Claude CodeとCodex、Webサイトが「ダウンロード」に置いたファイルの指示に従ってしまう

ウェブサイトがダウンロードフォルダに保存したテキストファイルが、いまやパソコン上のAIコーディングエージェントに指示を出せる。Forever Securityの研究者は、顧客のマシンで、仕込まれたAGENTS.mdを発見した。これはOpenAIのCodexのようなツールが起動時に読み込むプレーンテキスト形式の指示ファイルで、エージェントに既知のマルウェアをインストールするよう命じていた。ファイルの整理や、ダウンロードしたばかりのファイルを扱うために、ダウンロードフォルダでClaude CodeやCodexを起動したことがあるなら、そのフォルダを自分のプロジェクトと同じように信頼したことになる。

エージェントは、自らのルールに照らせば何も間違ったことはしていない。AGENTS.mdと、Claudeで同じ役割を果たすCLAUDE.mdは、プロジェクト側からエージェントに使用するツールやテストの実行方法を伝えるためのファイルであり、エージェントはその指示に従うよう設計されている。研究者たちが問題視するのは、ウェブから自由にファイルを置けるフォルダが、ダウンロードフォルダだけだという点だ。「OpenAIにもAnthropicにも、修正すべき不具合はありません」と研究者たちは書いている。「フォルダ内のAGENTS.mdに従うエージェントは、まさに設計どおりに動いているのです」

実際に見つかったファイルは、エンジニアリングのガイドラインを装った13KBの文書で、攻撃の指示は末尾近くに、セットアップ手順のような落ち着いた文体で紛れ込ませてあった。Codexの設定に「プロジェクトツール」サーバーを追加し、function-colorというnpmパッケージをインストールするよう指示していた。研究者によると、このパッケージは約2年間、気づかれないまま続いた攻撃キャンペーンに使われたマルウェアだという。Foreverのソフトウェアが、コードの実行前にインストールを阻止した。チームが行ったテストの大半では、電卓を開くだけの無害な代替ファイルを使ったが、Codexは試行の90％超でファイルの指示を実行した。また、本物のパッケージも隔離された仮想マシン内で一度実行された。この変更はCodexのマシン全体に適用される設定ファイルに書き込まれるため、その後はどのフォルダで起動した場合でも、Codexのすべてのセッションが攻撃者のサーバーを読み込むことになる。

おすすめの記事Google、オープンソースのバグ報奨金を一時停止 AI製の偽報告が殺到

Claude Codeをだますのは、より難しかった。チームは独自のCLAUDE.mdを作成し、企業のゲートウェイを装った攻撃者管理下のサーバーに、ClaudeのAPI通信を向けるよう誘導した。この設定ひとつでClaudeのログイントークンが渡ってしまう。研究者たちはそのトークンをAnthropicの実際のAPIに対して再利用し、被害者になりすました。さらに偽サーバーはモデルであるかのように応答し、サンドボックスを無効にした状態でコマンドを送り返すことができる。Claudeはこのような設定変更について人間の承認を求め、拒否することも多いが、それでも書き換えは約半数のケースで成功した。

ファイルをマシンに送り込むのに必要な手間は、想像するほど多くない。Chrome、Edge、Firefoxは、保存先を尋ねずにダウンロードを既定のフォルダへ保存する。また、ウェブページ側でファイル名と内容を指定することもできる。調査結果を報じたBleepingComputerは、研究者たちの概念実証ページにアクセスし、無害なAGENTS.mdがダウンロードされる様子を確認した。Braveは事前に許可を求めた。Foreverの研究者、ガル・ワイズマン（Gal Weizman）は同メディアに対し、同社の顧客のうち数百社がダウンロードフォルダからClaude Code、Codex、またはCursorのコマンドラインエージェントを起動しており、Claude Codeだけでも同フォルダから1,300回を超えるセッションが開始されていたと語った。

この調査には、明らかになっていない点も残る。Foreverは、悪意のあるファイルが顧客のコンピューターにどのように届いたのかを突き止められず、攻撃を成立させるには、その後に誰かが当該フォルダでエージェントを起動する必要もある。Chrome、Edge、Firefoxはいずれもダウンロード通知を表示するため、注意深いユーザーなら気づく可能性がある。実際のペイロードはmacOS向けに作られていた。さらにForeverはAIエージェント向けの監視ソフトウェアも販売しており、同社には自ら説明するリスクから商業的な利益を得る立場がある。報告書にはOpenAIやAnthropicからの回答も掲載されていない。関係するツールは世界中で販売されているため、開発者が利用する市場であれば、どこでも同じ危険にさらされる。

防御策の多くは、日々の使い方を改めることだ。ダウンロードフォルダでコーディングエージェントを起動せず、作業対象のプロジェクトフォルダから実行する。これはOpenAIとAnthropicもすでに推奨している。自分で作成していないAGENTS.mdやCLAUDE.mdは、エージェントに読み込ませる前に内容を確認し、承認プロンプトとサンドボックスは有効にしておく。Codexの設定ファイルでは、自分が追加していないサーバー項目がないか調べる。プロジェクトのClaude設定では、自分で設定した覚えのないAPIアドレスを探す。見つかった場合は、ログイントークンが盗まれたものとして失効させる。また、npmがすでに削除したfunction-colorをインストールしたマシンは、侵害されたものとして扱うべきだ。

Foreverが報告書を公開したのは10月22日で、BleepingComputerは10月25日に続報を掲載した。研究者たちは、指示ファイルを読み取り、自身の設定を書き換えられるエージェントなら、どれも同じ方法で誘導できると述べている。つまり、CodexとClaude Codeは、今後さらに増える候補の最初の2つにすぎない。かつてブラウザーからダウンロードしたファイルは、誰かが開くまでは無害だった。いまでは、エージェントがフォルダを読み始めた瞬間に、ファイルのほうが自ら開く。

タグ: OpenAI, サイバーセキュリティ, Anthropic, AIエージェント, Claude Code, Forever Security

関連コンテンツ

初の自律型AIランサムウェア攻撃、それでも人間が不可欠だった

GrapheneOSが初めてPixel以外に対応、第1号はモトローラSignature 27

NVIDIAのジェンスン・フアンCEO、AIによるサイバー事故は「ゼロ」を要求　AI悲観論者には「開発をやめるべき」

KITの研究者が標準WiFiルーターで197人を特定——カメラ不要

Claudeが自分でnpmパッケージを入れる、その一つがファイルを盗むこともある

広告が表示されるだけで感染するスパイウェア、シチズンラボが初の証拠