Downloadsに置かれたAGENTS.mdにCodexが従う　研究者が乗っ取りを再現

ダウンロードのフォルダに置かれた「AGENTS.md」の指示に、AIのコーディングエージェントが従ってしまう。そんな手口を、AIエージェントの危険を見張るForever Securityの研究者が見つけたと、BleepingComputerが報じた。研究者はOpenAIのCodexで攻撃を再現し、AnthropicのClaude Codeでもログインの認証情報を抜き取る別の手口を示した。

顧客のパソコンで見つかった指示ファイル

AGENTS.mdは、使う道具やテストの流し方、書き方の決まりなどを、コーディングエージェントに伝えるための文字だけのファイルだ。エージェントは作業するフォルダにあるこうしたファイルを自動で読み込み、書かれた指示に沿って動く。

Forever Securityは、顧客のパソコンでエージェントが「function-color」という不正なnpmパッケージを入れようとしたのを見つけた。たどると、そのエージェントの作業フォルダだった「~/Downloads」にAGENTS.mdが置かれていた。ファイルそのものは実行できるプログラムではないが、中の指示によって、エージェントは自分に許された道具と権限でコマンドを流したり、パッケージを入れたり、設定を変えたりできてしまう。

研究者は「OpenAIやAnthropicが直すべき不具合はない。フォルダのAGENTS.mdに従うのは、エージェントが作られたとおりの動きだ」と述べている。

Webページから黙って置ける

ファイルがどうやって置かれたかは分かっていない。ただ研究者は、悪意のあるページを開くだけで、利用者が何もしなくてもファイルを置けると説明する。報告では「~/Downloadsは、Webが自分で書き込める唯一のフォルダだ」としている。研究者は、気づかれずにAGENTS.mdを置く実証のページも作った。BleepingComputerが試すと、害のない中身のAGENTS.mdがダウンロードされたという。

Chrome、Edge、Firefoxは、既定では保存先を聞かずにDownloadsへ保存する。ただし、ダウンロードの知らせは既定で表示される。Braveでは保存の前に確認が出た。

攻撃が成り立つには、利用者が同じフォルダでエージェントを起動する必要がある。Forever Securityの研究者は、フォルダの整理やダウンロードしたばかりのファイルの処理のために、Downloadsでエージェントを動かす人は珍しくないと話す。同社の集計では、Claude Code、Codex、Cursor CLIをDownloadsから動かしている顧客が数百あり、Claude Codeだけで1,300回を超える起動があったという。

再現の成功は9割と約半数

研究者は、計算機のアプリを開くだけの害のない指示でCodexを試し、90%の割合で成功した。別の試験では、CLAUDE.mdの指示でClaude Codeの通信を自分たちのサーバーに向けさせた。これでClaude Codeの認証のトークンが漏れ、サーバーがモデルのふりをして道具の呼び出しを返すことで、約50%の試験でコードを動かせたという。

研究者は、ブラウザーとエージェントのどちらも想定どおりに動いた結果なので、守る責任は利用者の側にあるとしている。勧めているのは、Downloadsをエージェントの作業フォルダにしないこと、見慣れないAGENTS.mdやCLAUDE.mdは従わせる前に中身を読むこと、承認の確認とサンドボックスの保護を切らないこと、信用できないコードは別の環境で試すことだ。OpenAIとAnthropicも、エージェントは作業する対象のプロジェクトのフォルダで起動するよう勧めている。

編集部の見方

個人で使っていると、ダウンロードしたPDFの整理や表の変換を、その場でエージェントに頼みたくなる。今回の話は、その一番手軽な使い方がそのまま入り口になるという指摘だ。エージェントは「プロジェクトのフォルダでだけ起動する」を習慣にし、ファイルを処理させたい時は、空のフォルダに移してから起動したい。承認の確認を省く設定で使っている人は、まず作業フォルダの決め方から見直しておきたい。