「ダウンロードだけはWebが書き込める」——AGENTS.mdがAIコーディングエージェントを乗っ取る

セキュリティ企業Forever Securityが10月22日、顧客のPCのダウンロードフォルダに仕込まれた1つのテキストファイルが、AIコーディングエージェントを乗っ取るきっかけになっていたことを公表しました。
ファイルの正体は「AGENTS.md」。
CodexやClaude Codeがプロジェクトの指示書として信頼して読み込む種類のMarkdownファイルで、普通の開発メモに見せかけて仕込まれていました。
実際の攻撃を事前に阻止できたとはいうものの、Webページが何もしなくても書き込める唯一のフォルダがダウンロードフォルダだという点が、新しい脅威を生んでいます。

先に結論をまとめると：
– Forever Securityが、顧客PCのダウンロードフォルダにあった悪意ある「AGENTS.md」を発見。
読み込んだAIコーディングエージェントが不正なnpmパッケージをインストールしようとしたが、実行前に阻止された
– 同社が再現実験をしたところ、OpenAI Codexでは無害なペイロードが約90%の確率で実行された。
Claude Codeに対する類似の手法では、OAuthトークンが漏えいしアカウントが乗っ取られる結果になった
– ダウンロードフォルダは、ChromeやEdgeなどのブラウザがユーザーの操作なしに書き込める唯一のフォルダ。
実行ファイルはOSが警告を出す一方、Markdownファイルにはその仕組みが働かない
– 対策として、AIエージェントをダウンロードフォルダやホームフォルダ直下で起動しないこと、自分で書いていないAGENTS.mdやCLAUDE.mdを実行前に必ず読むことが推奨されている

何が起きたのか

この攻撃についてXでは次のような解説が広がっています。

Claude CodeやCodexにダウンロードフォルダを丸ごと整理させている人は作業場所を見直すべきだとして、そこに置かれた文章がAIを通じて不正操作の指示になる攻撃が報告されていると伝えるユーザーがいました。

Claude CodeやCodexに、ダウンロードフォルダを丸ごと整理させている方は、作業場所を見直してください。そこに置かれた文章が、AIを通じて不正操作の指示になる攻撃が報告されています。

セキュリティ企業Forever…

— russianblue (@russianblue2009) 2026年10月26日

このユーザーによると、顧客PCのダウンロードフォルダにあった「AGENTS.md」を読んだAIが悪意あるソフトをインストールしようとしたものの、Forever Securityは実行前に阻止したとされています。
AGENTS.mdは本来、AIに作業手順や開発ルールを伝えるための普通のテキストファイルで、攻撃者はそれを業務資料に見えるよう偽装していたといいます。

調べて分かったこと

なぜダウンロードフォルダが狙われるのか

英語圏のセキュリティ関係者の投稿を確認すると、仕組みがより具体的に見えてきます。
「ダウンロードフォルダは、Webページが自分の意思だけで書き込める唯一のフォルダだ」という指摘がありました（日本語訳）。

Forever Security found a malicious AGENTS.md in a customer's Downloads folder. The coding agent tried to install a rogue npm package.

Downloads is the one folder a web page can write to on its own. In their tests a harmless payload ran on Codex about 90% of the time. A malicious… https://t.co/Ck5COtU2zJ

— Luke de Wolf (@lukedewolf) 2026年10月25日

この投稿によると、OSは通常、インターネットからダウンロードした実行ファイルをユーザーが許可するまでブロックしますが、Markdownファイルは実行ファイルではないためこのガードレールの対象外になります。
AIコーディングエージェントは起動したフォルダに置かれた指示ファイルを「ユーザーが書いたもの」として読み込み、そこに書かれた内容に従って行動する設計になっているため、ダウンロードフォルダに静かに置かれた1枚のテキストファイルが、そのままAIへの命令書になってしまうということです。

実際の被害とテストで分かった成功率

もう一つの解説投稿では、調査の経緯がまとめられていました（日本語訳）。

Researchers just showed a plain AGENTS.md file in Downloads can hijack AI coding agents. Here's what you need to know.

BleepingComputer reported the research from Forever Security. They found a malicious AGENTS.md in a customer's Downloads folder. The coding agent tried to… https://t.co/NnunbEMzKx pic.twitter.com/H1qqfqh9sg

— AGTP (@AGTPinsights) 2026年10月25日

これによると、Forever Securityが実際の顧客環境で見つけた悪意あるAGENTS.mdは、AIコーディングエージェントに「function-color」という不正なnpmパッケージをインストールさせようとするものでした。
同社はこの手法をOpenAI Codexで再現し、無害なペイロードであれば約90%の確率で実行されることを確認しています。
さらにClaude Codeに対する関連手法では、OAuthトークンが漏えいし、アカウントそのものが乗っ取られる結果になったと報告されています。
開発者がプロジェクトのフォルダではなく、ダウンロードフォルダやホームフォルダでAIエージェントを起動する習慣があると、このリスクに晒されやすくなります。

対策はあるのか

Forever Securityが示す対策は比較的シンプルです。
AIエージェントはダウンロードフォルダやホームフォルダの直下で起動しないこと、そしてクローンしたばかりのリポジトリやダウンロードフォルダの中に、自分で書いていないAGENTS.mdやCLAUDE.mdが置かれていないかを、AIに読み込ませる前に自分の目で確認することです。
見慣れない指示ファイルがあれば、それこそが攻撃の全体だという考え方です。

Shiritomo編集部の考察：便利さの裏側にある「信頼の設計」の穴

この攻撃が成立する背景には、AIコーディングエージェントが「指示ファイルは基本的に信頼する」という前提で設計されていることがあります。
プロジェクトのルールや作業手順をAIに伝える仕組みそのものは開発体験を大きく改善するものですが、起動したフォルダに落ちている文章を無条件に信じるという挙動が、そのまま攻撃の入り口になってしまうのは見過ごせない矛盾です。
しかもダウンロードフォルダは、Webページがユーザーの操作なしに書き込める唯一の場所という、OSの設計上の特性そのものが悪用されています。
CodexとClaude Codeという主要な2つのツールでそれぞれ異なる形の被害（マルウェアインストール・アカウント乗っ取り）が確認されたことは、同種の設計を採用するAIコーディングエージェント全般に共通しうる課題であることを示しています。
便利な自動化ほど「何を信頼して動くか」の設計が問われる時代に入ってきているのではないでしょうか。

まとめ

ダウンロードフォルダに仕込まれた1つのMarkdownファイル「AGENTS.md」が、AIコーディングエージェントを乗っ取る新手の攻撃としてForever Securityから報告されました。
OpenAI Codexでは約90%の確率で不正な操作が実行され、Claude Codeに対する関連手法ではアカウント乗っ取りにつながるケースも確認されています。
対策は、ダウンロードフォルダでAIエージェントを起動しないこと、そして自分で書いていない指示ファイルを実行前に確認することです。

さらに深掘りしたい方へ

詳しい技術的な経緯はThe Hacker Newsの記事で、攻撃の再現実験の詳細はBastionZeroのブログ記事でそれぞれ詳しく解説されています。