Markdownが新たな実行ファイルに：攻撃者はWebからDownloadsフォルダへエージェント指示を配置する

作業フォルダの指示ファイルが攻撃経路に

Forever Securityは2026年10月22日、顧客端末のDownloadsフォルダで、AIコーディングエージェントを不正操作へ誘導する悪意あるAGENTS.mdを検知したと報告しました。

同社によると、Codexは作業フォルダ内のAGENTS.mdを通常のプロジェクト指示として読み、悪意あるnpmパッケージ「function-color」を導入する設定変更を試みました。

顧客環境では同社が導入を阻止し、悪性コードが実行される前に停止したとしています。

その後の隔離環境での再現試験では、Codexが攻撃側の指示に従い、端末全体で使われる設定ファイルへ不正なMCPサーバー登録を書き込む動作を確認したと報告しています。

同社はCodexで90％を超える試行が不正な処理へ進んだとしていますが、この数値はForever Security自身の試験結果であり、独立した製品評価ではありません。

Claude Code向けにはCLAUDE.mdでAPI接続先を変更させる別の手法を検証し、OAuthトークンが研究者側のサーバーへ送られる動作を確認したとしています。

Claude Codeの設定変更は試験の約半数で成立し、次回起動時やsubagent接続時に攻撃側が返したtool callを実行できたと報告しています。

攻撃は、エージェントが作業フォルダの指示ファイルを信頼する仕様と、ブラウザがDownloadsフォルダへファイルを保存できる動作の組み合わせを利用します。

実際の顧客端末へ悪意あるAGENTS.mdが到達した経路は確認されておらず、Webからの自動保存は同社が再現した可能性のある経路です。

Forever Securityは、DownloadsフォルダでCodex、Claude Codeなどのエージェントを起動しないよう求めています。

身に覚えのないAGENTS.mdやCLAUDE.mdを確認し、Codexでは~/.codex/config.tomlの不審なMCPサーバー登録や接続先変更を点検するよう案内しています。

Claude Codeではプロジェクト内の.claude/settings.jsonに、意図しないAPI接続先やproxy設定がないかを確認するよう案内しています。

承認確認とsandboxを有効に保ち、不審な指示ファイルを見つけた場合は認証tokenが漏えいしたものとして再発行することも推奨しています。

原文公開時点でOpenAIやAnthropicによる製品修正の発表はなく、Forever Securityは個別製品の不具合ではなくエージェント運用上の攻撃面だと説明しています。

原文

• Forever Security: Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web