub 仓库、6,145 个代理配置文件的测量发现：跨仓库路径中 10.1% 为 SHA-256 完全重复，75.5% 的克隆对跨越组织边界；58% 的配置文件只有一次提交，修订频率约为每月 0.4 次，仅相当于可比仓库文件的一半；而声明了权限边界的智能体配置不足 1%，作为对照，GitHub Actions 工作流中约 33% 的文件声明了权限。
这组数据指向一个关键判断：AGENTS.md 已经在事实上作为一种“未声明的共享组件供应链”在跨组织传播，但其权限声明、版本锁定与变更审计的成熟度，与包管理器所处理的普通依赖相去甚远。
在中国与欧美的监管侧，2026 年同样是一个分水岭。欧盟《AI 法案》对通用人工智能（GPAI）模型的执法权自 2026 年 8 月 2 日起生效，第 53 条要求提供者编制技术文档和面向下游提供者的信息文档，供应链透明度从原则宣示进入可执行阶段。
中国方面，2026 年 1 月 1 日新修订的《网络安全法》实施；算法推荐服务提供者的备案信息发生变更的，应当在变更之日起十个工作日内通过备案系统办理变更手续。2026 年 4 月，国务院公布《关于产业链供应链安全的规定》（国务院令第 834 号），作为中国首部专门维护产业链供应链安全的行政法规，其中涉及 SBOM 台账建立的要求；同年发布的 GB/T 47020—2026《网络安全技术 软件物料清单数据格式》为 SBOM 提供了国家标准层面的支撑，但性质上为推荐性国标。
美国的路径则更多体现为采购侧约束与框架牵引：NIST AI RMF 的 GOVERN 6 明确要求针对第三方软件、数据及其他供应链问题制定政策与程序；联邦采购层面，国土安全部于 2026 年 10 月依据 FASCSA 发布针对 DeepSeek 的排除令，国防部（Department of War）此前已于 2026 年 3 月将 Anthropic 认定为供应链风险。
三条监管路径的共同指向是：AI 供应链的治理重心正在从“模型本身”扩展到“模型周围的可执行配置与依赖”，而 AGENTS.md 恰好处于这一扩展带的中心，却尚未被任何一部法律或标准以专门条款覆盖。
这正是本文核心判断的规范基础：在专门规则缺位的情况下，配置审计与版本管控是当前唯一可操作、且能与既有法律义务对接的治理杠杆。
三、风险来自于声明-执行落差
AGENTS.md 的风险可以分解为两条相互强化的机制：权限侧的“声明—执行落差”，与供应链侧的“信任传递与完整性缺失”。
先看权限侧。AGENTS.md 的核心功能是向智能体声明它可以做什么、不可以做什么。但 2026 年的实证与案例共同表明，这种声明缺乏执行层面的兜底。
对公开 CLAUDE.md 的预印本研究则显示，只有 4%—16% 的开发者所写安全规则存在匹配的内置控制来强制执行。换言之，AGENTS.md 中一句“永不读取密钥”，在多数代理实现中仍然只是一句话，并不构成文件系统层面的禁止。
Forever Security 的 Codex 案例则展示了反向利用：恶意配置并不需要“突破”护栏，它只需要让智能体在护栏内部自愿写入一条新的服务器配置或安装一条包管理器命令，风险就从“智能体违反规则”滑向了“智能体忠实执行了被投毒的规则”。权限主体风险由此变得具体：智能体持有身份令牌、可调用工具、可接触敏感数据，而配置文件的权限设定直接决定了这些能力被引向何处。
再看供应链侧。AGENTS.md 的加载机制放大了完整性缺失的后果。Codex 从项目根目录向下走到工作目录，拼接其发现的每一个 AGENTS.md，默认上限 32 KiB；当没有项目根目录时，只检查当前目录——这意味着在 ~/Downloads 启动的智能体会读取那里放置的任意 AGENTS.md。研究人员未能完全确定该文件如何到达用户机器，但指出恶意网站可以尝试通过下载投递方式将这类文件写入用户的默认下载目录。
