# 下载夹开了编码助手，本机腾讯云密钥就可能被读走？先停用 CAM 访问密钥再对账

谁受损：在下载夹打开过编码助手的工程师 / 研发小队，以及腾讯云账单方（主账号计费主体）；财务、安全、业务一并承压。  
先做什么：立刻停止在 `~/Downloads`（及浏览器默认下载目录）里启动 Codex / Claude Code 等编码助手；盘点本机 Agent 配置与可疑说明文件；在访问管理 **禁用 / 轮转** 本机可能触达的 CAM 访问密钥（SecretId/SecretKey）；打开费用中心预算与异常检测盯异常按量。  
钱记在 **腾讯云主账号** 上，不记在「在下载夹点开助手的那个人」名下——本机环境变量、腾讯云 CLI / SDK 配置、用户目录里的永久凭证一旦被读走，按量资源照样能开出来。

本文把公开披露的 **下载夹说明文件 → Agent 改本机配置 → 触达本机腾讯云永久密钥** 风险，落到 CAM / 访问密钥 / 费用中心止血清单。不写利用细节，不贴真实密钥。机制上明确：不等于远程 MCP OAuth 登录链，也不等于「前端产物里躺着一把钥匙」。

---

## 一、场景：下载夹里开了助手，费用短信先响了

某研发小队日常用 AI 编码助手整理刚下好的压缩包。周五傍晚，工程师把工作目录指到下载夹，打开 Codex（或 Claude Code）问「帮我解压并梳理目录」。下载夹里已躺着伪装成「工程规范」的 `AGENTS.md`（或 `CLAUDE.md`）——公开研究描述：网页可往默认下载目录落说明文件；人在该目录启动会读说明的编码助手后，Agent 会按说明改本机配置、装包或改 API 端点。

本机平时把腾讯云编程凭证留在用户目录：环境变量 `TENCENTCLOUD_SECRET_ID` / `TENCENTCLOUD_SECRET_KEY`，或 CLI / SDK 配置中的永久 SecretId/SecretKey，对应一把权限偏宽的 CAM 子用户密钥。配置被改写或令牌外泄后，本机可读云凭证即进入「可能已被触达」——不必登录控制台也能调 API。

周一上午，费用中心相关短信提示可用额度紧张。打开 **费用中心 → 账单**，按天看消费，发现周末单日按量约为日常的数倍；资源列表里多出一批非业务窗口创建的按量 CVM。访问管理里对齐到那把仍显示「启用」的访问密钥，**最近访问时间**落在「下载夹开助手」之后的窗口内（注意控制台最近访问时间为 **T-1** 更新口径，见下文）。

虚构打码示例（勿当真钥，仅供对照自家「最近访问时间」）：

```text
CAM 子用户：cam-dev-dl-****
SecretId：AKID********4N8Q
状态：启用
本机落点：环境变量 + 用户目录下腾讯云 CLI/SDK 配置
触发上下文：Downloads 工作目录 + AGENTS.md / CLAUDE.md 目录说明（Forever / BleepingComputer 公开披露）
权限画像：曾挂过过宽的 CVM / 按量相关策略（应立即缩权）
```

---

![fig1.png](https://developer.qcloudimg.com/http-save/yehe-12789434/c277986c3669ec1507b07bc552630c95.png)

## 二、机制边界：下载夹说明文件被 Agent 当作「该听的规范」

公开外证（Forever Security 约 2026-10-22；BleepingComputer 约 2026-10-25）可核对的事实摘要如下——只写边界，不写利用步骤、不复述恶意配置块：

**共同前提**

- 编码助手被设计成：打开某个工作目录时，读取并遵循目录内的说明文件（如 `AGENTS.md`、`CLAUDE.md`）。  
- 浏览器默认下载目录（常见 `~/Downloads`）是网页相对容易写入的位置；说明文件是纯文本 Markdown，不是传统可执行文件，操作系统「下载即运行」防护拦不住「被 Agent 当成规范执行」。  
- Forever 在真实客户机下载夹发现恶意 `AGENTS.md`（伪装成工程规范），并在隔离环境对 Codex、Claude Code 复现。  
- 厂商侧没有可打的「漏洞补丁」——跟从目录说明是设计行为；防护在用户侧与云侧凭证治理。  
- 遥测口径（Forever，转述请注明来源）：约一半客户曾有员工在 Downloads 打开编码助手。

**Codex 一侧（公开复现摘要）**

- 说明文件诱导改写机级配置（公开材料点名 `~/.codex/config.toml`），并可进一步促使安装恶意 npm 包；实战包名 **function-color**（npm 已下架）。  
- 无害载荷复现成功率公开表述约 **90%**。机级配置被改后，影响不局限于下载夹那一次会话。

