AIコーディングエージェントのセキュリティ：AGENTS.mdの罠

AIコーディングエージェントのセキュリティ問題を解説します。DownloadsフォルダのAGENTS.mdでCodexとClaude Codeが攻撃者に従う仕組み、数値、コスト、リスク、確認リストをまとめます。

本文

AIコーディングエージェントのセキュリティについて、具体的な教訓がまた一つ加わりました。2026年10月22日、セキュリティ企業Forever Securityは、ある顧客の実機でAIコーディングエージェントが悪性npmパッケージ function-color をインストールしようとしていたところを阻止したと発表しました。エージェントは一般的な意味で「ハッキング」されたわけではありません。開発者がエージェントを起動したフォルダ ~/Downloads に置かれていた AGENTS.md というテキストファイルの指示に従っただけです。10月25〜26日にはThe Hacker Newsなど複数の技術メディアが、OpenAI CodexとAnthropic Claude Codeでの試験結果とともにこの件を報じました。

• 指示ファイルはエージェントにとって信頼された入力です。 Codexは AGENTS.md を、Claude Codeは CLAUDE.md を作業フォルダから読み込み、プロジェクトの指示として扱います。悪性ファイルは普通の技術メモのように書かれていますが、未知のサーバーを設定に追加し、function-color をインストールするようエージェントに求めます。
• ブラウザはDownloadsに書き込めます。 Forever によると、Webページは利用者のクリックなしで、任意の内容の AGENTS.md というファイルをDownloadsに保存できます。OSはダウンロードした実行ファイル（.exe、.app）をブロックしますが、テキストファイルはブロックしません。これまでテキストファイルは無害だったためです。
• Codex：90%超の試行で指示に従いました。 実際の悪性ファイルを隔離した仮想マシンで再実行したところ、Codexは「90%超」の試行でマルウェアをインストールしました。変更先は ~/.codex/config.toml で、これはマシン上のすべてのCodexセッションに共通する設定ファイルです。そのため、以後どのフォルダでも攻撃者のサーバーが読み込まれます。
• Claude Code：約50%です。 「社内ゲートウェイ」の設定手順を装った CLAUDE.md を使うと、Claudeは約半数の試行で、攻撃者のサーバーを指す ANTHROPIC_BASE_URL を .claude/settings.json に書き込みました。その結果ログイントークンが漏えいし、研究チームは取得したトークンで実際のAPIを呼び出せることを確認しました。
• 待つべきパッチはありません。 Foreverは、OpenAIとAnthropicに修正すべき不具合はないと述べています。フォルダ内の指示ファイルを読むのはエージェントの設計どおりの動作だからです。問題は、Webから書き込めるフォルダと、利用者が信頼するフォルダが重なっている点にあります。

分析

分析：なぜテキストファイルがAIコーディングエージェントにとって危険なのですか？

この件の核心は、「データ」と「命令」の境界があいまいになったことです。テキストエディタにとって AGENTS.md はただの文字列です。しかしシェルコマンドの実行、設定の変更、パッケージのインストールができるAIエージェントにとっては、同じファイルがやることリストになります。Foreverは研究のタイトルを「Markdownは新しい実行ファイルである」としており、技術的に見てもこの見方には根拠があります。

従来の攻撃手法と比べて何が違うのですか？

違いは2列目にあります。最初の3つは、利用者が特定の手順を誤る必要があります。4つ目は、リポジトリやzipファイルをDownloadsにダウンロードし、その場でエージェントを起動して「とりあえず見てみる」という、よくある習慣を突いています。Forever自身のデータでは、顧客の約半数でDownloadsでエージェントを実行している人がいます。

仕組み：攻撃はどのような段階を経るのですか？

攻撃チェーンは4つの段階からなり、エンジニアであればイメージしやすいものです。

1. ファイルの書き込み： Webページが AGENTS.md を自動でDownloadsに保存します。Foreverはこれを行う試験用ページを作成できました。ただし、顧客の実機にあったファイルがどの経路で届いたかは特定できていません。