更严重的是，2026 年 6 月的 Miasma 蠕虫事件已经将这一机制用于供应链攻击：恶意提交在 Azure/durabletask 中植入了面向 Claude 和 Gemini 的设置文件以及 VS Code 工作区任务文件，当仓库在开发工具中打开时即执行载荷；微软随后通过自动化 GitHub Actions 禁用了四个微软组织下的 73 个仓库。这说明 AGENTS.md 类配置的风险不是孤立的“单文件恶意”，而是可以作为跨仓库、跨工具供应链投毒的载荷载体。
将两条机制合并，核心判断可以收敛为一个可检验的命题：AGENTS.md 的风险性质已经使其更适合被当作“受管的供应链工件”而非“文档”来治理。
Madatha（2026）提出的“确定性控制平面”框架正是这一命题的工程化表达：对配置字节做 SHA-256 内容寻址，消费者锁定到具体哈希而非路径或移动分支；在配置中增加显式的权限边界段落；通过漂移检测和状态机化的晋升流程，使“智能体在运行时究竟读取了什么”成为可从日志回答的证据。这与 NIST AI RMF 将第三方与供应链风险纳入治理功能的取向一致，也与中国 834 号令和 SBOM 国标所代表的供应链透明度逻辑同构。
四、AGENTS.md在义务框架中缺位
将 AGENTS.md 治理与三种“相似物”对照，可以更清楚地看到可行操作模式的边界与争议。
第一是普通软件依赖。Madatha（2026）的测量表明，智能体配置在跨组织传播、重复率和修订频率上已经具备共享组件的特征，但权限声明率却不到 1%。
争议在于：将配置纳入包管理器式的管控，是否会过度增加摩擦？一个诚实的回答是，对于单仓库、单团队的场景，git 已经提供了版本化、PR 审查和回滚，额外控制平面的边际收益有限；但跨仓库、跨组织分发、受监管环境以及“运行时智能体读了什么”构成证据要求的场景，正是控制平面“收回成本”的条件。因此，可行模式不是“一刀切”，而是按分发范围与审计需求分层部署。
第二是 CI/CD 中的 GitHub Actions 工作流。Actions 工作流同样是“配置即执行”，同样在仓库中传播，但其生态已经形成了 permissions: 块作为事实上的最小权限声明习惯。
争议在于，AGENTS.md 能否复制这一路径？有利条件是结构相似：权限声明、代码所有者审查、分支保护、签名提交都可以平移。不利条件是 AGENTS.md 的消费端是概率性、自然语言驱动的智能体。OWASP AISVS C3.1 要求模型工件（含 configurations）由授权实体加密签名，并在部署准入和加载时验证签名。这一控制要求可以从模型工件平移至代理配置：未签名或哈希不匹配的配置应在加载环节被拒绝。
但平移的限度同样明显：签名与哈希校验解决的是“读的是不是预期字节”，并不能解决“预期字节所写的自然语言规则是否会被代理以未预期的方式解释”。因此，Actions 范式必要但不充分——配置审计还必须配合确定性边界（沙箱、文件系统权限、网络出口控制），而不是把安全规则留在 Markdown 的自然语言层面。
第三是中外监管路径之间的对照。欧盟以产品合规和供应链文档为中心，通过 GPAI 提供者的技术文档与下游信息义务，将压力施加于模型上游；中国以备案与供应链行政法规为中心，通过算法备案的变更时限、834 号令和 SBOM 国家标准，将压力同时施加于服务运营者和产业链参与者；美国则更多以采购准入和自愿框架施加约束，FASCSA 排除令使模型来源（model provenance）成为联邦采购中可操作的风险变量。
