この記事でわかること
- Downloads（ダウンロード）フォルダに置かれたAGENTS.mdで、AIコーディングエージェントが不正なパッケージを入れかけた事例の中身
- Codexで90％超、Claude Codeで約50％という実験結果が、どんな条件で出た数字なのか
- CodexやClaude CodeをPCで使っている人が、今日からできる対策
DownloadsのAGENTS.mdが、エージェントに不正なパッケージを入れさせようとした
セキュリティ企業のForever Securityは2026年10月22日、AIコーディングエージェントを狙う新しい攻撃手法を報告しました。同社が顧客のPCで見つけたのは、Downloadsフォルダに置かれた1つの「AGENTS.md」。普通の開発メモに見せかけた内容で、エージェントに不正なnpmパッケージ「function-color」をインストールさせようとするものでした。
AGENTS.mdは、CodexなどのAIコーディングエージェントに向けて、使うツールやテストの実行方法、コーディングの決まりごとを書いておくテキストファイルです。Claude Codeでは「CLAUDE.md」が同じ役割を持ちます。エージェントは作業フォルダにあるこうしたファイルを読み込み、書かれた指示に沿って動きます。
この顧客は、Downloadsフォルダそのものをエージェントの作業場所にしていました。インストールは同社の製品が止め、コードは実行されていません。ファイルがどうやってDownloadsに入ったのかは、わかっていないとしています。function-colorはnpm上の悪意あるパッケージの一つで、すでにnpmから削除されています。
なぜDownloadsフォルダが入口になるのか
研究者によると、この攻撃は2つの「仕様どおりの動き」の組み合わせで成り立ちます。
1つは、エージェントが作業フォルダの指示ファイルを信頼して従うこと。もう1つは、DownloadsがWebからファイルを書き込める場所だということです。Chrome、Edge、Firefoxは初期設定のまま、ダウンロードしたファイルを保存先を聞かずにDownloadsへ保存します。研究者は、Webページが「AGENTS.md」という名前のファイルをユーザーの操作なしにDownloadsへ保存できることを、検証用のページで示しました。
OSには、ネットから入手した実行ファイルを起動前に止める仕組みがあります。ただ、AGENTS.mdはただのテキストファイルなので、この仕組みの対象外。中身が「命令書」として働くのは、エージェントに読み込まれたときです。
一方で、ページを開いただけでPCが乗っ取られるわけではありません。攻撃が成立するには、そのDownloadsフォルダでエージェントを起動する必要があります。Codexは信頼済みのフォルダにあるAGENTS.mdだけに従いますが、一度そこで作業したことがあれば、Downloadsも信頼済みとして扱われます。
それでも、条件に当てはまる人は少なくないようです。Forever Securityの顧客データでは、約半数がDownloadsフォルダ内でコーディングエージェントを動かしており、エージェントのセッションの約4分の1が実際にブラウザーを開いていました。Downloadsの整理や、ダウンロードしたばかりのファイルの処理をエージェントに任せる使い方は珍しくありません。エージェント自身がWebを閲覧中に問題のページを開き、ファイルを呼び込んでしまう可能性も指摘されています。
Codexは90％超、Claude Codeは約50％ 数字の読み方
研究者は、同じ手口がどこまで通用するかをCodexとClaude Codeで確かめています。
Codexでは、作業フォルダで何かタスクを頼むと、エージェントがまず自分の設定を書き換え、ファイルに書かれたパッケージを入れようとしました。電卓を起動するだけの無害なプログラムに置き換えた実験で、成功率は90％超。書き換えられる設定はPC全体のCodexに効くため、以後は別のプロジェクトを開いても攻撃者の指定した処理が動く状態になります。
Claude Codeについては、研究者が自作したCLAUDE.mdで試しました。Claude Codeはだまされにくく、成功した手口もCodexとは別物です。社内のゲートウェイ設定に見せかけて、AIモデルへの通信を研究者のサーバーへ向けさせる設定変更を保存させるもので、Claude Codeがこれに従ったのは約50％。通信にはログイン用のトークンが含まれるため、研究者はそれを使って本人のアカウントになりすますことができました。PC上でコードを実行しなくても、アカウントの乗っ取りまで進んでしまうわけです。補助のエージェントを起動させる手口を組み合わせると、同じセッション内でコードを実行できたケースも約5回に1回ありました。
これらは、研究者が用意したファイルと条件で繰り返し試したときの成功率です。利用者が実際に被害に遭う確率ではなく、手口も目的も違う2つの数字をそのまま並べて、製品の安全性を比べられるものでもありません。
研究者は「OpenAIやAnthropicが直すものはない」
Forever Securityは、今回の問題をソフトの不具合とは見ていません。フォルダのAGENTS.mdに従うエージェントは設計どおりに動いているだけで、OpenAIやAnthropicが修正する対象はない、というのが研究者の立場です。
リサーチャーのGal Weizman氏はDark Readingに対し、Webサイトが保存できる場所のファイルから来た指示の危険性を、エージェント側に認識させる対応は考えられると話しています。そのうえで、問題の大半はメーカーのセキュリティモデルの外にあるとの見方です。Forever Securityの報告には、OpenAIとAnthropicの回答は含まれていません。
なお、両社はもともと、エージェントは作業対象のプロジェクトフォルダで起動するよう案内しています。
CodexやClaude Codeを使っている人が今やること
研究者の挙げる対策は、新しい製品を買わなくても今日から取り組めるものです。
- エージェントをDownloadsフォルダやホームフォルダ直下で起動しない。作業は案件ごとに作ったプロジェクトフォルダで行う
- 自分で書いていないAGENTS.mdやCLAUDE.mdは、エージェントに読ませる前に中身を確認する。コピーしてきたばかりのリポジトリに入っているものも同じ
- エージェントの設定ファイルに、自分で追加した覚えのないサーバーやURLがないか確認する
- 承認プロンプトやサンドボックスは有効のままにする。それらを回避するよう求める指示は疑ってかかる
今回の手口に限れば、Downloadsを作業場所にしないだけで、攻撃が成立する条件は外れます。
Downloadsなどで見覚えのないAGENTS.mdやCLAUDE.mdを見つけた場合は、ログイン用のトークンが漏れた前提で動いてください。研究者は、トークンを無効化して新しいものに切り替えるよう勧めています。function-colorがインストールされたPCは、侵害されたものとして扱う必要があります。