**Claude Code 一侧（公开复现摘要）**

- `CLAUDE.md` 诱导改项目设置，把 API 流量指到攻击者控制的域，导致 **OAuth 令牌外泄**；公开表述成功率约 **50%**。  
- 令牌外泄本身即可构成会话接管面；后续还可进一步走到工具调用面（本文不展开步骤）。

**企业侧三句话**

1. 起点是 **网页可往下载夹落说明文件 + 人在下载夹开 Agent**，不是「点了远程 MCP 登录」，也不是「前端仓库里明文躺钥匙」。  
2. Agent 按设计信任工作目录说明——危险在于「说明文件出现在你以为安全、实际上网页写得到的目录」。  
3. 本机一旦被改配置或令牌外泄，凡当前用户可读的环境变量、CLI/SDK 配置、密钥文件都进入风险面——其中最贵的一类，往往是 **云厂商永久访问密钥**。

映射到腾讯云：配置被改或令牌外泄本身不等于「已经开了 CVM」；但只要本机留着可调开资源的 **CAM 永久 SecretId/SecretKey**，下一步就可以变成 **按量账单**。计费主体仍是 **腾讯云主账号**。

![fig2.png](https://developer.qcloudimg.com/http-save/yehe-12789434/7f179f16cbe034ba0b2eb8f720a03b6b.png)

### 2.1 和「远程 MCP 登录链」「前端躺钥匙」不是一类事故

- **远程 MCP OAuth 登录链**：危险响应出现在「连接 / 登录远程工具」过程中，治理重点含客户端版本与远程端点白名单。  
- **前端 / 仓库明文躺钥匙**：密钥事先被贴出去，检索即可调用；治理重点是密钥扫描与发布流水线。  
- **本案**：危险说明文件落在下载夹，人在该目录启动会读说明的编码助手；治理重点是 **Agent 工作目录习惯 + 本机配置审计 + CAM 永久钥收敛**。

对企业安全与财务同时可见的后果却是同一类：本机可达的腾讯云凭证一旦被读走或被用于 API 调用，**按量费用记在主账号**。所以止血仍落在 CAM 与费用中心。

### 2.2 本机可达凭证与 Agent 配置的自查落点（只列位置）

- 用户环境变量：`TENCENTCLOUD_SECRET_ID`、`TENCENTCLOUD_SECRET_KEY` 及历史别名  
- 腾讯云 CLI / SDK / Terraform 用户目录配置、本机脚本导出语句、团队「开发机初始化」粘贴残留  
- Codex：机级配置是否出现陌生的工具服务注册、异常接口基址（以本机实际文件为准）  
- Claude Code：项目 `.claude/settings.json` 等是否出现你未设置的 API 基址 / 代理类环境变量  
- 下载夹及刚克隆仓库根：是否存在你未撰写的 `AGENTS.md`、`CLAUDE.md`——先人读，再让 Agent 读  
- 若曾把 STS 临时凭证写进长期文件：过期删除；未过期按泄露处理并吊销来源角色

原则：不要在 Downloads 开编码助手；能用角色 + STS 就不要落永久访问密钥。

---

## 三、腾讯云 CAM / 访问密钥边界：本机凭证怎么变成账单

### 3.1 CAM 边界：人、策略、角色

对照腾讯云访问管理官方安全实践与密钥治理建议（摘要转述，以文档为准）：

1. **不要为腾讯云主账号（根用户）创建访问密钥**——主账号对名下资源与账单信息拥有完全控制权；官方表述包括「不建议您为主账号创建访问密钥并使用该访问密钥进行日常工作」「强烈建议您不要为根用户创建访问密钥对」。  
2. **日常运维与 API 调用用 CAM 子用户 + 角色授权**，避免共享主账号身份凭证。  
3. **人员子账号与程序子账号分离**：人员子账号 **不创建 AccessKey、仅控制台登录**；程序子账号 **仅 AccessKey、不允许控制台登录**。  
4. **授予最小必要权限**——开发机专用用户应收紧到「本职所需产品与操作」。  
5. **程序身份优先角色 + STS 临时凭证**——角色本身无持久证书；永久访问密钥视为「不得已」。  
6. 高权限控制台用户开启 MFA / 敏感操作保护；对创建密钥、开高配资源等操作保留审计。

