AIエージェントを「ダウンロード」で使うと乗っ取りの恐れ

セキュリティ企業のForever Securityが2026年10月22日に、AIコーディングエージェントを「ダウンロードフォルダ」で起動すると乗っ取られるおそれがあるとして、攻撃の手口と検証結果を公表しました。対象はOpenAIのCodexとAnthropicのClaude Codeです。ITmedia AI＋も10月28日に、この件を注意喚起として伝えています。

ブラウザで開くだけで、指示ファイルが置かれる

Forever Securityの説明によると、攻撃者はWebページを閲覧させるだけで、クリックなしにユーザーの「~/Downloads」へ指示ファイルを保存させられます。攻撃者が実際に置いていたのは、Codex向けの「AGENTS.md」です。Claude Code向けの「CLAUDE.md」は、そのファイルを参考に研究者が作った再現用だと、原文は説明しています。そのフォルダでエージェントを起動すると、ファイルの中の指示に従ってしまう、というのが攻撃の骨子です。

手口は、ツールごとに次のように示されています。

• Codex：設定ファイルにMCPサーバーの登録を追記させ、その起動コマンドで、npmパッケージ「function-color」をインストールさせます。子セッションでは、承認とサンドボックスを外すオプション付きで起動させる手順も示されています。設定はマシン全体の「~/.codex/config.toml」に書かれるため、別のフォルダで使うときにも影響が残ると説明されています。
• Claude Code：プロジェクト内の「.claude/settings.json」を書き換え、APIの接続先（ANTHROPIC_BASE_URL）を攻撃者のサーバーに向けさせます。OAuthトークンが漏えいすれば、コードを実行されなくてもアカウントの乗っ取りにつながり、攻撃者が応答を偽装してコードを実行させる可能性もあるとしています。

成功率はツールで違い、数字は検証環境のもの

検証結果は次のとおりです（原文の表現による）。

• Codex：「90%を超える試行」でマルウェアが動いたとされています。
• Claude Code：攻撃ファイルの書き込みが成功したのは「約半数」です。設定ファイルへの書き込みが済めば、次回の起動時にコードが実行されると原文は書いています。同じセッション内でサブエージェント経由のコード実行に至ったのは「約5分の1」の頻度です。

ITmedia AI＋の「Claude Codeは約50％の確率で指示を実行」は、この「約半数」を要約したもので、原文と一致します。なお、ITmedia AI＋はこの会社を「Rebora（記事内の呼称はForever）」と書いていますが、この記事では原文の社名Forever Securityで統一しています。これらの数字は、同社の検証環境のものです。大半の検証は無害な代わりのペイロードで行い、実際の悪性パッケージは隔離VMで一度だけ実行した、と書かれています。成功率が一般の利用環境にそのまま当てはまるかは、記事からは判断できません。

利用実態についての記述もあります。同社のテレメトリでは、顧客の約半数がダウンロードフォルダ内でコーディングエージェントを実行し、エージェントのセッションの約4分の1が実際のブラウザを開いていたとのことです。

「OpenAIやAnthropicが直せる欠陥ではない」とする立場

Forever Securityは、エージェントは設計どおりに指示ファイルを読んで動いているだけで、OpenAIやAnthropicが修正できる欠陥ではないという立場です。修正される性質のものではなく、この攻撃経路は開いたままだと述べています。記事には、ベンダーへの報告日や回答、修正の予定を示す記述はありません。ベンダー側の公式な見解は、今回の2件の記事からは確認できませんでした。

Forever Securityが挙げる対策と、侵害の目印

原文の対策を整理すると、次のようになります。

• 「~/Downloads」をエージェントの作業場所にしない
• 自分で作っていない「AGENTS.md」「CLAUDE.md」を、中身を確かめずに読ませない
• 「~/.codex/config.toml」に、想定外の「[mcp_servers.*]」や、プロキシ、「chatgpt_base_url」の変更がないか確認する
• プロジェクトの「.claude/settings.json」にある、ANTHROPIC_BASE_URLなどの接続先を確認する
• 承認ゲートとサンドボックスは有効にしたままにし、それらを無効にするよう求める指示を強く警戒する
• 不審な指示ファイルや設定の変更を見つけたら、トークンが漏えいしたものとみなして、ローテーションする

検知の手がかりとして、npmパッケージ「function-color」が入っているマシンは、侵害されたとみなすべきだとされています。記事によると、このパッケージはnpmから削除済みです。

私見では、今回の検証でいちばん重いのは、安全装置そのものが指示ファイルの文面で外されている点です。Codexでは、承認とサンドボックスを外すオプション付きで子セッションを起動させる手順が示されています。サンドボックスを有効にしていても、それを外す指示が通ってしまえば守りになりません。Claude Codeでは、成否を分けたのが「.claude/settings.json」への書き込みでした。そのため、承認を求められたときに、接続先や設定ファイルを書き換える操作が含まれていないかを見ることが、利用者にできるいちばん具体的な確認だと考えます。

出典

• Forever Security：Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web（2026年10月22日）
• ITmedia AI＋：「ダウンロードフォルダでAIを使わないで」――セキュリティ企業が注意喚起（2026年10月28日）

2026年10月28日時点の情報です。