仕事で使えるAIへ。
実際に手を動かしながら学べる3時間。
CodexやClaude Codeで、ダウンロードフォルダーをそのまま作業場所に指定すると危ないという注意喚起がネット上に上がっています。
攻撃者はネット上から不正なAGENTS.mdをダウンロードフォルダにダウンロードさせておき、利用者がダウンロードフォルダをAIの作業場所に指定することで不正な行動をAIに実行させようという攻撃です。
本記事では、ダウンロードフォルダーをAIに指定するリスクと、無害な指示ファイルを使った実演、利用時に押さえたい対策を解説します。
新しいコンテンツや、より詳細な解説を動画やショート動画でお届けしています。日々の情報収集にお役立てください。
ダウンロードフォルダーをAIの作業場所に指定するリスク
外部から届いたファイルが集まる場所だから
ダウンロードフォルダーには、Webサイトから保存したPDFや画像、ZIPファイルなどが集まります。Chromeの標準の保存先も、Windows・MacともにDownloadsフォルダーです。
「ここにあるファイルを整理して」とAIに任せると便利ですが、出所や内容を確認していないファイルまで作業対象に含めやすくなります。特に注意したいのが、AIの作業ルールを記述した指示ファイルです。
保存先をデスクトップなどに変更している場合も、外部ファイルの保存先とAIの作業場所が重なれば、同様の注意が必要です。
参考：Google Chromeヘルプ「ファイルをダウンロードする」
実際に不正な指示ファイルが見つかったという報告も
出典：Forever Security（ブラウザーの日本語翻訳表示）
2026年10月22日、セキュリティ企業のForever Securityは、顧客のDownloadsフォルダーで悪意あるAGENTS.mdを発見したと報告しました。この事例では、AIがその指示に従って悪意あるソフトを導入しようとし、同社の防御によって阻止されたとしています。
出典：Forever Security（ブラウザーの日本語翻訳表示）
顧客の環境にファイルが入った経路は不明です。一方、研究者はWebサイトから指示ファイルを保存させる経路を検証し、CodexとClaude Codeを対象とした実験で、コードの実行や認証情報の漏えいも報告しています。
出典：Forever Security「Markdown Is the New Executable」
AGENTS.md・CLAUDE.mdとは？普通の文章が指示になる仕組み
AIに共通の作業ルールを伝えるファイル
CodexやClaude Codeには、プロジェクトの作業ルールをファイルから読み込む機能があります。例えば「日本語で説明する」「変更後にテストする」などを記載し、毎回チャットで説明する手間を減らせます。
| AIツール | 代表的な指示ファイル | 主な用途 |
|---|---|---|
| Codex | AGENTS.md |
説明の方針やプロジェクトの作業ルールを伝える |
| Claude Code | CLAUDE.md |
プロジェクトの構成や共通の作業手順を伝える |
.mdは、見出しや箇条書きを表現できるMarkdown形式のテキストファイルです。これらの名前のファイル自体が不正なのではなく、誰が用意し、何を指示しているかが重要です。読み込む場所やファイル名には、製品・バージョン・設定による違いがあります。
参考：OpenAI公式「Custom instructions with AGENTS.md」
参考：Claude Code公式「How Claude remembers your project」
外部の文章を作業指示として扱うことが問題
正規の作業ルールに見せかけて悪意ある指示を混ぜると、AIが利用者の意図とは異なる行動へ誘導されるおそれがあります。このように、外部の文章などでAIの動作を誘導する攻撃をプロンプトインジェクションと呼びます。
今回注意したい流れは、次のとおりです。
- Webサイトなどから、AI向けの指示ファイルが保存される
- 利用者が、そのファイルを含むフォルダーをAIの作業場所に指定する
- AIが指示ファイルを読み込み、書かれた内容を作業ルールとして扱う
- 悪意ある指示に従うと、意図しない操作につながる
