悪意のAGENTS.md、AIコーディングエージェントを不正パッケージ導入に誘導
Forever Securityの研究者が、ダウンロードフォルダ内のAGENTS.mdを悪用しAIエージェントに不正なnpmパッケージを導入させる手法をOpenAI CodexとClaude Codeで再現したと報告した。
セキュリティ研究企業Forever Securityの研究者は、ダウンロードフォルダに置かれた悪意あるAGENTS.mdファイルによってAIコーディングエージェントが不正なnpmパッケージ「function-color」を導入しようとする事例を確認し、OpenAI CodexとClaude Codeで攻撃を再現したと報告した。BleepingComputerが報じた。
研究者によると、問題のAGENTS.mdファイルは顧客のダウンロードフォルダから見つかった。研究者はこの攻撃をOpenAI Codex上で再現し、約90％のテストで電卓アプリが起動したという。
関連する手法として、悪意あるCLAUDE.mdファイルを使い、Claude CodeのAPI通信を研究者が管理するサーバーへ転送する実験も行った。このテストではOAuthトークンが露出し、約50％のテストでサーバー側がツール呼び出しを実行した。
研究者はまた、AGENTS.mdファイルをダウンロードフォルダへ無言で保存する実証ページを公開した。同社の内部統計では、数百の顧客がClaude Code、OpenAI Codex、Cursor CLIなどのエージェントを「~/Downloads」フォルダから実行しており、Claude Codeのセッションは同フォルダから1,300件以上起動されていた。
研究者は、AIコーディングエージェントの作業ディレクトリに「~/Downloads」を設定しないよう利用者に呼びかけている。OpenAIやAnthropicによる修正の必要はないという立場で、エージェントは設計どおりに動作しているにすぎないと説明している。
MDファイルが読み込まれる仕組み
AGENTS.mdなどのMarkdownファイルには、AIコーディングエージェント向けに使用ツールやテストコマンド、コーディング規約などのプロジェクト固有の指示が記述される。エージェントは作業ディレクトリ内の該当ファイルを自動的に読み込む。Chrome、Edge、Firefoxなどのブラウザーは保存先を確認せずにダウンロードファイルを「~/Downloads」へ保存し、Braveはダウンロードの承認を求める。悪意ある指示ファイルがどのように対象の「~/Downloads」へ置かれたかは特定できなかったと研究者は述べている。
よくある質問
AGENTS.mdを悪用した攻撃はどのAIエージェントで確認されましたか？
Forever Securityの研究者はOpenAI CodexとClaude Codeで攻撃を再現しました。Codexでは約90％のテストで電卓アプリが起動し、Claude CodeのテストではOAuthトークンが露出しました。
この問題はOpenAIやAnthropicが修正しますか？
研究者は、エージェントが設計どおりに動作しているためOpenAIやAnthropicが修正すべき点はないと述べています。
利用者は何に注意すればよいですか？
研究者は、AIコーディングエージェントの作業ディレクトリに「~/Downloads」を設定しないよう勧めています。