11月9日、My Electric Sparksが「Planted AGENTS.md File In Downloads Folder Turns AI Coding Agents Into Malware Installers」と題した記事を公開した。ダウンロードフォルダに仕込んだ単一のテキストファイルが、CursorやClaude CodeといったAIコーディングエージェントをマルウェアインストーラに変える攻撃手法が、実機環境で確認された。セキュリティ企業Forever Securityの調査では、顧客の約半数がDownloadsフォルダ内でコーディングエージェントを起動しており、実際の顧客テレメトリにもその痕跡が残っていた。エクスプロイトコードも脆弱性も不要で、テキストファイル1つで成立するこの攻撃は、AIエージェントが広く普及した現在において無視できないリスクだ。
Downloadsフォルダに置くだけで成立する攻撃
攻撃の仕組みは単純だ。AIコーディングエージェント（Cursor、Codex、Claude Codeのような、自律的にコードを読み書き・実行するAIツール）は、起動時に作業ディレクトリ内のAGENTS.mdやCLAUDE.mdといった設定ファイルを自動的に読み込み、その指示に従う。この仕様自体は正常な動作だ。
問題は、ブラウザがユーザーの確認なしにDownloadsフォルダへファイルを書き込めるという事実にある。ChromeもEdgeもFirefoxも、デフォルトではDownloadsフォルダへの保存に追加の許可を求めない（BraveはDownloadsフォルダへのアクセスを確認する点で例外）。攻撃者が仕掛けたWebページを開くだけで、AGENTS.mdという名前のファイルが静かにDownloadsフォルダへ落とされる。
ユーザーがそのフォルダをエージェントの作業ディレクトリとして起動した瞬間、エージェントは植え付けられた指示を「正規の設定」として読み込み、実行する。
実機で確認された攻撃チェーン
Forever Securityが実際の顧客マシンでこの攻撃を観測し、その後隔離された仮想マシン上で再現実験を行った。
OpenAI Codexを標的にした実験では、植え付けられたAGENTS.mdの指示に90%以上の確率でエージェントが従った。なお、ここで言う「OpenAI Codex」は2025〜2026年時点でOpenAIが提供するコードエージェント製品（旧来のコード補完APIとは別物）を指す。Codexという名称は過去のAPIサービスでも使われており、文脈に注意が必要だ。ハーミレスなテストとして電卓アプリを起動させることに成功。本番シナリオでは、ファイルはエージェントに「プロジェクトツールサーバーを追加せよ」と指示し、そのサーバーが悪意あるパッケージをインストールした。さらに厄介なのは、その設定変更がマシン全体の設定ファイルに書き込まれた点で、セッション終了後もマルウェアが残存する構造になっていた。
Claude Codeはより堅牢だったが、CLAUDE.mdを使った別の手口が約50%の確率で成功した。植え付けられたファイルがClaudeのAPIトラフィックを攻撃者のサーバーへ向けるよう設定を書き換え、エージェントのログイントークンを窃取。そのサーバーがモデルになりすまし、ツール呼び出しを返すことでコード実行まで繋げた。
※編集部の考察：90%・50%という数字はいずれもForever Securityが実施した再現実験に基づくものだ。元記事にはサンプルサイズや試行回数の詳細が明示されておらず、この確率はあくまで同社の実験環境における結果として参照する必要がある。広範な条件下での再現性については今後の独立した検証が待たれる。
被害が広がりやすい理由
Forever Securityの顧客テレメトリによれば、顧客の約半数がDownloadsフォルダ内でコーディングエージェントを起動している。Claude Codeだけでも、そのフォルダから1,300セッション以上が起動されていた。フォルダを整理したり、ダウンロードしたばかりのファイルをすぐ処理したりするために、Downloadsフォルダをそのまま作業ディレクトリにする使い方は一般的だ。
この攻撃に現時点でパッチはない。エージェントは「設計通りに」動作しているからだ。テキストファイルはウイルススキャナにも引っかからず、エクスプロイトコードも不要。ファイルを信頼するエージェントの仕様そのものが攻撃面になっている。
今すぐできる対策
記事がまとめる対策は以下の通りだ。
- エージェントはプロジェクト専用フォルダで起動する。DownloadsフォルダやデスクトップなどをそのままCWDにしない
- エージェントの設定ファイルに自分で追加した覚えのないMCPサーバーエントリや外部APIエンドポイントがないか確認する
- エージェントの承認プロンプトとサンドボックス保護は常にオンにしておく
- 自分で作成していないファイルが作業ディレクトリにある場合、内容を確認してからエージェントを起動する
ランサムウェア攻撃でも同じ入口が悪用されてきた経緯があり、AIエージェントが広く普及するにつれてこの種の「信頼ファイル汚染」攻撃の手口は増えると考えられる。
関連リンク
- Forever Security: Hijacking AI Agents via Downloads Folder — 本攻撃を最初に顧客環境で観測・再現したレポート
- Anthropic: Claude Code ドキュメント（CLAUDE.md の仕様） — エージェントが読み込む設定ファイルの公式解説
- OpenAI Codex（エージェント製品）公式ページ — 本記事で言及されているCodexの現行製品情報
詳細はPlanted AGENTS.md File In Downloads Folder Turns AI Coding Agents Into Malware Installersを参照していただきたい。
