2026.10.29

「ダウンロードフォルダでAIエージェントを動かさないで」。Webサイトがこっそり置いた指示のファイルに、CodexやClaude Codeが従ってしまうおそれ

キラ

記事内に商品プロモーションを含む場合があります

・セキュリティ会社のForever Securityが2026年10月22日、顧客のパソコンのダウンロードフォルダに、AIエージェントへの指示を書いた悪意のあるファイル（AGENTS.md）が置かれていたのを見つけたと発表した

・Webサイトは、利用者がクリックしなくても、ダウンロードフォルダにファイルを保存できる場合がある。そのフォルダでCodexやClaude Codeを動かすと、AIがファイルの指示に従い、自分の設定を書き換えてしまうおそれがある

・同社の試験では、Codexは90％を超える割合で、Claude Codeは約50％の割合で指示に従った。同社は、ダウンロードフォルダでAIエージェントを動かさない、覚えのない指示のファイルがないか確かめる、といった対策を勧めている

Forever Securityは2026年10月22日、AIエージェントをねらった新しい攻撃の手口を見つけたと発表しました。

CodexやClaude CodeのようなAIエージェントは、作業するフォルダの中にある指示のファイル（AGENTS.mdやCLAUDE.md）を自動で読み、その指示に従って動きます。自分で作ったフォルダなら、それは便利なしくみです。ところが、ダウンロードフォルダだけは、Webサイトが勝手にファイルを置けることがあります。そこに目をつけた攻撃が、実際に見つかりました。

この記事では、Forever Securityの発表で分かったことを整理したうえで、ふだんの仕事がどう変わるのかを考えます。

2つの「当たり前」が組み合わさって危なくなった

まずは、なぜ危ないのかです。

Forever Securityの説明によると、次の2つが重なっています。

・AIエージェントは、作業するフォルダの中の指示のファイルを信じて従うように作られている

・Webサイトは、利用者がクリックしなくても、ダウンロードフォルダにファイルを保存できる場合がある。名前も中身もサイトの側で決められる

これまでは、ダウンロードしたファイルが勝手に動かないよう、パソコンの仕組みが守ってきました。ところが指示のファイルは、ただの文章なので、その守りに引っかかりません。AIエージェントが読んではじめて、指示として動き出します。

試験では、CodexもClaude Codeも従った

次に、試験の結果です。

AIエージェント	試験の結果
Codex	実際に見つかったファイルを、切り離した環境で試したところ、90％を超える割合で、悪意のあるプログラムを入れてしまった
Claude Code	Codexよりだまされにくかったが、同社が作ったファイルで、約50％の割合で、通信の行き先を書き換えてしまった。ログインの鍵（トークン）を盗まれたり、プログラムを動かされたりするおそれがある

同社によると、顧客のうち約半分が、ダウンロードフォルダの中でAIエージェントを動かしていました。同社は、AIエージェントは作られたとおりに動いているだけで、OpenAIやAnthropicが直すべき欠陥ではないとしています。

同社が勧める対策

ここで、同社が勧めていることを見ておきます。

・ダウンロードフォルダは、AIエージェントにとって危ない場所と考え、そこでCodexやClaude Codeを動かさない

・自分が書いた覚えのない指示のファイル（AGENTS.mdやCLAUDE.md）がないか確かめる。ダウンロードフォルダだけでなく、人からもらったプログラムのフォルダでも、AIに読ませる前に中身を読む

・AIエージェントの設定に、覚えのないつなぎ先（MCPのサーバー、中継の仕組み、APIの窓口など）が足されていないか確かめる

・作業の前に承認を求める設定や、作業を区切られた環境で動かす設定（サンドボックス）は、切らずにおく。それを外すように言う指示は、強く疑う

・怪しいファイルが見つかったら、ログインの鍵が漏れたものとして、APIのキーやログインの鍵を無効にし、作り直す

仕事はどう変わるか：AIエージェントを動かす「場所」を選ぶ習慣が要る

ここからは、公式の情報をもとにした僕の見方です。

今回の発表で変わるのは、AIエージェントを動かす「場所」の選び方だと考えています。

これまで、パソコンの中のどのフォルダでAIに作業させるかを、気にする人は多くありませんでした。とりあえず開いたフォルダや、ダウンロードしたファイルがあるフォルダで、そのまま頼むこともあったはずです。しかし、AIエージェントはフォルダの中の指示を信じるので、「どこで動かすか」がそのまま「何を信じるか」になります。仕事ごとに作ったフォルダで動かす、知らない指示のファイルは先に読む、という習慣が大事になります。

AIに文章の中の指示を混ぜて乗っ取る手口は、プロンプトインジェクションと呼ばれます。今回は、それがファイルの形でパソコンに置かれたものと言えます。

Claude CodeやCodexを仕事で使っている個人事業主にとっても、ダウンロードフォルダでエージェントを起動していないか、一度確かめておくと安心です。

あわせて、知っておきたいこともあります。

・今回の発表は、セキュリティ会社のForever Securityによるもの。試験の割合は、同社が行った試験の結果

・同社は、これはCodexやClaude Codeだけの問題ではなく、フォルダの中の指示を読んで自分の設定を書き換えられるAIエージェントなら、どれでも起こりうるとしている

・AIエージェントに承認なしで作業させる設定は、便利でも、こうした攻撃に弱くなる

まとめ：ダウンロードフォルダでAIエージェントを動かさない。知らない指示のファイルは先に読む

Forever Securityは、Webサイトがダウンロードフォルダにこっそり置いた指示のファイルに、CodexやClaude Codeが従ってしまう攻撃を見つけたと発表しました。試験では、Codexは90％超、Claude Codeは約50％の割合で指示に従いました。

AIエージェントが広がったことで、ただの文章のファイルが、プログラムと同じように危ないものになりえる、ということがはっきりした、というのがいちばん大きな変化です。

AIエージェントを使っている人は、まずダウンロードフォルダで起動しないこと、作業の前の承認の設定を切らないことを、今日から決めておくのがよさそうです。

出典

・Forever Security「Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web」（2026年10月22日） https://forever.security/blog/hijacking-ai-agents-via-downloads-folder

#AIエージェント #セキュリティ

ABOUT ME