10月25日那天，AI编程圈同时炸出两条消息。
一条是安全新闻：BleepingComputer报道，有用户在下载目录里启动编程Agent，目录里一个不知道被谁投放的AGENTS.md，指挥Agent装了个恶意npm包。研究方Forever Security的说法很扎心：这里没有漏洞可以修——Agent读取工作目录里的指令文件并照着做，本来就是设计行为。知乎
另一条是社区日常：B站一位UP主把六家主流coding agent的记忆文件挨个核了一遍官方文档，评论区64条全在吵同一件事。吵的内容翻译成人话就是——“我仓库里那份CLAUDE.md，现在到底还认不认？”哔哩哔哩
两条消息拼在一起，是同一个事实的两面：那个曾经只算"AI老手隐藏技巧"的项目指令文件，一夜之间同时站上了标准之争和攻击面的中心。Anthropic在这场战争里的转身，恰好是最好的切片。
第一笔账：标准账——Anthropic确实松口了，但松得很讲究
把时间线拉出来看，这是一场打了大半年的文件命名权之争。
今年3月，OpenAI把AGENTS.md写进了Codex官方最佳实践：“将持久规则和团队指导放在AGENTS.md中，而不是在prompt里堆叠规则”。此后半年，AGENTS.md从一个工具的配置文件，变成了跨工具的事实标准——Codex读它，OpenCode读它，社区教程开始统一拿它当例子。微博
而Anthropic一直是那个"不跟的"。10月9日，知乎一个问题挂上热榜："如何看待Anthropic坚决不用行业标准AGENTS.md？“浏览量近19万。高赞回答很损但很真实：大家实际的做法，就是在CLAUDE.md里写一句"please go to AGENTS.md”，等人家的标准文件去接盘。评论区更狠：直接把CLAUDE.md删了，建一个指向AGENTS.md的硬链接，“这就是AI一个命令的事”。知乎热榜知乎
转折发生在9月：微博博主宝玉xp在9月19日发帖——"哈哈Claude Code终于支持AGENTS.md，所以什么时候支持.agents/skills？"这条108赞13评论的帖子，算是社区对Anthropic让步的第一手见证。微博
但让步的细则，要到10月25日才被掰开讲清楚。B站当天一个翻译视频标题就写得很具体：“配置AGENTS.md项目指令：Claude需2.1.277+且无CLAUDE.md”。按这个说法，Claude Code对AGENTS.md的支持是带条件的：版本号要够新，而且目录里不能已经有CLAUDE.md——原生文件优先，AGENTS.md只算替补。（该细节来自社区转译视频，各家版本更新快，动手前以自己本机版本和官方文档为准。）哔哩哔哩
所以这场标准战的正确结论不是"AGENTS.md赢了"，而是：方向定了，地位没定。Codex那边，AGENTS.md是亲儿子，从~/.codex的用户级，到项目根目录，再到子目录，三级级联往下覆盖；Claude Code这边，CLAUDE.md依然是亲儿子，AGENTS.md刚进门还得看脸色。用知乎一篇AGENTS.md深度解析的原话说，同时用多家工具的人，“每换一个工具，就要重新’教’AI一遍项目怎么构建、怎么测试、代码风格是什么”——这中间横着的，就是第一笔要算的账。知乎
第二笔账：维护账——"祖训"越写越长，Agent反而越来越不听话
如果说命名权之争是厂商的战争，那维护税就是每个用户自己在交的。这笔账，社区用半年时间攒出了惊人一致的证词。
先是最常见的双份维护。小红书一条515赞的帖子说得很直接：“用Claude Code的人，90%都在同时维护CLAUDE.md和AGENTS.md，改一个忘一个，心态爆炸”。小红书
然后是膨胀。有人总结论文《Why Does CLAUDE.md Keep Growing?》，作者翻了1867个开源项目、跟踪24.7万条指令，算出这类文件在生命周期里平均膨胀了226%，每改一次净增4.9条规则。论文管这叫"catastrophic remembering"，灾难性记忆：Claude踩一次坑就补一句"以后绝对不要"，过几个星期没人记得翻车细节，这条规则也就没人敢删。小红书
于是有了那句扎心的帖子标题："你的CLAUDE.md，可能已经写成祖训了。"微博上传播很广的一个说法来自KunChen：“你的AGENTS.md本质上是一个神经网络”——要么文件空空如也，让AI每次像没记忆的复读机，要么因一时恼火塞进几百条规则，导致文件臃肿且指令稀释。一位小红书用户描述自己的过程：错一次补一条，几个月后上百行，“自己都看不明白”。微博小红书
