2026年10月27日ごろから、Xで「ダウンロードフォルダに先にCLAUDE.md・AGENTS.md・AGENTS.override.mdを置いておけば、攻撃用のファイルを無効化できる」という対策を紹介する投稿が見られます。ダウンロードフォルダに置かれた指示ファイルでClaude CodeやCodexを操る攻撃が公表されたことを受けて、話題になったものです。
当記事では、この「おとりファイル」対策がどこまで効くのかを、AnthropicとOpenAIの公式ドキュメントなどをもとに、AI初心者向けに整理します。
Xで広まる「おとりCLAUDE.md」対策とは（2026年10月27日〜）
前回のおさらい：ダウンロードフォルダのAGENTS.md攻撃
2026年10月22日、セキュリティ企業のForever Securityは、ダウンロードフォルダに置かれたAGENTS.mdやCLAUDE.mdによって、AIエージェントが攻撃者の思いどおりに動かされる手口を公表しました。AGENTS.mdとCLAUDE.mdは、AIエージェント（パソコンの中で作業を代わりにしてくれるAI）に作業のルールを伝えるメモ書きのファイルです。
ダウンロードフォルダでClaude CodeやCodexを起動すると、AIがそのファイルを「作業のルール」として読み込んでしまう、というのが攻撃のしくみでした。詳しくは前回の記事で解説しています。
▶ 関連記事：Claude Codeのセキュリティ注意！ダウンロードフォルダのAGENTS.md攻撃と対策
おとりファイル対策のしくみ
Xで広まっているのは、ダウンロードフォルダに、AIが自動で読む名前のファイルを先に自分で作っておく、という方法です。同じ名前のファイルがすでにあると、ブラウザは上書きせずに「CLAUDE (1).md」のように名前を変えて保存します。
名前が変われば、AIが自動で読む決まった名前ではなくなるため、後から落ちてきた攻撃用のファイルが、AIに自動で読まれにくくなるという考え方です。
そもそもAGENTS.override.mdとは？
AGENTS.override.mdは、OpenAIのCodexが読む指示ファイルの1つです。Codexの公式ドキュメントによると、Codexは各フォルダでAGENTS.override.md、AGENTS.md の順に探し、1つのフォルダからは多くても1つのファイルしか読みません。
つまり、同じフォルダにAGENTS.override.mdがあると、そちらがAGENTS.mdより優先されます。攻撃者がこの名前を使う可能性もあるため、Xの対策では3つ目のおとりとして挙げられています。
>>AGENTS.md によるカスタム指示（編集部訳。OpenAI 公式ドキュメント・英語）
おとりCLAUDE.mdは効く？公式情報で分かったポイント4つ
結論から言うと、おとりファイルは「ダウンロードフォルダの直下に、同じ名前で保存される」場合にだけ効く対策です。ポイントは4つです。
1. 効く：ブラウザは同じ名前のファイルを上書きしない
Google Chromeのもとになっている「Chromium」のソースコードでは、保存先に同じ名前のファイルがあると、名前の拡張子の前に「 (1)」「 (2)」と番号を付けて保存するしくみになっています。そのため、Google Chromeなどでふつうにダウンロードしたファイルが、先に置いたおとりを上書きすることは基本的にありません（Safari・Firefoxなどほかのブラウザの動きは、当編集部では確認していません）。
また、Macで標準的に使われているAPFSという形式は、Appleの説明によると、大文字と小文字を区別する形式が別に用意されています。つまり、多くのMacでは「claude.md」と「CLAUDE.md」は同じ名前として扱われ、小文字の名前で落ちてきても番号が付くと考えられます（大文字と小文字を区別する形式にしている場合は別です）。
>>ダウンロード先の名前の重なりを処理するコード（Chromium ソースコード・英語）
>>Macのディスクユーティリティで利用できるファイルシステムフォーマット（Apple ディスクユーティリティ ユーザガイド）
2. 効く：AIが自動で読むのは決まった名前だけ
Codexの公式ドキュメントによると、Codexが指示ファイルとして探すのはAGENTS.override.mdとAGENTS.md、それに利用者が設定で追加した名前だけで、それ以外の名前のファイルは指示ファイルとして扱いません。
Claude Codeの公式ドキュメントでも、自動で読み込むのはCLAUDE.md、CLAUDE.local.md、AGENTS.mdなど決まった名前のファイルです。「CLAUDE (1).md」のように名前が変われば、起動したときに自動で読まれることはないと考えられます。
3. 効かない：ZIPを解凍してできたフォルダの中のCLAUDE.md
おとりが守れるのは、ダウンロードフォルダの直下だけです。ZIPファイルを解凍すると、新しいフォルダが作られ、その中にCLAUDE.mdが入っていても名前は変わりません。
Claude Codeの公式ドキュメントによると、Claude Codeは起動したフォルダの下にあるフォルダのCLAUDE.mdも、そのフォルダの中のファイルを読んだり編集したりした時点で読み込みます。Codexも、作業を始めたフォルダまでの各フォルダで指示ファイルを探すため、解凍したフォルダの中で起動すれば、そこにあるファイルを読み込みます。
ZIPの中身や、ほかの人から受け取ったフォルダには、おとりはまったく効かない点に注意しましょう。
