ダウンロードフォルダのAGENTS.mdに、Codexが9割従った

セキュリティ企業のForever Securityが10月22日、顧客のパソコンのダウンロードフォルダに、見覚えのないAGENTS.mdというファイルが置かれていた、と公表した。中身は、AIのコーディングエージェントに「function-color」というnpmの部品を入れさせる指示だった。この部品は、2年ほど見つからないまま配られていたマルウェアだという。

入る前に止まった。ただ、自分のダウンロードフォルダは、どうだろう。

ダウンロードフォルダだけ、ウェブが勝手に書き込める

報告を書いたのは、Gal WeizmanとOmer Sametの2人だ。2人はダウンロードフォルダを「ウェブが自分で書き込める、唯一のフォルダ」と書いている（訳）。画像や実行ファイルと違い、文字だけの.mdは、ブラウザが確認なしに保存することがある。クリックも、許可の画面もいらない。

そこでエージェントを起動すると、どうなるか。Forever Securityの検証では、仕込まれたAGENTS.mdに対し、OpenAIのCodexは9割を超える試行でマルウェアを実行した。指示は、設定ファイル「~/.codex/config.toml」を書き換えるものだった。一度書き換わると、あとの作業にも残る。

AnthropicのClaude Codeには、CLAUDE.mdを使った別の形が効いた。通信先を攻撃者のサーバに変えさせ、OAuthトークンを外に出させる。成功したのは、およそ半分だった。

「直すものは何もない」で、見方が割れた

Forever Securityは、ブログにこう書いている。「OpenAIやAnthropicが直すものは、ここには何もない」（訳）。フォルダの指示ファイルに従うエージェントは、作られたとおりに動いているだけ、という理屈だ。つまり、防ぐのは使う側だ、と。

ここが割れた。HFS ResearchのAkshat Tyagiは「これらのツールは、指示に従うことと、権限を与えることを、同じ行為として扱っている」と話した（訳）。設定を書き換えるような指示には、人の承認を別に取らせるべきだという主張だ。IDCのSakshi Groverも、指示ファイルがどこから来たのかを確かめ、信用できない場所のものは読み込む前に承認を求める作りにすべきだと話した。使う人の心がけではなく、ツールの作りを直せ、という側だ。

Anthropicの公式ドキュメントには、信用していないフォルダで起動すると、信用するかを聞く画面が出ると書いてある。ただし「-p」を付けて動かすときは、その確認も、MCPサーバの承認も出ないとも書いてある。

Forever Securityが挙げた防ぎ方は、地味だ。ダウンロードフォルダでエージェントを起動しない。自分が書いていないAGENTS.mdやCLAUDE.mdがないか見る。承認を求める設定とサンドボックスを切らない。心当たりがあれば、トークンを捨てて入れ替える。

ネットの評判

日本では、技術者が読むサイトで解説が相次いだ。Zennの投稿は「シンプルな.mdファイルでも、マルウェアの疑いを持つべき」と書き、セキュリティの学び直しが必要だと訴えた。Qiitaの記事は、ダウンロードフォルダやその親フォルダでエージェントを起動しないこと、作業用のフォルダを別に作って必要なファイルだけ移すことを勧めている。「–dangerously-」で始まるような、承認を飛ばす指定を外さないようにとも書いていた。正面から「騒ぎすぎだ」と言う声は、確かめられた範囲では見つからなかった。警戒する側の声が目立つ。

では、どれくらいの人が、あの場所でエージェントを動かしているのか。Forever Securityが自社の利用データを見たところ、ダウンロードフォルダからClaude Codeを起動したセッションは、1,300回を超えていた。