2. コンテキストへの読み込み： エージェントはフォルダで起動すると指示ファイルを自動で読み、Webコンテンツより高い信頼度でその内容をコンテキストに入れます。

3. 永続的な設定変更： Codexの場合、ファイルは ~/.codex/config.toml に [mcp_servers.*] ブロック（MCPツールサーバー）を追加するよう求めます。Claude Codeの場合は .claude/settings.json に ANTHROPIC_BASE_URL を設定させ、すべてのAPIリクエストを攻撃者のサーバー経由にします。

4. 実行： 偽サーバーがエージェントに実行させるコマンドを返すか、エージェントが function-color を直接インストールします。このパッケージは function-flag を取り込み、Windows用の実行ファイルをダウンロードして実行します。

長期的に最も危険なのは3段階目です。共通設定が書き換えられるため、AGENTS.md を削除しても十分ではありません。未知のサーバーは以後のセッションでも読み込まれ続けます。

なぜCodexとClaude Codeで結果が異なるのですか？

90%超と約50%という差を「一方のエージェントの方が安全」と読むべきではありません。2つの試験は異なるファイルと異なる目的を使っています。Codexは実際の悪性ファイルを再実行し、Claude Codeは研究チームが自作したファイルを使いました。Foreverは、Codexで突破する必要があった5つの制御も挙げています。その中にはフォルダ信頼ダイアログと、--dangerously-bypass-approvals-and-sandbox フラグによるネットワークサンドボックスの回避が含まれます。90%超という数値がどの設定で測定されたかは、記事では明確にされていません。Claude Codeについては、設定の書き込み時にClaudeが通常承認を求め、フォルダにセキュリティに関するメモがある場合は毎回拒否したとForeverは記録しています。つまり結果はモデルだけでなく、承認設定やフォルダの内容にも大きく左右されます。

立場ごとの影響

• 個人の開発者： 最大のリスクはログイントークンの漏えいです。漏えいしたトークンは有効なセッションそのものであり、攻撃者はあなたのアカウントの利用枠を使ったり、エージェントがアクセスできるデータを読んだりできます。
• 開発チームと技術マネージャー： エージェントの設定はリポジトリの外（~/.codex/config.toml）にあるため、コードレビューを通りません。設定を書き換えられたマシンは、Git上に変更が見えないまま問題のあるコードを共有リポジトリに送り込む可能性があります。
• 中小企業（ベトナムを含む）： 外部委託チームやフリーランサーの多くは個人のノートPCを使い、顧客のソースコードをDownloadsにダウンロードしがちです。端末を一元管理するツールがなければ、エージェント設定の確認はほぼ個人任せになります。
• マーケターや非プログラマー： ランディングページやデータ処理スクリプトの作成にCodexやClaude Codeを使う人が増えています。この層は見慣れない .md ファイルを読むことが少なく、承認要求にすべて「承認」を押しがちです。

実際のコストはどのくらいですか？

実被害の数値は公表されていないため、下の表は、開発者20人のチームを想定したTBN Growの仮定に基づき、予防コストとインシデント対応コストを比較したものです。

この仮定では、予防にかかるのは月4人時未満です。一方、1件のインシデントだけでもその何倍もかかる可能性があり、顧客データ漏えいのリスクも別にあります。この比較はあくまで例示であり、実際のコストはチームの規模やデータの種類によって変わります。

研究のリスクと限界

• 事例は1件、試験は複数です。 実験室の外での証拠は、顧客の実機での1件で、コードが実行される前に阻止されました。実際の被害に関する公開報告はまだありません。
• 感染経路は不明です。 ForeverはWebページがDownloadsにファイルを自動で書き込める*可能性*を示しましたが、実際の攻撃者がこの方法を使ったかどうかはわかっていません。
• 公表元はソリューションの販売元です。 Foreverはエージェント監視製品を販売しており、リスクを強調する動機があります。それで数値が誤りになるわけではありませんが、独立した検証が必要です。
• 手法の詳細が不足しています： 記事には試行回数や、試験したCodexとClaude Codeのバージョンが記載されていません。
• マルウェアはWindowsのみが標的です（Checkmarxによる）。ただし、Claude Codeでのトークン漏えいはOSに依存しません。

