悪意のあるAGENTS.mdでAIエージェントを操作、不正なnpmパッケージの導入を誘導

Downloadsフォルダー内の悪意のある指示ファイル、AIコーディングエージェントに不正な操作を誘導

Forever Securityは、顧客のDownloadsフォルダーに保存されていた悪意のある「AGENTS.md」がAIコーディングエージェントに読み込まれ、悪意のあるnpmパッケージ「function-color」のインストールを試みた事例を確認した。AGENTS.mdは、エージェントが使用するツールやテスト手順、コーディング規則などを記述する、プロジェクト単位の指示ファイルだ。今回の事例では、Downloadsフォルダーがエージェントの作業ディレクトリに設定されており、エージェントはそこに置かれたAGENTS.mdを自動的に読み込んでいた。攻撃者はファイルそのものを実行させるのではなく、信頼できない場所にあるテキストを作業指示として扱うエージェントの動作を悪用した。

悪意のあるファイルが顧客のDownloadsフォルダーに保存された経緯は明らかになっていない。ただし、研究者らは、Webページへのアクセスをきっかけに「AGENTS.md」という名前のファイルをDownloadsフォルダーへダウンロードさせる概念実証を作成した。BleepingComputerが確認したファイルには、無害な文字列のみが含まれていた。Chrome、Edge、Firefoxでは、既定の設定でファイルが同フォルダーに保存され、ダウンロード通知が表示された。一方、研究者らが検証したBraveなど一部のブラウザーでは、ダウンロード前に利用者の承認が求められた。このため、Webページからファイルを保存できることと、利用者が気づかないうちに保存されることは区別する必要がある。

また、ファイルが保存されただけで攻撃が成立するわけではない。標的となる利用者が同じフォルダーを作業ディレクトリとしてコーディングエージェントを起動し、悪意のある指示ファイルが読み込まれることが前提となる。Forever Securityによると、同社が調査した顧客のうち数百人がDownloadsフォルダーからClaude Code、OpenAI Codex、Cursor CLIなどを実行しており、Claude Codeのセッションだけでも同フォルダーから1,300回以上開始されていた。ダウンロードしたファイルを整理するような日常的な作業でも、こうした条件が重なる可能性がある。

研究者らは、電卓アプリを起動するだけの無害なペイロードを使用してOpenAI Codexで攻撃を再現し、実験では90％の成功率を記録した。これとは別に実施されたClaude Codeの実験では、悪意のある「CLAUDE.md」を通じてAPI通信が研究者らの管理するサーバーへ転送され、その過程でOAuthトークンが漏えいした。さらに、モデルになりすましたサーバーが返したコード実行ツールの呼び出しは、テストの約50％で受け入れられた。90％と50％という数値は異なる条件で行われた実験の結果であり、実際の環境における侵害率を示すものではない。

今回の事例では、AIコーディングエージェントがどのディレクトリに置かれた指示ファイルを信頼するのか、またツールや認証情報へのアクセスをどこまで許可するのかが、セキュリティ上の重要な論点となっている。OpenAIとAnthropicは、ホームディレクトリやDownloadsフォルダーのようにさまざまなファイルが混在する場所ではなく、実際のプロジェクトルートからエージェントを起動するよう推奨している。また、見覚えのないAGENTS.mdやCLAUDE.mdの有無を確認し、操作の承認要求やサンドボックスによる保護を維持することも重要となる。OAuthトークンが漏えいした場合、攻撃者が有効な認証情報を悪用する可能性があるため、不正なパッケージのインストールを防げたとしても、それだけで情報漏えいなどのリスクが解消されたとは判断できない。