三者的共同盲区在于：它们都指向“模型”或“服务”，而 AGENTS.md 作为模型与开发者之间的配置层，在多数义务框架中没有独立的登记位置。一个中国的算法服务运营者可能完成了模型备案，却未将跨仓库分发的 AGENTS.md 纳入变更管理；一个欧盟的下游提供者可能取得了供应链文档，却未对仓库中实际被代理加载的规则文件做内容寻址与哈希锁定。这种“规范覆盖的中间层缺失”，恰恰是配置审计作为组织内部治理工具可以先行填补的空间。
五、写下来的规则需要转化为确定性控制
AGENTS.md 的治理问题，本质上是一个“语义迁移”问题：当 Markdown 从人类阅读的文档迁移为智能体执行的配置，它的风险属性就从“信息错误”迁移为“权限行使与供应链完整性”。2026 年的真实攻击与实证数据表明，这种迁移已经发生，但治理工具仍停留在文档时代——权限声明率不足 1%，安全规则缺乏执行兜底，跨组织分发近乎无锁定，而恶意配置可以在不触发任何软件漏洞的情况下获得超过 90% 的执行成功率。
在中外监管层面，欧盟 GPAI 供应链文档义务、中国算法备案的变更时限与供应链行政法规、美国 FASCSA 的采购排除实践，共同构成了一个方向明确但尚未闭合的规范环境。闭合的关键缺口在于：配置层没有在多数义务框架中获得独立的登记与审计位置。
对这一缺口的务实回应，不是等待专门立法，而是将 AGENTS.md 类文件纳入组织已有的变更管理、代码所有者审查、哈希锁定与最小权限沙箱体系。内容寻址与权限声明解决“读的是哪个字节、被允许做什么”的可追溯性；代码所有者审查与 CI 漂移检测解决跨组织传播中的完整性；沙箱与审批解决自然语言规则无法强制执行的问题。三者的组合，可以在监管专门规则到位之前，先把最容易被利用的窗口收窄。
六、风险同样需要被正视
配置审计本身会引入新的操作面：注册表、锁定约定、漂移检测器和审批流都需要维护，对于低分发、低审计需求的单团队仓库，过早引入控制平面可能得不偿失。
另一个风险是“形式合规”：在 AGENTS.md 中写入权限声明，并不等于权限被执行；如果审计只检查声明文本而不校验声明与实际沙箱边界的一致性，就会复制“安全规则只有少数有执行匹配”的旧问题。因此，配置审计的有效性标准应当锚定在可验证的执行证据上，而非配置文本的完备性上。机遇与风险的分界线，正在于能否把“写下来的规则”转化为“加载时被拒绝、运行时被限制、事后可追溯”的确定性控制。
---
本文为「数字新财报」针对上市公司与持牌金融机构数字合规问题的深度研判。本团队专注服务 A 股 / 港股科创上市公司、持牌金融机构，为企业提供数字合规专项尽调、监管检查应对、合规整改落地、常年合规顾问等高端法律服务，企业可后台留言主体名称与业务类型，预约一对一深度研判咨询。
免责声明：本文仅供一般性信息参考，不构成任何法律、投资或专业建议。文中观点仅代表作者个人或整理时的理解，可能与实际监管口径、司法裁判情况存在偏差，企业具体合规事宜请结合自身主体资质、业务场景开展专项咨询。
---
作者：张烽，万商天勤律师事务所合伙人，
上海金融与法律研究院副院长，
国富量子（00290.HK）创新研究院副院长，
上海市浦东新区科幻协会理事，
上海市浦东管理咨询行业协会理事，
香港RWA全球产业联盟学术委员会副主任，
中国移动通信联合会元宇宙与人工智能产业工作委员会常务委员，
上海区块链技术协会智库专家和科技评价专家，
中国人工智能产业联盟安全治理委员会委员，
中国信通院法律大模型应用评审专家，
国版链数据要素合规专家。
系列专辑：