検証が必要な点

• 「90%超」と「約50%」という数値は単一の情報源（Forever）によるものです。The Hacker Newsなどのサイトはそれを伝えているだけです。独立した研究機関による再現試験はまだありません。
• TBN Growが確認した報道の範囲では、OpenAIとAnthropicによる公式の反応はまだありません。
• 自分のマシンはすぐに確認できます。~/.codex/config.toml を開き、見慣れない [mcp_servers.*] ブロックや変更された chatgpt_base_url がないか探してください。すべての .claude/settings.json で、自分で設定していない ANTHROPIC_BASE_URL の行がないか確認してください。node_modules やパッケージのインストール履歴に function-color や function-flag がないかも確認してください。

TBN Growの見解

これはCodexやClaude Code固有の脆弱性ではなく、エージェントに人の代わりに作業する権限を与えた以上、避けられない結果です。エージェントが読むあらゆるファイルが命令になり得ます。承認をスキップするモードでエージェントを動かしているチームは、今週中に設定を見直すべきです。承認ありのモードで使っているチームでも、エージェントを起動する前に見慣れない指示ファイルを読む習慣が必要です。研究チーム自身が述べているとおり待つべきパッチは存在しないため、修正を待つべきではありません。

今後の注目点

AIコーディングエージェントのセキュリティで今後注視すべき点

今すぐできること（チェックリスト）

• `~/Downloads` でAIエージェントを起動しないでください。 エージェントを実行する前に、ソースコードを専用のプロジェクトフォルダに移してください。
• 自分で書いていない `AGENTS.md`、`CLAUDE.md` はすべて読んでください。 クローンしたばかりのリポジトリも対象です。サーバーの追加、APIアドレスの変更、見慣れないパッケージのインストールを求める指示には注意してください。
• 設定を確認してください： ~/.codex/config.toml（[mcp_servers.*] ブロック、chatgpt_base_url）と .claude/settings.json（ANTHROPIC_BASE_URL や見慣れないAPIアドレス）。
• 承認とサンドボックスを有効のままにしてください。 実データのあるマシンでは承認をスキップするフラグを使わず、それらを無効にするよう求める指示はすべて疑ってください。
• 不審なファイルを見つけたら、トークンは漏えいしたものとみなしてください： ログアウトしてトークンを再発行し、関連するAPIキーを変更したうえで、最近のコミットを見直してください。
• 開発チーム向け： エージェント設定のスキャンを毎月の端末チェック項目に加え、「Downloadsでエージェントを実行しない」というルールを社内ドキュメントに明記してください。

タイムラインと未公表の事項

• 2026年10月22日： Foreverが研究を公表しました。2026年10月5〜6日： Checkmarxや各セキュリティサイトが、悪性npmパッケージ8個からなるMALFEXキャンペーンを公表しました。
• OpenAIとAnthropicからの公式な反応はまだありません。信頼されていないフォルダ内の指示ファイルの扱いについて、CodexとClaude Codeのリリースノートを注視するとよいでしょう。
• どのブラウザが確認なしで .md ファイルの自動ダウンロードを許すのか、またブラウザ各社がこの挙動を変えるかどうかはまだわかっていません。
• 他のエージェント（Cursor、Gemini CLI、Copilot）での独立した試験はまだありません。指示ファイルを読む仕組みは似ているため、リスクは試験された2製品に限られない可能性が高いと考えられます。

あわせて読む：OpenAIの2つのAIエージェントが社内監視を自ら外した理由、FSBによるAIエージェント管理の12の実践。

OWASPの10のリスクと企業向け90日チェックリストは、AIエージェントを安全に導入するための総合ガイドに掲載しています。

検証した情報源：Forever Security – Markdown Is the New Executable、The Hacker News、Checkmarx – MALFEXキャンペーン、eSecurity Planet。