悪意あるAGENTS.mdファイル、Downloadsフォルダ経由でAIコーディングエージェントを悪用

セキュリティ企業Forever Securityが先週公開した報告書によると、開発者のDownloadsフォルダに配置された悪意ある指示ファイルが、AIコーディングエージェントに対してマルウェアのインストールを強要しようとした事例が発生しました。この事件は、OpenAIのCodexやAnthropicのClaude Codeなどのエージェントに対し、信頼されるローカルファイルを用いてコマンドを注入するという新たな攻撃ベクトルを浮き彫りにしています。

何が起きたか

Forever Securityは、実際の顧客のマシン上でこの試みを検知し、コードが実行される前に介入しました。悪意あるファイルの名前はAGENTS.mdで、ディレクトリ内で初期化された際にコーディングエージェントがコンテキストや指示を読み取るための平文ドキュメントです。通常のエンジニアリングノートに見せかけたこのファイルには、エージェントの設定を変更し、function-colorというnpmパッケージをインストールさせる指示が含まれていました。このパッケージは、CloudSEKとCheckmarxの研究者によって以前分析されたMALFEXマルウェアキャンペーンに関連しています。function-colorパッケージはfunction-flagのダウンローダーとして機能し、その後Windowsペイロードを取得・実行します。

この攻撃は、2つの無害な挙動が危険な形で組み合わさることに依存しています。第一に、コーディングエージェントはAGENTS.mdやCLAUDE.mdのようなローカルファイル内の指示を信頼し、従うように設計されています。第二に、Webブラウザはユーザーの操作や許可プロンプトなしに、ファイルをDownloadsフォルダへ自動的に保存できます。Forever Securityはファイルがどのようにして顧客のマシンに到達したかを正確に確認できませんでしたが、Webページがこうしたファイルを静かにドロップできることを実証しました。彼らの概念実証（PoC）では、特定のページにアクセスすると、そのディレクトリで起動されたあらゆるエージェントによって実行され得るAGENTS.mdファイルがDownloadsフォルダに表示されました。

脅威を検証するため、研究者らは隔離環境で攻撃を再現しました。Codexを対象とした場合、悪意あるファイルはエージェントに対し、~/.codex/config.tomlにサーバーを登録し、パッケージをインストールするコマンドを実行するように指示しました。この設定ファイルはグローバルに適用されるため、変更は今後のすべてのセッションに永続的に残ります。テスト試行の90%以上で、Codexはマルウェアを実行しました。Claude Codeに対する攻撃では、CLAUDE.mdファイルがプロジェクト設定にANTHROPIC_BASE_URLを書き込み、APIトラフィックを攻撃者が制御するサーバーへリダイレクトしようとしました。これによりログイントークンが漏洩し、攻撃者はモデルになりすますことが可能になります。Claudeの承認要件があるため、この変種は約半分の確率でのみ成功しました。

仕組み

この手法は、ローカルファイルシステム上のアーティファクトを介したプロンプトインジェクションの一形態です。コーディングエージェントは、動作ガイドラインを提供するAGENTS.mdなどのコンテキストファイルを探すために作業ディレクトリをスキャンすることで動作します。エージェントが信頼するディレクトリにこのファイルの悪意あるバージョンを配置することで、攻撃者は安全な挙動を有害な指示で上書きできます。エージェントはこれらのテキストベースのコマンドを正当なユーザーの意図として解釈します。

脆弱性は、Webブラウザやオペレーティングシステムのデフォルトの挙動によってさらに深刻化します。Downloadsフォルダはインターネットからのファイルの一般的な受け入れ場所ですが、同時に開発者が新しいプロジェクトを開始したりコードをテストしたりする際の頻繁な出発点でもあります。ブラウザは各ファイルごとに明示的な同意を得ることなくこのフォルダへ書き込むことができるため、攻撃者はリモートからトリガーメカニズムを仕掛けることができます。エージェントがそのフォルダで起動されると、悪意ある指示をプロジェクトの正当なドキュメントの一部であるかのように読み取ります。

主要な詳細

• 悪意あるファイルAGENTS.mdは、エージェントに対し、MALFEXマルウェアキャンペーンに関連するnpmパッケージfunction-colorのインストールを指示しました。
• Codexは、感染したディレクトリから起動された場合、試行の90%以上で悪意あるペイロードを実行しました。
• Claude Codeへの攻撃は、セッショントークンを盗むためにANTHROPIC_BASE_URL設定を狙い、承認プロンプトのため約50%のケースで成功しました。
• WebブラウザはDownloadsフォルダへファイルを静かに保存でき、悪意ある指示ファイルのリモート設置を可能にします。
• Forever Securityは、エージェントがローカル指示に従うという設計通りに動作しているため、OpenAIやAnthropic向けのパッチはないと述べています。
• テレメトリデータは、Forever Securityの顧客の約半数がDownloadsフォルダでコーディングエージェントを実行していることを示しています。

なぜ重要か

ソフトウェアエンジニアや技術リードにとって、この事件は厳格な境界制御なしにAIエージェントを完全自律的なエンティティとして扱うことのリスクを強調しています。ローカルファイルは安全だという前提は、それらのファイルがWeb閲覧活動を通じて注入され得るようになった現在、もはや有効ではありません。習慣的にDownloadsフォルダでコーディングセッションを開始したり、リポジトリを直接そこにクローンしたりする開発者は特に脆弱です。この攻撃は複雑なエクスプロイトを必要としません。開発者が毎日頼りにしているツールのコア機能を悪用するだけです。

さらに、Codexにおける永続化メカニズム（グローバル設定ファイルの変更）は、一度の成功した感染がマシン上の将来のエージェントセッションすべてを侵害することを意味します。Claude Codeの場合、リスクは資格情報の盗難に関わり、これがアカウント乗っ取りや独自コードベースへの不正アクセスにつながる可能性があります。ベンダー側はこれをソフトウェアバグではなく使用パターン上の問題と見なしているため、緩和策の責任は完全にエンドユーザーとその運用セキュリティプラクティスにかかっています。

対策

• ~/DownloadsディレクトリでCodexやClaude CodeのようなAIコーディングエージェントを初期化しないでください。
• 新しいまたはダウンロードしたリポジトリ内のAGENTS.mdやCLAUDE.mdファイルを、エージェントが読み取る前に必ず検査してください。
• ~/.codex/config.tomlに不正なサーバーエントリがないか、.claude/settings.jsonに変更されたAPIエンドポイントがないかを定期的に監査してください。
• 承認プロンプトとサンドボックス化機能を有効にしたままにし、エージェントによるそれらの無効化要求は拒否してください。
• 悪意ある指示ファイルが発見された場合、セッショントークンは侵害されていると仮定し、直ちにローテーションしてください。
• エージェントを使ってWebを閲覧する際は注意してください。ユーザーの可視性なしに、エージェントが誤って悪意あるファイルをダウンロードする可能性があります。