ダウンロードフォルダを悪用した攻撃メカニズム
Forever Security社の研究者は、AIベースのプログラミングエージェントを操作し、悪意あるコマンドの実行や有害なソフトウェアパッケージのインストールを行わせる新しい攻撃手法を明らかにしました。この手法は、AIエージェントが「AGENTS.md」や「CLAUDE.md」といったマークダウン形式の指示ファイルを読み込む際、それらがユーザーのデバイス上のメインのダウンロードフォルダ（Downloads）に密かに配置されていることを悪用するものです。
「AGENTS.md」のような指示ファイルは、コーディングルールや使用ツール、テストの実行方法など、プロジェクト固有のガイドラインをAIエージェントに提供するための標準的な手段です。しかし、Chrome、Edge、Firefoxを含む一般的なWebブラウザの多くは、ユーザーごとに明示的な承認を求めることなく、Webサイトがデフォルトのダウンロードフォルダにファイルをダウンロードすることを許可しています。
開発者がダウンロードフォルダ内でAIエージェントを起動すると（これはフォルダ整理や試用ファイルの操作として一般的です）、エージェントは自動的に悪意あるファイルを読み込み、ローカルシステム環境で利用可能な権限とツールを使用して、その中に含まれる有害な指示を実行してしまいます。
実証実験と主要ツールへの影響
研究者によるテストでは、「OpenAI Codex」や「Claude Code」といった主要なプログラミングツールに対して、この攻撃が成功することが実証されました。ある顧客のケースでは、プログラミングエージェントが、フォルダ内に配置された悪意あるファイルに従い、「function-color」という名前の悪意あるnpmパッケージをインストールしようとしました。
別の実験では、研究者は「Claude Code」のトラフィックを自身が制御する外部サーバーへ誘導することに成功しました。これにより、OAuthトークンが漏洩し、エージェントのアカウントがハイジャックされ、デバイス上でソフトウェアを実行するようにコマンドがリダイレクトされました。この攻撃の成功率は約50%に達し、「OpenAI Codex」を悪用した場合は約90%という高い成功率を記録しました。
開発者にとっての重要性
この事態が重要である理由は、悪用されている挙動がOpenAIやAnthropicといった企業によるアップデートやパッチを必要とするAIプラットフォーム内のソフトウェア脆弱性ではないという点です。エージェントは、作業フォルダ内の指示を読み込むという本来の設計通りに動作しているに過ぎません。そのため、リスクを軽減し防止する責任は、エージェントの権限範囲や実行環境を管理するユーザーおよび開発者に完全に委ねられています。
推奨される対策
開発環境を保護するために、以下のガイドラインに従うことが推奨されます。
- メインのダウンロードフォルダ（Downloads）を、AIエージェントの作業環境や実行パスとして設定することを避ける。
- プログラミングエージェントは、外部ファイルへのアクセスを制限するため、特定のプロジェクトのルートフォルダ内でのみ実行する。
- 信頼できないソースから提供された「AGENTS.md」や「CLAUDE.md」などの指示ファイルは、エージェントに処理させる前に必ず確認・検査を行う。
- コマンドの実行やソフトウェアパッケージのインストールを行う前に、サンドボックス環境や手動確認オプションを有効にする。