>>Claude があなたのプロジェクトを記憶する方法（Claude Code 公式ドキュメント）
4. 効かない：3つ以外の名前や、別の名前のファイルに書かれた指示
Claude Codeの公式ドキュメントによると、Claude Codeは起動したフォルダのCLAUDE.local.mdも読み込みます。Xで広まっている3つの名前にはCLAUDE.local.mdが入っていないため、その名前で置かれたファイルは防げません。
さらに、「資料.md」のような普通の名前のファイルに指示が書かれていて、利用者が「このファイルを読んで」とAIに頼んだ場合も、おとりは関係ありません。AIは読んだ文章の中の指示に従ってしまうことがあるため、ファイル名だけで安全かどうかは決まらないということです。
おとりファイルの中身は？Claude Codeの設定は？よくある疑問
おとりファイルの中身は空でいい？
Codexの公式ドキュメントによると、Codexは中身が空の指示ファイルを読み飛ばします。おとりの役目は「名前をふさぐこと」なので、中身は空か、「このフォルダでは作業しません」といった一文で十分です。
なお、おとりのCLAUDE.mdも、ダウンロードフォルダでClaude Codeを起動すれば読み込まれます。ネットで見かけた長い文章をそのまま貼り付けると、それ自体が思わぬ指示になるおそれがあるため、中身は自分で書いた短いものにしておきましょう。
Claude CodeはAGENTS.override.mdを読む？
Claude Codeの公式ドキュメントでは、AGENTS.override.mdは、Claude Codeが読み込まないファイルとして挙げられています。つまり、3つのおとりのうちAGENTS.override.mdはCodex向けで、Claude Codeだけを使っている人にとってはあまり意味がありません。
Claude Codeで特定のCLAUDE.mdを読ませない設定はある？
Claude Codeの公式ドキュメントによると、「claudeMdExcludes」という設定があり、ファイルの場所や名前の決まり（パターン）を書いておくと、そのCLAUDE.mdを読み込まないようにできます。この設定は、ユーザー、プロジェクト、ローカル（自分のパソコンだけに効く設定）、組織の管理用のどの設定ファイルにも書けます。
ただし、公式ドキュメントでは、大きなプロジェクトで関係のないCLAUDE.mdを読み込まないための設定として説明されています。初心者が無理に設定ファイルを書き換える必要はなく、次の章の対策を先に行いましょう。
おとりより大切な、Claude Code・Codexのセキュリティ対策
おとりファイルは「ないよりまし」程度の対策です。本当に大切なのは、次の3つです。
ダウンロードフォルダやホームフォルダでAIを起動しない
いちばんの対策は、そもそもダウンロードフォルダでClaude CodeやCodexを起動しないことです。Claude Codeの公式ドキュメントも、ホームフォルダ（ユーザー名のフォルダ）で直接起動すると「このフォルダを信頼する」という許可が保存されないとして、代わりにプロジェクトのフォルダから起動するよう案内しています。
作業専用のフォルダを作り、必要なファイルだけを移してから起動しましょう。まだ信頼していないフォルダで起動すると「このフォルダを信頼しますか」という確認が出るので、中身を確かめてから許可します。
>>セキュリティ（Claude Code 公式ドキュメント）
「何でも許可」の設定にしない
AIが何かを実行する前に確認を求めるしくみ（承認）や、AIが動ける範囲を区切る安全装置（サンドボックス）は、外さずに使いましょう。OpenAIの公式ドキュメントは、承認とサンドボックスの両方を外して動かす方法について「危険性が高く、推奨しない」（編集部訳）としています。
>>エージェントの承認とセキュリティ（編集部訳。OpenAI 公式ドキュメント・英語）
ファイルやWebに書かれた指示を鵜呑みにしない
ファイルやWebページ、SNSの投稿に「このコマンドを実行して」「設定を変えて」と書かれていても、すぐに従ったり、そのままAIに渡したりしないようにしましょう。おとりファイルの作り方として出回っているコマンドも、何をするものか分からなければ実行しないのが安全です。
おとりを置くなら「安心材料」にしない
おとりを置くこと自体は悪くありません。ただし、おとりを置いたから大丈夫と考えて、ダウンロードフォルダでAIを起動するのは逆効果です。ZIPの中身や別の名前のファイルは防げないため、起動する場所を分けることを優先しましょう。
※2026年10月28日時点・Claude Code 公式ドキュメント（メモリ・セキュリティ）、OpenAI 公式ドキュメント（AGENTS.md・エージェントの承認とセキュリティ）、Chromium ソースコード、Apple ディスクユーティリティ ユーザガイドより
【まとめ】おとりCLAUDE.mdは「ないよりまし」、起動する場所を分けよう
ダウンロードフォルダに先にCLAUDE.mdなどを置く「おとり」対策は、同じ名前のファイルが直下に保存される場合には効きます。ただし、ZIPを解凍したフォルダの中や、別の名前のファイルに書かれた指示は防げません。ダウンロードフォルダでAIを起動しない、承認を外さないといった基本の対策を、今日から確認しておきましょう。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月28日時点のものです。
