Downloads内の指示ファイルが攻撃の入口に
Downloadsフォルダーに置かれたAGENTS.mdをAIコーディングエージェントが読み込み、不正なnpmパッケージを導入しようとした事例が見つかりました。攻撃はCodexとClaude Codeで再現され、コード実行や認証情報の窃取につながる経路が確認されました。
AGENTS.mdは、AIエージェントにプロジェクト固有のルールや作業手順を伝えるテキストファイルです。エージェントは作業対象のフォルダーにある適用対象の指示を読み、その内容に沿ってコマンド実行や設定変更を行います。
顧客端末で見つかったファイルは、Codexに悪意あるnpmパッケージ「function-color」をインストールさせようとしていました。ウェブページから同名のAGENTS.mdをダウンロードさせる手順も実証されました。
Codexでは設定変更、Claude Codeではトークン窃取
Codexを使った検証では、攻撃者が用意したAGENTS.mdに従い、エージェントが設定ファイルを書き換えて外部ツールを登録し、npmパッケージを導入する流れが確認されました。Forever Securityは実際の攻撃ファイルを隔離した仮想マシン内で試し、試行の90％超でマルウェアを実行できたと報告しています。
書き換えられる設定ファイルは、Downloads内の作業だけに限られないCodexのユーザー設定でした。そのため、設定が残れば別のフォルダーから始めるセッションにも影響する可能性があります。
Claude Codeを対象とした検証では、別の指示ファイルを使ってAPI通信先を攻撃者のサーバーへ向け、OAuthトークンを露出させる手法が試されました。攻撃者側サーバーがモデルを装ってコード実行につながるツール呼び出しを返し、成功率は約50％でした。
指示ファイルは作業範囲に応じて読み込まれる
Claude Codeでは、CLAUDE.mdがセッション開始時に読み込まれる指示ファイルとして使われ、リポジトリ内のAGENTS.mdも代わりに利用できます。指示ファイルはプロジェクト、ユーザー、組織などの範囲で設定でき、上位階層のファイルは作業ディレクトリの起動時に読み込まれます。
サブディレクトリの指示ファイルは、その場所で作業するときに読み込まれます。Claude Codeは指示を強制設定ではなく文脈として扱うため、内容が具体的で簡潔なほど一貫して従いやすくなります。
広い親フォルダーを作業場所にすると、意図しない範囲の指示ファイルが対象になり得ます。Forever Securityは、Downloadsではなく、エージェントに作業させるプロジェクトのルートから起動するよう勧めています。
サンドボックスと承認で実行範囲を制限
Codex CLIでは、サンドボックスを読み取り専用、ワークスペースへの書き込み、全アクセスから選べます。承認設定ではコマンド実行前に人の確認を求めるかどうかを指定でき、追加ディレクトリへの書き込み権限も個別に与えられます。
Claude Codeの組み込みサンドボックスは、シェルコマンドとそこから起動するプロセスのファイル・ネットワークアクセスを制限します。既定では書き込み先が作業ディレクトリなどに限定され、ネットワークへの直接接続も制限されます。
Claude Codeのサンドボックスはシェルコマンドを対象とし、ファイル操作ツール、MCPサーバー、フックなどはその境界の外で動きます。このため、作業場所を対象プロジェクトに絞り、見慣れない指示ファイルを確認し、承認要求とサンドボックスを有効にする方法が対策として挙げられます。