### 3.2 访问密钥边界：永久 SecretId/SecretKey ≠ STS

硬约束（以《主账号 / 子账号访问密钥管理》《查看访问密钥活跃时间》《定期轮转访问密钥》及 STS `AssumeRole` 文档为准）：

- 访问密钥 = **SecretId + SecretKey**，用于 API / CLI / SDK，**不能登录控制台**。  
- **主账号与子用户 / 协作者各最多 2 个** API 密钥。  
- **自 2023-11-30 起，SecretKey 仅创建时可见，后续不可再查询**——丢失只能新建再轮转。  
- **须先禁用再删除**；禁用后腾讯云拒绝该密钥全部请求；**删除后无法恢复**。  
- 「最近访问时间」与「更多访问记录」：更多访问记录覆盖最近三个月内最新约 20 条（含成功/失败），数据量大时可能存在 **2 小时以上**延迟；控制台「最近访问时间」为 **T-1** 更新，「更多访问记录」为 **T-0** 当天更新，两处可能不一致。  
- **自 2025-06-30 起分批次默认启用**：自动禁用超过 **90 天**不活跃的 AccessKey；需保留则须在 90 天内主动调用或轮转换新。  
- `AssumeRole`：**DurationSeconds 默认 7200 秒，最长 43200 秒**；官方建议不要使用主账号永久密钥调用该接口。子账号密钥建议 **至少 90 天一轮转**（敏感业务更短）。

与本场景的对照：下载夹说明文件 → Agent 改本机配置 / 令牌外泄 → 本机用户权限面扩大 → 永久访问密钥调 API → 费用记在 **主账号账单**。

![fig3.png](https://developer.qcloudimg.com/http-save/yehe-12789434/53fe0b6e3c521caafd953f8c78b425ed.png)

### 3.3 最小权限思路（虚构方向，勿原样当生产策略）

开发机尽量不落永久 AK，改用短期 STS，或把云操作放到 CI / 堡垒机角色身份上。若用户曾挂管理员类策略，**先摘策略、再轮转密钥**。自定义策略可只给 Describe 类「看」动作，并对创建按量实例、再造密钥等显式 Deny；资源六段式与 Action 按真实业务改写后再挂载。

---

## 四、费用中心：告警能早发现，不能替代停钥

### 4.1 账单侧看「花了什么」

- **费用中心 → 账单**：盯异常当周 **按天应付金额** 与 **按产品 / 地域汇总的 Top 项**。  
- 后付费明细常见有呈现延迟；未出账数据不要直接当最终对账依据。  
- 记下异常资源 / 实例 ID，供后续释放与审计。

![fig4.png](https://developer.qcloudimg.com/http-save/yehe-12789434/9d35972ef117ace2557bc1a285f43947.png)

### 4.2 预算与异常检测看「偏没偏」

- **预算管理**（费用中心 → 成本管理 → 预算管理）：可设月度等预算，并配置阈值提醒与波动提醒；单条预算常见最多约 **3 组**阈值类告警、**3 组**波动类告警；接收渠道以消息订阅中的预算管理通知为准。预算是财务雷达，**不会自动关资源**。  
- **异常检测**（费用中心 → 成本管理 → 异常检测）：按天（**T+1**）级别识别包年包月与按量总费用波动；默认容忍阈值公开材料常见为约 **10%** 与 **1000 元**（可改）；官方说明检测结果 **仅供参考**，**不为资损负责，也不会自动关资源**。  
- 严重异常时短信可能早于你定位到密钥，但仍 **不能替代禁用访问密钥**。

可自填：异常日前 7 日日均 / 异常日当日 / 比值 / Top 产品 / 嫌疑 SecretId 最近访问时间（Asia/Shanghai，注意 T-1）/ 下载夹开助手时间。

![fig5.png](https://developer.qcloudimg.com/http-save/yehe-12789434/47be48c5ded64c738407e78cf654f1fc.png)

### 4.3 身份侧把「陡升」对齐到密钥

1. **访问管理 → 概览**：下载 **用户凭证报告**，批量看密钥 ID、创建时间、最近活跃时间。  
2. **用户列表 → 目标子用户 → API 密钥**：记录状态、创建时间、**最近访问时间**；必要时点 **更多访问记录**（注意延迟与 T-0 / T-1 差异）。  
3. 若最近访问时间落入「下载夹开助手 / 发现说明文件」之后的异常窗口，将该钥视为优先嫌疑对象。  
4. 同步检查：**主账号是否仍持有访问密钥**——若有，按官方建议评估后禁用并删除，业务迁到最小权限子用户或角色 + STS。  
5. 有 **操作审计** 的，按 SecretId / 相关事件交叉验证 IP、产品与时间线。

