[ITmedia エンタープライズ] クリック不要、パッチもない AIエージェントを乗っ取る「偽AGENTS.md」がダウンロードフォルダに どうすればいいのか

「Claude Code」や「Codex」が従う指示ファイル「AGENTS.md」を、Webサイトがダウンロードフォルダへ勝手に置く――そんな攻撃が実際の企業端末で見つかった。クリックも誤操作も不要で、ベンダーが修正できる欠陥もないという。偽の指示ファイルは、端末の中で何をするのか。

» 2026年11月05日 07時00分 公開

この記事は会員限定です。会員登録すると全てご覧いただけます。

　Anthropicの「Claude Code」やOpenAIの「Codex」といったAIコーディングエージェントは、「AGENTS.md」や「CLAUDE.md」と呼ばれる指示ファイルを起動時に読み込み、その内容に従う。これは設計通りの動作だ。一方、Webページは利用者の操作なしにダウンロードフォルダへファイルを保存できる。これも以前からある仕様で、ダウンロードされた実行ファイルは利用者が承認しない限りOSが動かさないため、長らく問題にはならなかった。

　AIセキュリティ企業Forever Securityは2026年10月22日（現地時間）、この2つの仕様を組み合わせた新型攻撃を実際の顧客端末で検知したと、自社ブログで発表した。Codexが既知の悪意あるnpmパッケージをインストールしようとしたところを、同社が直前で遮断した。指示の出どころは、ダウンロードフォルダに置かれたAGENTS.mdだった。誰がどのようにファイルを置いたのかは分かっていなかった。同社は、Webページが利用者の操作なしにダウンロードフォルダへファイルを保存できる点に着目した。

　単体では無害な2つの仕様が重なったとき、単なるMarkdownファイルがエージェントにとって実行ファイルのように機能し始める。同社はClaude CodeとCodexの双方で攻撃の再現に成功し、「OpenAIにもAnthropicにも修正すべき点はない」と結論付けた。では、偽の指示ファイルは端末の中で何を書き換えるのか。

偽の指示ファイルは何を書き換えるのか

　書き換えるのは「エージェント自身の設定ファイル」だ。偽の指示に従ったエージェントは自らの設定を書き換え、マルウェアの実行やアカウント乗っ取りへの入り口を自分で開く。

　顧客端末で見つかったAGENTS.mdは、約13KBの「エンジニアリング作業ガイドライン」を装った文書だった。終盤には環境セットアップを名目とした指示が紛れ込んでいた。Codexに、マシン全体に適用される設定ファイル「~/.codex/config.toml」を書き換えさせ、npmパッケージ「function-color」をインストールさせる内容だ。このパッケージは、約2年間発覚を免れていた攻撃キャンペーンで使われた既知のマルウェアで、現在はnpmから削除されている。同社の検証では、90％超の試行でCodexが指示通りにパッケージを実行した。検証の大半は無害な代替パッケージで行い、実際のマルウェアは隔離環境で1回だけ実行したという。フォルダ単位ではなくマシン全体の設定が書き換わるため、ダウンロードフォルダを離れた後も、そのマシンで起動する全てのCodexセッションに汚染が残るという。

　Claude Codeに対しては、同社が実例のファイルを参考に作成したCLAUDE.mdを使い、プロジェクトの設定ファイル「.claude/settings.json」を書き換えさせ、API通信の宛先を攻撃者のサーバに向けさせる手口が成立した。検証では約50％の確率で書き換えに成功した。成功するとOAuthトークンが攻撃者側に送信され、コードを実行しなくてもアカウントの乗っ取りが成立する。さらに攻撃者がAIモデルに成り済まして応答を返すことで、端末でのコード実行にも至った。

　同社の観測データでは、顧客企業の約半数でダウンロードフォルダ内でのコーディングエージェントの実行が確認された。またエージェントセッションの約4分の1が実際にWebブラウザを開いていた。人間が画面を見ていない間に、エージェント自身のブラウジングによって攻撃ファイルが端末に届く可能性もある。

　同社は、フィッシングページを表示したWebブラウザに欠陥がないのと同じく、エージェントも設計通りに動作しているにすぎないと説明する。危険は「Webが書き込めるフォルダ」と「フォルダを信頼するエージェント」が組み合わさる点にあり、防御の責任は利用者側に残るとしている。

企業が今すぐ取れる5つの対策

　同社は、追加投資なしで実行できる対策として次の5つを挙げている。

1. ダウンロードフォルダでエージェントを起動しない：　Webが直接ファイルを置ける場所を、エージェントの作業場所にしない
2. 身に覚えのない指示ファイルを確認する：　ダウンロードフォルダや新規に複製したリポジトリにあるAGENTS.mdやCLAUDE.mdは、エージェントに読ませる前に内容を確認する
3. エージェントの設定ファイルを点検する：　~/.codex/config.tomlの見慣れないサーバ登録や、.claude/settings.jsonにある設定した覚えのない接続先を確認する
4. 承認ゲートとサンドボックスを維持する：　承認ゲートやサンドボックスを無効化せず、保護機能の回避を促す指示には特に警戒する
5. 発見時は認証情報を再発行する：　不審なファイルを見つけた場合はトークンの漏えいを前提に認証情報を再発行する

　侵害の痕跡としては、npmパッケージfunction-colorのインストール履歴が挙げられている。この履歴が端末で見つかった場合、同社はその端末を侵害済みとして扱うよう求めている。

　同社は、人間の操作を前提に設計された従来の防御が、エージェントの介在によって機能しなくなる事例は今後も続くとの見方を示している。

関連記事

関連リンク

• Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web｜Forever Security

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。