通常のMarkdownファイルは、保存しただけで、そこに書かれた命令がプログラムのように実行されるものではありません。また、すべての.mdファイルが自動的に指示として読み込まれるわけでもありません。
無害な指示ファイルでAIの返答が変わるか検証
下記のYouTube動画(2:18秒〜)で実際にサイトにアクセスしただけでAGENTS.mdやCLAUDE.mdがダウンロードされ、ダウンロードフォルダを指定して動作が変わるかを検証しました。
挨拶への返答に、ファイルの指示が反映された
今回の実演では、AGENTS.mdとCLAUDE.mdに、冒頭で冗談のセリフを言うよう、次の指示を記載しました。
ソフトの導入や外部への情報送信を求める内容は含めていません。ファイルがあるフォルダーを作業場所に指定し、Codexへ「おはよう」と入力すると、返答の冒頭に「あなたのAIをハッキングしました！」という冗談が入りました。
Claude側の実演画面でも同様の返答があり、DownloadsフォルダーのCLAUDE.mdに書かれていた内容に従った、と説明しています。チャットに入力した挨拶に加え、フォルダー内の指示が返答に影響した様子が分かります。
この実演でパソコンの乗っ取りを証明したわけではない
今回確認したのは、指示ファイルの文章が返答に反映されたことです。パソコンの乗っ取り、機密情報の窃取、危険な命令の実行は検証していません。研究者による攻撃実験と、この冗談を使った実演は区別して捉えてください。
また、サイトからの自動ダウンロードはブラウザーや設定によって動作が変わります。「保存前の確認画面が出ない」ことと「ダウンロードの通知も出ない」ことは別であり、どの環境でも同じ結果になるわけではありません。
AIの作業フォルダーを使うときの対策
ダウンロード先とは別に、作業ごとのフォルダーを用意する
まずは、ダウンロードフォルダー全体を渡す運用を見直しましょう。例えば「AI作業用／請求書整理」のように、作業ごとのフォルダーを用意し、確認した必要なファイルだけをコピーします。
Downloadsの中に子フォルダーを作るだけでは十分とは限りません。Claude Codeでは作業場所の上位フォルダーにある指示ファイルも読み込まれるため、ダウンロード先とは別の場所に作業フォルダーを用意します。
参考：Claude Code公式の指示ファイル読み込み仕様
作業対象を絞ることは、誤って関係のないファイルを編集・削除する影響を小さくするうえでも役立ちます。
見覚えのない指示ファイルと、不要な権限の拡大に注意する
作業を始める前に、AGENTS.mdやCLAUDE.mdなどの出所と内容を確認します。外部から取得したフォルダーやZIPファイルを、そのままAIに渡す場合も同様です。
- 自分や信頼できる人が用意した作業ルールか確認する
- 不明なソフトの導入や通信先の変更を求める内容に注意する
- 確認や承認を省くよう求められても、そのまま受け入れない
フォルダーの中身を確認しても、AIの操作権限を必要以上に広げないことが大切です。重要なファイルはバックアップやコピーを用意し、変更内容を確認できる状態で作業しましょう。
Chromeでダウンロード前の保存場所確認をオンにする
見覚えのないファイルの保存に気づくため、Chromeでは保存場所を毎回確認する設定も利用できます。
- Chrome右上のメニューから「設定」を開く
- 「ダウンロード」を選ぶ
- 「ダウンロード前に各ファイルの保存場所を確認する」をオンにする
参考：Google Chromeヘルプ「ダウンロードの保存先を変更する」
これは保存に気づくための補助的な対策です。確認画面を通したファイルの安全性を保証する機能ではないため、保存後も出所や内容を確認しましょう。
まとめ
今回は、ダウンロードフォルダーをAIの作業場所に指定するリスクと対策をご紹介しました。外部から届いた指示ファイルが、自分の意図しない作業ルールとして扱われる可能性を意識しておきましょう。
個別指導形式のスクールでは、自分の知りたいことをピンポイントで学習・達成でき、自分で更新もできるというメリットもあります。
教室の無料事前相談もしておりますので、まずはお気軽にご登録ください。
YouTubeチャンネル開設しました！
最大月間50万PVの当ブログをベースに、Youtube動画配信にてWordPress、ホームページ作成、ブログのことについてお役立ち情報を随時配信していきます。
ご興味ある方はぜひチャンネル登録をしていただけますと幸いです。