### 4.4 建议的 30 分钟核对顺序（变更窗内）

费用侧确认按天陡升并记下实例 ID → 身份侧用凭证报告与最近访问时间对齐异常窗（含主账号密钥）→ 禁用嫌疑钥 → 释放非业务按量资源 → 确认不再在 Downloads 开 Agent 并核配置。自动化若中断，只用最小权限新钥或 STS 恢复，禁止原样复制旧权限画像。

---

## 五、可执行缓解清单（P0 / P1 / P2）

**P0｜小时级（已在 Downloads 开过助手，或账单已异常）**

- [ ] 立即停止在 `~/Downloads` / 浏览器默认下载目录启动任何编码助手；改到具体项目根目录。  
- [ ] 人眼审阅下载夹与相关项目中的 `AGENTS.md`、`CLAUDE.md` 及同类说明——不是你写的，先隔离再分析。  
- [ ] 检查 Codex 机级配置、Claude 项目 settings 是否出现你未设置的工具注册 / API 基址；异常则恢复默认并轮转相关登录态。  
- [ ] **禁用**嫌疑 CAM 访问密钥；确认业务不受影响后再删除 / 轮转。  
- [ ] 主账号若仍有访问密钥：业务切走后禁用并删除。  
- [ ] 释放异常按量资源；确认账单走势回落；通知财务关注可用额度与欠费停服风险。  
- [ ] 高权限控制台用户开启 MFA；保留变更与审计记录。  
- [ ] 若本机曾出现公开 IoC 包名 **function-color** 的安装痕迹：将该开发机按失陷面处置，并轮转所有同源云凭证与 Agent 登录态。

![fig6.png](https://developer.qcloudimg.com/http-save/yehe-12789434/b396fae5df2d4c5bcee3deb3adaa1630.png)

**P1｜48 小时内（防止复发）**

- [ ] 清点开发机：环境变量、腾讯云 CLI/SDK 配置、IDE 密钥库、CI runner 上是否仍落永久 AK；能改角色 + STS 的全部改掉。  
- [ ] 落实人员 / 程序子账号分离：人员不建 AK，程序不做控制台登录。  
- [ ] 编程用子用户挂自定义最小权限策略；摘掉管理员类系统策略。  
- [ ] 配置费用中心 **预算**（例如月预算实际值 / 预测值 **80%**、**100%** 阈值）与 **异常检测**；确认消息订阅接收人有效。  
- [ ] 会用凭证报告 + 密钥访问记录 + 操作审计对齐时间线。  
- [ ] 团队书面约定：编码助手默认工作目录必须是受控项目根；Downloads 视为敌对目录；新克隆仓库先审说明文件再开 Agent。

**P2｜制度与架构（按迭代落地）**

- [ ] 密钥轮转写入变更日历（如每 90 天双钥轮转）；轮转记录与最近访问时间归档。  
- [ ] 开发机禁止落主账号凭证；生产变更只走角色扮演 + 变更单。  
- [ ] AI 编码助手纳入资产清单（产品、版本、默认工作目录策略）；桌面演练一遍「撤出 Downloads → 审说明 → 核配置 → 停钥 → 清资源 → 回看账单」。

---

## 六、常见误区

1. **「我只是在下载夹让助手整理文件」** — Agent 可能在正事之前就按说明改配置；危险可以发生在你以为的正事之前。  
2. **「等厂商补丁」** — 跟从目录说明是设计行为，没有可打的单一产品补丁；防护在工作目录习惯与云侧停钥。  
3. **「有最小权限就安全」** — 只缩小爆炸半径；永久 AK 仍可能持续开资源，生命周期要靠角色 + STS。  
4. **「预算 / 异常检测会自动停机」** — 不会；禁用访问密钥才是刹车。  
5. **「这不就是远程 MCP 登录或前端躺钥匙」** — 不是；本案起点是下载夹说明文件 + 在下载夹开 Agent。  
6. **「删了密钥就够了」** — 还需清资源、查新建身份、轮转同源凭证与 Agent 登录态、补 MFA / 预算告警、固化禁止在 Downloads 开助手。

---

## 七、小结

下载夹把「网页可写入的目录」和「Agent 默认信任的工作目录说明」叠在一起。人在 Downloads 打开 Codex / Claude Code 时，说明文件可驱动改配置并走向装包或令牌外泄；本机若还躺着腾讯云永久 SecretId/SecretKey，账单风险就变成费用事件。

