Claude Codeのセキュリティ注意！ダウンロードフォルダのAGENTS.md攻撃と対策

2026年10月22日、セキュリティ企業のForever Securityは、ダウンロードフォルダに置かれた指示ファイルによって、Claude CodeやCodexといったAIエージェントが攻撃者の思いどおりに動かされる手口を公式ブログで公表しました。10月26日ごろからは、Xでも日本語の紹介投稿などで話題になりました。

当記事では、Foreverの公表内容と、AnthropicとOpenAIの公式ドキュメントをもとに、何が起きたのか、Xで広まった話はどこまで正しいのか、そしてClaude Code・Codexを使う人が今やるべきことを、AI初心者向けに整理します。

Claude Code・Codexを操る「ダウンロードフォルダのAGENTS.md」攻撃とは（2026年10月22日公表）

Forever Securityの公表はこちら

Forever Securityは、AIエージェントやパソコンの動きを見張るセキュリティサービスを提供している会社です。公式ブログの記事「Markdownは新しい実行ファイル：攻撃者はWebからダウンロードフォルダにエージェントへの指示を置いている」（編集部訳）で、今回の手口を説明しています。

項目	Foreverの公表内容（2026年10月28日時点）
公開日	2026年10月22日
きっかけ	実際の顧客のパソコンで、AIエージェントが既知の悪意あるプログラムを入れようとしたのをForeverが止めた
指示の出どころ	その人のダウンロードフォルダにあった「AGENTS.md」というファイル
ファイルの入手経路	Foreverも特定できていない
対象	Codex（OpenAI）とClaude Code（Anthropic）
CVE（脆弱性の番号）	記載なし

つまり、プログラムの不具合ではなく、AIが「フォルダにある指示ファイルを信じて読む」という正常な仕組みを悪用した攻撃だということです。

>>「Markdownは新しい実行ファイル」（編集部訳。Forever Security 公式ブログ・英語・2026年10月22日）

※Foreverのブログには、実際に使われた攻撃用の指示ファイルの全文が載っています。人が読むぶんには問題ありませんが、ページをAIエージェントに読ませたり、要約させたりするのは避けましょう。

そもそもAGENTS.md・CLAUDE.mdとプロンプトインジェクションとは？

AGENTS.mdとCLAUDE.mdは、AIエージェントに「このフォルダではこう作業してね」と伝えるためのメモ書き（テキストファイル）です。Codexは主にAGENTS.mdを、Claude Codeは主にCLAUDE.mdを、作業を始めるときに自動で読み込みます。

プロンプトインジェクションとは、文章の中にこっそり指示を紛れ込ませて、AIを操る攻撃のことです。今回は、AIが「作業のルール」として信用するファイルそのものに、攻撃者の指示が書かれていた点が特徴です。

攻撃の流れ（大まかなしくみ）

Foreverの説明をもとにした攻撃の流れは、次のとおりです（悪用を防ぐため、具体的な設定の名前やファイルの文面は当記事では書きません）。なお、1つ目の「Webサイトから保存される」部分はForeverが検証で示した経路で、顧客のパソコンのファイルがどう置かれたのかは分かっていません。

1. 悪意のあるWebサイトを開くと、ダウンロードフォルダに指示ファイル（AGENTS.mdなど）が保存される
2. 利用者がダウンロードフォルダでClaude CodeやCodexを起動する
3. AIが作業のルールとして指示ファイルを読み込む
4. AIが指示に従って自分の設定を書き換え、悪意あるプログラムの実行やログイン情報の流出につながる

Foreverによると、同社の顧客の約半数が、ダウンロードフォルダの中でAIのコーディングエージェントを動かしていたとしています。身に覚えがある人は、次の章から確認しておきましょう。

Claude CodeとCodexで何が起きる？Foreverの検証と公式情報のポイント4つ

Foreverの検証結果と、AnthropicとOpenAIの公式ドキュメントから、知っておきたいポイントは4つです。

1. Codex：検証では90%を超える割合で指示どおりプログラムを実行

Foreverは、実際に見つかった攻撃者のファイルをそのまま使い、Codexへの攻撃を再現しました。Foreverの検証では、Codexが指示どおりにプログラムを実行したのは90%を超える試行だったとしています。

ただし、Foreverによると、検証の多くは電卓を起動するだけの無害な代わりのプログラムで行い、本物の悪意あるプログラムは、外部から切り離した検証用のパソコン（仮想マシン）で1回だけ動かしたとしています。

