Forever Securityは2026年10月22日(現地時間)、「Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web · Forever Security」において、調査を実施した顧客端末内のダウンロードフォルダーから悪意あるAIエージェント向けの指示ファイルを発見したと報じた。

AIエージェントが指示ファイルを読み込むと、設定の変更、不正コードの実行、認証トークンの窃取などを実行される恐れがある。同社はOpenAI CodexとClaude Codeの双方で攻撃を再現し、AIエージェントを利用する環境に潜むセキュリティ上の問題を指摘した。

ダウンロードフォルダーに潜む悪意ある指示ファイル

発見のきっかけは、Foreverが顧客端末で動作中のコーディングエージェントによる不正なnpmパッケージ「function-color」のインストールを阻止したことだった。このパッケージは、約2年間にわたり表面化しなかった攻撃活動に関連するもので、後に公に特定された。

不審なインストールを調査した同社は、エージェントへの指示の出所が、依存関係やソースコードのリポジトリーではなく、利用者のダウンロードフォルダーだったことを突き止めた。そこには「AGENTS.md」というテキストファイルが存在していた。

ダウンロードフォルダーが問題となるのは、利用者の明示的なクリックや許可を必要とせず、Webサイトからファイルを保存できるためだ。通常、インターネットから取得した実行ファイルは、OS側の保護機能によって実行前に利用者の承認を求められる。しかし、Markdown形式の指示ファイル自体は実行ファイルではなく、同じ保護の対象にならない。

そのファイルをAIエージェントが信頼できる指示として読み込むと、攻撃者の命令が直接実行される可能性がある。Webからファイルを保存できる仕組みと、作業フォルダー内の指示ファイルに従うエージェントの設計が組み合わさることで、従来の防御では想定しにくい経路が生まれた形だ。

Codexでは90%以上の確率で不正コードを実行

Foreverは、顧客端末で不正なパッケージのインストールを阻止した後、発見された攻撃用ファイルを使い、隔離された仮想マシン内で攻撃の再現実験を実施した。

同社の説明によると、試験用のWebページにアクセスした後、ページを離れた瞬間にダウンロードフォルダーにファイルが保存される。そのフォルダーでCodexを起動すると、利用者が依頼したタスクに着手する前に、エージェントが自身の設定へ「project tools」サーバーを追加し、npmからマルウェアパッケージをインストールする動作が確認された。

明示されないファイルの指示にエージェントが従う保証はないが、この試験では90%以上の確率で攻撃が成功したという。さらに、システム全体に適用されるCodexの設定ファイル「~/.codex/config.toml」が書き換えられ、以降は別のフォルダーやプロジェクトで起動したセッションにも攻撃者によって追加されたサーバーがロードされたという。

Claude Codeでは認証トークンの窃取も

Foreverは、本件がCodex固有のものか調べるため、Claude Codeでも検証を実施した。同社によれば、Claude用の攻撃ファイル「CLAUDE.md」ではマルウェアをインストールせず、代わりにClaudeのAPIトラフィックを攻撃者のサーバー経由に切り替える動作が確認された。

この結果、攻撃者はOAuthトークンを入手し、正規APIへのアクセスに利用できることが確認された。さらに、攻撃者のサーバーがモデル応答を装ってツール呼び出しを返すことで、任意のコード実行も可能だった。

同社の検証では、Claude Codeがリモートコードを処理した割合は約50%とされる。両製品で攻撃の具体的な方法や成功率には違いがあったものの、指示ファイルを読み込み、自身の設定を変更する問題はエージェントに共通するとForeverは説明している。

AIエージェントを攻撃から守るための対策

Foreverは対策として、ダウンロードフォルダーでCodexやClaude CodeなどのAIエージェントを起動しないよう推奨している。また、ダウンロードフォルダーや新たに取得したリポジトリーに「AGENTS.md」「CLAUDE.md」などの指示ファイルが存在しないか確認し、不審な内容が含まれていないか点検するよう求めた。

さらに、エージェントの設定ファイルに覚えのない接続先やサーバーが追加されていないか確認することも重要としている。承認機能やサンドボックスを有効に保ち、侵害の兆候が見つかった場合は認証トークンの更新などの対応を取るよう呼びかけている。

Foreverは今回の問題について、個別製品の不具合ではなく、人間による操作や承認を前提とした従来のセキュリティ対策と、自律的に指示を読み込んで実行するAIエージェントの動作との間に生じる課題だと指摘している。