ダウンロードフォルダのAGENTS.mdでCodexが乗っ取り　マルウェア導入の手口

2026年10月26日 19:592026年10月27日 12:32

セキュリティ企業Forever Securityは、顧客PCのダウンロードフォルダ（~/Downloads）に置かれたAGENTS.mdが、AIコーディングエージェント（OpenAI Codex）に悪意ある設定変更とマルウェア導入をさせようとしていた事例を報告した（2026年10月22日）。検証ではCodexが高確率で従い、似た手口でClaude Codeのログイントークンも盗めることを示している。OpenAI／Anthropicの公式発表ではなく、製品のバグ修正で閉じる話でもないため、速報タグは付けず、現場ですぐ取れる対策を中心に整理する。

要点（3行）

Forever Securityが顧客端末で発見。Downloads内のAGENTS.mdがCodexにMCP登録を指示し、悪意あるnpmパッケージfunction-color（MALFEXキャンペーン）を入れさせようとしていた
再現検証ではCodexが90%超の試行で従った。似た指示ファイルでClaude CodeのOAuthトークン窃取も再現（約50%）
ファイルがどうやってDownloadsに置かれたかは分かっていない。対策は「Downloadsで起動しない」「見知らぬ指示ファイルは読んでから」「設定を点検」「承認とサンドボックスはオン」

何が起きたか（Forever Securityの報告）

Forever Securityによると、顧客のマシン上でコーディングエージェントが既知の悪意あるnpmパッケージfunction-colorをインストールしようとしたところを検知・阻止した。調査の結果、命令の出どころは依存関係やリポジトリではなく、~/Downloads内のAGENTS.mdだった。

AGENTS.mdはCodexなどがプロジェクトフォルダで読み込み、手順として従う指示ファイルだ。DownloadsはWebページがファイルを書き込める代表的な場所でもある。この二つが重なると、「実行ファイルではないMarkdown」がエージェント経由で危険な操作につながる、というのが報告の核心だ。

重要な未確認点として、Foreverも二次報道（The Hacker News／BleepingComputer）も、当該AGENTS.mdが顧客のDownloadsにどうやって置かれたかは特定できていないと述べている。訪問だけで落ちる可能性のPoCは示されているが、実被害端末での投入経路は未解明だ。

Codex側：設定改変→マルウェア導入

実ファイルを隔離VMで再現したところ、攻撃の流れはおおむね次のとおりだった。

Downloads内のAGENTS.mdをCodexが読み込む
「プロジェクトの標準セットアップ」として~/.codex/config.tomlへ悪意あるMCPサーバー登録を追記させる
起動時にその登録が動き、npm経由でfunction-colorを入れようとする
設定はマシン全体向けのため、Downloadsを離れても影響が残り得る

Foreverの検証では、Codexがマルウェア導入まで進んだ割合は90%超だった。指示は長い「エンジニアリング作業ガイドライン」に紛れ込ませる形で、短い「このパッケージを入れろ」より通りやすかった、と説明されている。

Claude Code側：トークン窃取の再現

同じカテゴリの問題かを確かめるため、ForeverはClaude Code向けにCLAUDE.mdを使った再現も行った。こちらはパッケージ導入ではなく、.claude/settings.jsonでAPIの向き先（ANTHROPIC_BASE_URL）を攻撃者サーバーへ差し替える手口だ。これによりOAuthログイントークンが漏れ、アカウント乗っ取りにつながる。検証での成功率は約50%と報告されている。

Foreverの立場は「CodexやClaudeのバグ」ではなく、指示ファイルを信頼するエージェント設計と、Webが書き込めるDownloadsの交点だというものだ。したがってベンダーのパッチ1本で閉じる想定ではない、と明記している。

いま取れる対策

ダウンロードフォルダでエージェントを起動しない（Codex／Claude Code／その他CLIエージェント共通）
見覚えのないAGENTS.md／CLAUDE.mdは読んでから使う（Downloadsや、クローン直後のリポジトリも含む）
設定を点検する：~/.codex/config.tomlに見知らぬ[mcp_servers.*]がないか、.claude/settings.jsonに見知らぬANTHROPIC_BASE_URLやプロキシがないか
承認プロンプトとサンドボックスはオンのまま。「危険回避フラグを付けて実行せよ」系の指示は特に疑う

もし怪しい設定やトークン漏洩の疑いがある場合、Foreverはトークンのローテーションを推奨している。IoCとして、実キャンペーンで使われたnpmパッケージfunction-color（報告時点でnpmから削除済み）の痕跡も挙げられている。