ただし、成功の条件として、フォルダがCodexに信頼済みであること、業務の資料のような長い文章で指示が書かれていること、そして確認と安全装置を外して起動させる指示が必要だったと説明しています。また、書き換えられるのがパソコン全体に効く設定のため、別のフォルダに移っても影響が残るとしています。

2. Claude Code：検証では約半分の割合で設定を書き換え

Claude Codeについては、実際の攻撃ファイルではなく、Foreverの研究者が自分で作ったCLAUDE.mdで検証しています。

手口は、プロジェクト用の設定ファイルを書き換えて、AIの通信先を攻撃者のサーバーに向けさせ、ログインの「トークン」（ログイン後に発行される通行証のようなデータ）を盗むというものです。Foreverの検証では、Claude Codeが設定ファイルを書き換えたのは約半分で、同じ作業の中でプログラムの実行まで進んだのは約5分の1だったとしています。なお、Foreverによると、こうした設定の書き換えには通常、利用者の承認が必要で、Claude Codeは怪しい書き換えを断ることも多かったとしています。

Xでは「成功率約50%」と紹介されていますが、これはForeverの研究者が用意した条件での数字です。どのパソコンでも同じ確率で起きるという意味ではない点に注意しましょう。

3. Claude CodeもAGENTS.mdを読むことがある

Claude Codeの公式ドキュメントによると、Claude Codeは起動したフォルダとその上のフォルダにあるCLAUDE.mdを読み込みます。さらにバージョン2.1.277以降は、既定の設定では、そうした場所にCLAUDE.md（CLAUDE.local.mdを含む）がなければ、代わりにAGENTS.mdを読み込む仕組みになっています。

つまり、ダウンロードフォルダに置かれたのがAGENTS.mdだけでも、Claude Codeに読まれる可能性があるということです。Codexの公式ドキュメントでも、Codexは作業を始める前にAGENTS.mdを読むと説明されています。

>>Claude があなたのプロジェクトを記憶する方法（Claude Code 公式ドキュメント）

>>AGENTS.md によるカスタム指示（編集部訳。OpenAI 公式ドキュメント・英語）

4. ブラウザのダウンロードは既定でダウンロードフォルダに入る

Foreverは、Webページが確認なしにダウンロードフォルダへファイルを保存できると主張しています。ただし、その根拠は同社の研究者自身の検証で、どのブラウザのどの設定で起きるのかまでは示されていません。

Google Chromeのヘルプによると、ダウンロードしたファイルは既定でダウンロードフォルダに保存され、設定で「ダウンロード前に各ファイルの保存場所を確認する」をオンにすると、毎回保存場所を選べるようになります。気になる人は、ブラウザのダウンロード設定も一度見直しておきましょう。

>>ファイルをダウンロードする（Google Chrome ヘルプ）

Claude Code・Codexにパッチは出る？よくある疑問

OpenAIやAnthropicはパッチを出さない？

Xでは「OpenAIやAnthropicはパッチを出さない」と広まりましたが、これはForeverの主張です。Foreverは「AIは作られたとおりに動いているだけなので、OpenAIやAnthropicが直すべきものはない」という趣旨の説明をしています。

2026年10月28日時点で、この件についてのOpenAIとAnthropicの公式な発表は確認できませんでした。Foreverが両社に報告したかどうかも記事には書かれておらず、CVE（脆弱性の番号）も載っていません。「パッチを出さない」と両社が言ったわけではない点に注意しましょう。

Claude Codeの「フォルダを信頼しますか？」の確認は役に立つ？

Claude Codeの公式ドキュメントによると、まだ信頼していないフォルダで対話形式のClaude Codeを起動すると、ワークスペースの信頼ダイアログ（このフォルダを信頼するかの確認）が表示されます。Codexの公式ドキュメントでも、作業フォルダを明示的に信頼するまで、読み取り専用で起動する場合があると説明されています。

ただし、ForeverはCodexについて「一度ダウンロードフォルダで作業したことがあれば、そのフォルダは信頼済みの条件を満たす」（編集部訳）と指摘しています。確認が出たときに中身を見ずに信頼してしまうと、この安全装置は働かないため、確認が出たら一度立ち止まりましょう。

