DownloadsのAGENTS.mdでClaude Code乗っ取り　設定とフックで防ぐ

Webページを開いただけでダウンロードフォルダに「AGENTS.md」が置かれ、そこでAIのコーディングエージェントを起動すると、そのファイルを利用者本人の指示として読んでしまう。こうした手口に対し、クラスメソッドの技術ブログ「DevelopersIO」が、Claude Codeの設定とフックで防げるかを実際に試した記事を10月28日に出した。結論は、個人の設定に数行足すだけで防げたというものだ。

起動したフォルダの指示を信じる動きを突く

記事によると、手口は不具合ではなく、エージェントが「起動したフォルダの指示ファイルに従う」という本来の動きを悪用したものだ。そのため提供元の修正では直らない、と記事は指摘する。

ポイントは2つある。ブラウザの多くは既定で、保存先を聞かずにダウンロードフォルダへファイルを保存する。そしてClaude Codeの公式の説明のとおり、Claude Codeは起動したフォルダとその上のフォルダにあるCLAUDE.mdを読み、版2.1.277からはCLAUDE.mdが無ければAGENTS.mdも読む。

記事は、セキュリティ企業が顧客のPCのダウンロードフォルダで悪意のあるAGENTS.mdを見つけたという報道を紹介している。研究者の実験では、Codexで9割を超え、Claude Codeでも約半分で仕込まれた指示に従わせることに成功したという。いずれも記事が引く報道の数字で、Rolloutは元の報告を確かめていない。ダウンロードした資料を「これ要約して」と頼む時など、ダウンロードフォルダでエージェントを起動する場面は意外と多い。

設定1行とフックで止める

1つ目の対策は「claudeMdExcludes」という設定だ。公式の説明では、本来は大きなモノレポで関係ないチームのCLAUDE.mdを外すためのもので、パターンは絶対パスに当てるglobで書き、個人・プロジェクト・組織のどの設定に書いても足し合わされる。記事は個人の設定ファイル「~/.claude/settings.json」に「"claudeMdExcludes": ["\*\*/Downloads/\*\*"]」と1行足した。これで、ダウンロードフォルダの中のCLAUDE.mdもAGENTS.mdも読まれなくなったという。

記事は、目印の言葉だけを書いた指示ファイルを置いて確かめている。除外なしでは、AGENTS.mdもCLAUDE.mdも中身が読まれた。除外を入れると、どちらも読まれなかった。

2つ目は、プロンプトを送るたびに動く「UserPromptSubmit」のフックだ。起動したフォルダがダウンロードフォルダの中なら、終了コード2で止める。記事の試しでは、ダウンロードフォルダの中で「hello」と送ると、フックが止めてプロンプトはClaudeに届かなかった。

入口側では、Chromeの「ダウンロード前に各ファイルの保存場所を確認する」をオンにする方法も挙げている。ただし保存の画面はEnterを1回押せば保存できてしまうので、Claude Code側の守りと組み合わせる前提だという。

管理設定で組織の全員に配れる

Team・Enterpriseのプランでは、同じ設定を管理画面の管理設定に書いて組織の全員に配れる。記事は、Mac向けのbashとWindows向けのPowerShellのフックを並べて書く形を示し、Windowsでも「\*\*/Downloads/\*\*」のままで効いたと報告している。確認を全部飛ばすモードを使えなくする設定も一緒に入れている。

注意点もある。この2つはClaude Codeの設定なので、Codexなどほかのツールにはそれぞれの対策が要る。管理設定で配ったフックは、各メンバーに承認の画面が出る。記事が確かめた版は、macOSで2.1.280、Windowsで2.1.312だ。

編集部の見方

CLAUDE.mdやAGENTS.mdは「読ませる」工夫が話題になりがちだが、この記事は「どこの指示を信じないか」を先に決める大切さを示している。Claude CodeやCodexで日々作業する人は、まず自分のPCの設定に1行足し、ダウンロードした資料はプロジェクトのフォルダに移してから扱う習慣を付けたい。

ただし、記事が勧めるプロンプトを丸ごと貼って設定させる前に、差分を自分の目で確かめたい。Webページの文をそのままエージェントに実行させるのは、この手口と同じ構図だと記事自身も書いている。