CyberArk、DLフォルダでのAIエージェント実行に警告

イスラエルのセキュリティ企業Reboraは2026年10月28日、ユーザーのダウンロードフォルダに配置された悪意ある設定ファイルを通じて、Claude Code（Anthropicが提供する端末操作・コーディング向けAIエージェント）やCodex（OpenAIのコード生成・実行支援モデル）などのコーディングエージェントが悪用される新たな攻撃手法を確認したと発表した。

攻撃者がWeb経由で送り込んだ指示ファイルにより、エージェントが意図せずマルウェアを導入したり認証トークンを外部送信したりする恐れがあるとして、ダウンロードフォルダ配下でエージェントを起動しないよう強く注意喚起している。

AGENTS.md悪用によるプロンプトインジェクションの仕組み

今回の攻撃は、コーディングエージェントがカレントディレクトリやプロジェクト内の指示ファイル（AGENTS.md や CLAUDE.md）を自動的に読み込んでコンテキストを構築する正規の仕様を突いたものだ。

Webブラウザの動作環境によっては、ユーザーが明確な保存操作を行わなくても特定のファイルがダウンロードフォルダ（~/Downloads）へ自動保存される場合がある。攻撃者はこの挙動を利用し、悪意ある命令を記述した AGENTS.md を事前配置する。

対象エージェント	悪意ある指示の実行率	主な潜在被害
OpenAI Codex	90%以上	構成改ざん、外部APIキー送信
Anthropic Claude Code	約50%	マルウェア導入、トークン漏洩

エージェント自体は仕様通りにローカルファイルを読み込んでいるだけであるため、AIベンダー側のモデル修正だけでは防ぎにくい構造的なリスクとなっている。

開発現場における推奨防御策

Reboraは開発者や企業システム管理者に対し、以下の具体的対策を講じるよう求めている。

• ダウンロードフォルダ直下や未整理の作業ディレクトリでCLIエージェントを起動しない
• 意図せず配置された AGENTS.md や CLAUDE.md、未知のMCPサーバー設定が存在しないか定期点検する
• エージェントのシェルコマンド実行時にユーザー承認を必須化するサンドボックス設定を有効化する
• 不審な動作を確認した場合は、関連するAPIキーやOAuthトークンを直ちに失効・再発行する

日本の開発者への影響と分析

日本国内でもターミナル上で自律的に動作するAIエージェントの利用が急速に拡大している。手軽さから「ダウンロードしたリポジトリを展開せずに直接コマンドを叩く」といった運用を行っている開発者も多く、今回の攻撃経路は現実的な脅威となり得る。エージェント実行環境の隔離（コンテナや専用VMの活用）が標準的なセキュリティ要件として求められる段階に入ったといえる。

引用元：ITmedia AI＋