>>セキュリティ（Claude Code 公式ドキュメント）

ChatGPTやClaudeのアプリだけ使っている人も危ない？

今回Foreverが取り上げたのは、パソコンのフォルダを開いて作業するCodexとClaude Codeです。ブラウザやスマホでChatGPTやClaudeとチャットしているだけの人の話ではありません。

ただ、AIに外部のファイルやWebページを読ませる機能は増えています。「AIは読んだ文章の指示に従ってしまうことがある」という点は、どのAIを使う場合でも覚えておきましょう。

▶ 関連記事：OpenAIがAIエージェントの想定外の行動を報告！安全性とChatGPTへの影響を解説

Claude Code・Codexのセキュリティ対策、個人ユーザーが今やること

Foreverの推奨と、AnthropicとOpenAIの公式ドキュメントをもとに、個人ユーザーができる対策を5つにまとめました。

作業用のフォルダを分けて、そこで起動する

いちばん大切なのは、ダウンロードフォルダでClaude CodeやCodexを起動しないことです。Foreverも、ダウンロードフォルダをAIにとって「敵がいるかもしれない場所」として扱うよう勧めています。

AIに作業させるときは、作業専用のフォルダを作り、必要なファイルだけをそこへ移してから起動しましょう。なお、Claude Codeの公式ドキュメントも、ホームフォルダ（ユーザー名のフォルダ）で直接起動するのではなく、プロジェクトごとのフォルダから起動するよう案内しています。

見覚えのないAGENTS.md・CLAUDE.mdがないか見る

ダウンロードフォルダや作業フォルダに、自分で作った覚えのないAGENTS.mdやCLAUDE.mdがないか確認しましょう。あった場合は、AIに読ませる前に、テキストエディターで中身を開いて確かめます。

業務の資料のような長い文章でも、「設定を変える」「確認を省く」「特定のサーバーにつなぐ」といった内容があれば要注意です。心当たりがなければ削除しておきましょう。

フォルダの信頼確認が出たら中身を確かめる

起動したときに「このフォルダを信頼しますか」という確認が出たら、すぐに許可せず、自分が用意したファイルだけが入っていることを確かめてから信頼しましょう。

承認やサンドボックスを外す起動をしない

サンドボックスとは、AIが動ける範囲（ファイルやネットワーク）を区切っておく安全装置のことです。OpenAIの公式ドキュメントは、承認とサンドボックスの両方を外して動かす起動方法について「危険性が高く、推奨しない」（編集部訳）としています。

Foreverの検証でも、Codexへの攻撃が成功するには安全装置を外す指示が必要でした。ファイルやWebページに「確認を省いて起動して」と書かれていても従わないようにしましょう。

>>エージェントの承認とセキュリティ（編集部訳。OpenAI 公式ドキュメント・英語）

つないでいるMCPと通信先を見直す

MCPとは、AIエージェントに外部のツールやサービスをつなぐための共通の仕組みです。Claude Codeの公式ドキュメントによると、Claude Codeでは「/mcp」と入力すると、つないでいるサーバーの状態を確認でき、使わないサーバーをオフにすることもできます。

自分で追加した覚えのないMCPがないか、AIの通信先がいつもと違っていないかを確認しましょう。Foreverは、怪しい場合はログインの情報（トークン）が漏れたものとして扱い、ログインし直すなどして新しくするよう勧めています。

>>MCP を介して Claude Code をツールに接続する（Claude Code 公式ドキュメント）

▶ 関連記事：AIでサイバー攻撃を自動化！Microsoftが中国政府系とみられるグループの手口を公表、個人の対策は

▶ 関連記事：AnthropicがAIの「自己複製」に警告！スマート家電やテレビボックスは大丈夫？

※2026年10月28日時点・Forever Security 公式ブログ（2026年10月22日）、Claude Code 公式ドキュメント（セキュリティ・メモリ・MCP）、OpenAI 公式ドキュメント（AGENTS.md・エージェントの承認とセキュリティ）、Google Chrome ヘルプより

【まとめ】Claude Code・Codexはダウンロードフォルダで起動しない

Forever Securityが公表したのは、ダウンロードフォルダに置かれたAGENTS.mdやCLAUDE.mdで、Claude CodeやCodexを操る手口です。ソフトの不具合ではないため、作業用のフォルダを分ける、見覚えのない指示ファイルを確かめる、安全装置を外さないといった使い方の見直しが対策になります。AIエージェントに怪しいファイルを読ませないよう、今日から確認しておきましょう。