ダウンロードフォルダに投下したAGENTS.mdファイルでAIコーディングエージェントを乗っ取る手法、研究者が発見

佐々山 Tacos

2026.10.26

[開く][閉じる]

ダウンロードフォルダに投下したAGENTS.mdファイルでAIコーディングエージェントを乗っ取る手法、研究者が発見

ダウンロードフォルダに投下したAGENTS.mdファイルでAIコーディングエージェントを乗っ取る手法、研究者が発見

BleepingComputer – October 25, 2026

AIエージェントや自律型ソフトウェアのリスクをモニタリングしているセキュリティ企業Forever Securityが、顧客のダウンロードフォルダ内で悪意あるAGENTS.mdファイルを発見。このファイルは、AIコーディングエージェントを欺いて不正なnpmパッケージをインストールさせようとするものだったという。Forever Securityはコードが実行される前にこの攻撃を阻止したものの、その後OpenAI Codexに対して同様の攻撃を再現することに成功。Claude Codeに対しても関連する手法で攻撃をテストし、OAuthトークンを流出させてアカウントをハイジャックできることを実証した。

最近では、Claude CodeやCodexなどの自律的にコードを書いたり実行できるAIアシスタントが組織で活用されるようになっているが、各AIツールはそうしたタスクをこなすために、開いたフォルダ内で見つかったあらゆる指示を自動的に読み、その指示に従う設計になっている。このような指示はAGENTS.mdなどのマークダウンファイルに記されるのが一般的だが、Forever Securityによれば、Webサイトを用意し、このサイトにターゲットユーザーを訪問させることで、ユーザーのコンピューターに密かにこうしたマークダウンファイルを投下することが可能だという。そうなると、ユーザーの使用するAIアシスタントは投下されたファイルに記された指示に従い、パスワードを攻撃者に受け渡したり攻撃者のコードを実行したりする恐れがあるとされる。Forever Securityによればこれは理論上のリスクではなく、実際に同社の顧客のマシンで悪意あるAGENTS.mdファイルが発見されたという。

発見のきっかけとなったのは、顧客のコーディングエージェントが既知の悪性npmパッケージ「function-color」をインストールを試みたこと。function-colorはサプライチェーン攻撃キャンペーン「MALFEX」で使用された悪性パッケージで、Overlord RATやインフォスティーラーといったマルウェアを配布しようと試みるものだったとされる。

関連記事：長期的なnpmサプライチェーンキャンペーン「MALFEX」、総ダウンロード数は4万回超

Foreverは、悪性パッケージをインストールせよという指示の出どころがどこなのかを確かめるために調査を開始。すると、コーディングエージェントがダウンロードフォルダに残された1件のAGENTS.mdファイルの指示に従っていたことが明らかになったという。この攻撃は悪性コードが実行される前に阻止されたが、Foreverのテストにより、同様のファイルを使ってOpenAIのCodexやClaude Codeを不正に操り、コードを実行させたり認証情報を盗み出したりできることが裏付けられている。

Foreverの研究者はそもそも悪性ファイルがどのようにして顧客のダウンロードフォルダに展開されたのかを判断できていないものの、考えられるシナリオとして、悪意あるWebページを使ってペイロードが投下された可能性を指摘した。攻撃者はターゲットにこのページを訪問させることができれば、クリックなどその他の操作をさせずともダウンロードフォルダにファイルを投下することが可能だという。同社は実際にユーザーに気づかれることなくダウンロードフォルダへ悪意あるファイルを配布する方法を実証したPoCも作成している。

ダウンロードフォルダに悪性ファイルを配置した後、攻撃者はターゲットに同一ディレクトリ内でAIエージェントを実行させることが求められる。Foreverによれば、AIエージェントを使ってダウンロードフォルダの整理や新たにダウンロードされたファイルの処理を行っているユーザーは少なくないため、この要件が満たされるのはさほどレアなケースというわけではないという。

こうした攻撃への対策として、ユーザーには、「~/Downloads」を AIコーディングエージェントの作業ディレクトリとして設定しないようにすることが推奨される。加えて、身に覚えのないAGENTS.mdやCLAUDE.mdなどの指示ファイルの有無をチェックすることや、承認プロンプトおよびサンドボックス保護を有効にしておくこと、また不審なコードについてはメインシステムでの時効前に隔離された環境内でテストを行うことなどが求められるとのこと。