企业侧顺序：撤出 Downloads 并审说明、核 Agent 配置 → 禁用 / 轮转 CAM 访问密钥并缩权、主账号密钥清零 → 清异常按量并用费用中心 + 访问记录 + 操作审计对齐时间线 → 预算与异常检测托底，禁止开发机长驻永久 AK、禁止在下载夹开编码助手。

把日均费用对比、密钥最近访问时间对比、说明文件是否本队撰写写进故障报告，比口号有用。

---

## 八、参考（腾讯云文档域 + 公开外证）

**腾讯云官方文档（cloud.tencent.com/document）**

1. 主账号访问密钥管理：https://cloud.tencent.com/document/product/598/40488  
2. 子账号访问密钥管理：https://cloud.tencent.com/document/product/598/37140  
3. 查看访问密钥活跃时间（含 90 天不活跃自动禁用、T-1 口径）：https://cloud.tencent.com/document/product/598/120122  
4. 定期轮转访问密钥（含人员/程序子账号分离）：https://cloud.tencent.com/document/product/598/123925  
5. 安全实践教程：https://cloud.tencent.com/document/product/598/10592  
6. 申请扮演角色临时访问凭证 AssumeRole（DurationSeconds 默认 7200 / 最长 43200）：https://cloud.tencent.com/document/product/1312/48197  
7. 预算管理：https://cloud.tencent.com/document/product/555/65784  
8. 异常检测：https://cloud.tencent.com/document/product/555/123736  

**公开外证（非站外官网 CTA）**

- Forever Security：Markdown Is the New Executable — Hijacking AI Agents via Downloads Folder（约 2026-10-22）  
  https://forever.security/blog/hijacking-ai-agents-via-downloads-folder/  
- BleepingComputer：AI coding agents hijacked using AGENTS.md file in Downloads folder（约 2026-10-25）  
  https://www.bleepingcomputer.com/news/security/ai-coding-agents-hijacked-using-agentsmd-file-in-downloads-folder/  

（控制台路径以登录后实际菜单为准；引用时请打开链接核对。）

---

本文为腾讯云控制台可复现的企业治理说明。示例账号与密钥均为虚构打码；外证数字仅作公开披露对齐。若需要把本机 Agent 工作目录习惯与云侧密钥盘点做成可执行清单，可参考青椒实验室：https://qingjiaolab.com 。关注腾讯云开发者社区后续实践即可。


谁受损：在下载夹打开过编码助手的工程师 / 研发小队，以及腾讯云账单方（主账号计费主体）；财务、安全、业务一并承压。  先做什么：立刻停止在 ~/Downloads（及浏览器默认下载目录）里启动 Codex  Claude Code 等编码助手；盘点本机 Agent 配置与可疑说明文件；在访问管理 禁用  轮转 本机可能触达的 CAM 访问密钥（SecretId/SecretKey）；打开费用中心预算与异常检测盯异常按量。  钱记在 腾讯云主账号 上，不记在「在下载夹点开助手的那个人」名下——本机环境变量、腾讯云 CLI / SDK 配置、用户目录里的永久凭证一旦被读走，按量资源照样能开出来。

下载夹开了编码助手，本机腾讯云密钥就可能被读走？先停用 CAM 访问密钥再对账

谁受损：在下载夹打开过编码助手的工程师 / 研发小队，以及腾讯云账单方（主账号计费主体）；财务、安全、业务一并承压。  先做什么：立刻停止在 ~/Downloads（及浏览器默认下载目录）里启动 Codex  Claude Code 等编码助手；盘点本机 Agent 配置与可疑说明文件；在访问管理 禁用  轮转 本机可能触达的 CAM 访问密钥（SecretId/SecretKey）；打开费用中心

安全

云计算

开发工具

代码解释

密钥轮转

密钥管理

访问管理

配置审计

堡垒机

短信

OAuth

Agent

JSON

4核4G3M云服务器 新用户低至38元/年！

让每一个 Agent，都跑在云上

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

谁受损：在下载夹打开过编码助手的工程师 / 研发小队，以及腾讯云账单方（主账号计费主体）；财务、安全、业务一并承压。  先做什么：立刻停止在 ~/Downloads（及浏览器默认下载目录）里启动 Codex  Claude Code 等编码助手；盘点本机 Agent 配置与可疑说明文件；在访问管理 禁用  轮转 本机可...

下载夹开了编码助手，本机腾讯云密钥就可能被读走？先停用 CAM 访问密钥再对账-腾讯云开发者社区-腾讯云

下载夹开了编码助手，本机腾讯云密钥就可能被读走？先停用 CAM 访问密钥再对账

下载夹开了编码助手，本机腾讯云密钥就可能被读走？先停用 CAM 访问密钥再对账

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