更隐蔽的问题是覆盖。知乎10月24日有人问"AGENTS.md设置好了准则，发给LLM以后不遵守怎么办"，回答点破了机制：你在Skill里写的要求，会覆盖AGENTS.md的原则；后续提示里任何一句冲突的话，也可能把它顶掉。也就是说，指令文件不是宪法，它只是每次对话开头的一段话，后面来的话都有权推翻它。于是有人干脆放弃说服：10月18日的知乎文章，标题就是"把AGENTS.md改了十遍都不听劝，一行Git钩子直接让AI满分照办"。知乎知乎
反证也得摆出来。今年3月B站就有视频质疑，加了agents.md之后"反而下降性能"——别忘了这些文件每次对话都进上下文，是烧token的。一位在Claude Code上烧了6B+ token的用户给出的最佳方案是只维护两份：全局级管"AI应该如何思考和工作"，项目级管"这个项目具体是什么、应该怎么改和验证"。Anthropic官方6月上线的memory stores + dreaming方案，则被社区"土法复刻"成四个文件的分工：CLAUDE.md立规矩、Memory.md记笔记、Learning.md当错题本、Wiki.md做多Agent共享墙，再用SessionStart/SessionEnd的hooks强制执行——规矩、状态、教训、共识，分开存，各管各的。哔哩哔哩知乎小红书
把这些证词合起来读，共识其实很清楚：指令文件的价值不在于写没写，而在于写了什么、放在哪、多厚。能检查到细节的规矩才配进文件（"构建用pnpm不是npm"算，“要写出优雅的代码"不算）；能硬约束的东西就别指望说服，放进Git hook、CI和权限系统；长规矩拆成按需加载的小文件，入口只留目录——微博上一条318赞的文档管理习惯，说的就是这个"渐进式披露”。微博
第三笔账：安全账——你的"员工手册"，别人也在读
10月25日的劫持事件把最后一笔账拍在桌上：指令文件不只是你和你的AI之间的事。
知乎10月26日的拆解文章把攻击链讲得很直白：问题不在AGENTS.md这个文件，在于你让Agent在一个陌生目录里启动了。下载目录、来路不明的clone，都是投毒的经典位置，而Claude Code的信任弹窗救不了你——它列的是配置里的放权项，CLAUDE.md里写了什么，它不会逐行给你看。知乎
文章作者给Claude Code和Codex搭了四层防护：shell函数里禁止在家目录/下载/桌面启动；递归扫描项目任意深度的指令文件（子模块、上级目录都会被子工具读到，只看根目录不够）；PreToolUse hook拦截装新包、远程执行、改依赖清单；沙箱和托管配置兜底。连OpenAI和Anthropic的官方建议都变成了同一句话：在具体项目目录里启动Agent，别在家目录或很大的上级目录启动。知乎
那到底该怎么配：按人群拆
对着自己的场景抄作业就行：
只用一家工具的：写原生文件，别追标准。Claude Code就CLAUDE.md，Codex就AGENTS.md。跨工具支持还在快速变动，单工具用户没必要为厂商的战争交税。
多家换着用的：以AGENTS.md为主文件，CLAUDE.md做成薄壳——里面只写一行"@AGENTS.md"，Claude Code启动时会自动把内容加载进来；社区的做法是"只维护一份AGENTS.md，Claude Code、Codex、OpenCode等全部兼容"。有个反直觉的细节：与其赌"没有CLAUDE.md时AGENTS.md才生效"这个条件逻辑，不如保留薄壳主动指路，行为更可预期。注意大小写统一，AGENTS.md不要写成Agent.md、Agents.md或者agents.md，有工具直接不认。小红书知乎
团队仓库：三层分工。用户级文件放个人偏好（别提交），仓库根目录放项目级事实（技术栈、构建测试命令、命名风格、禁止事项），子模块再需要就各自放。好规矩的标准是"能检查"：不写"代码要干净"，写"提交前必须通过pnpm test"。超过一屏就该拆出去按需引用。
最后都该做的：把指令文件当代码对待——进版本库、进review、定期瘦身、启动前先扫描；启动Agent前扫一眼目录里躺着什么指令文件，尤其是刚从网上clone的。
值得继续盯的信号有三个：Claude Code会不会把AGENTS.md从"替补"升成"一等公民"；AGENTS.md会不会正式立成跨厂商标准——宝玉那条"什么时候支持.agents/skills"的追问，其实问的就是标准化往哪走。以及指令文件投毒会不会从个案变成常规攻击手法。微博
一句话收账：AGENTS.md和CLAUDE.md之争，厂商层面已经看到终点——工具会围着事实标准收敛；但用户层面的三笔账，命名税、维护税、安全税，才刚开始摊到每个人头上。从今晚起，把那份"AI员工手册"当生产代码对待——进版本库、进review、定期瘦身、启动前先扫描——你能避开的，恰好是这轮标准战里最贵的那批坑。
