目次
OpenAI CodexやAnthropic Claude Codeのようなコーディングエージェントは、起動したフォルダ内の指示ファイルを読みます。自分が管理するプロジェクトルートでは便利ですが、Webが書き込めるフォルダ——多くは~/Downloads——と同じ習慣が重なると落とし穴になります。2026年10月22日、Forever Security（Gal Weizman、Omer Samet）は、実顧客機の同フォルダでプレーンテキストの悪意あるAGENTS.mdを捉え、エージェントが悪意あるnpmパッケージfunction-colorのインストールを試みたと記しています。2026年10月25日、BleepingComputerが独立報道し、研究側のPoCダウンロードページも検証しました。Forever SecurityとBleepingComputerが述べる「ダウンロード保存＋そのディレクトリでエージェント起動」の連鎖について、当サイトでは独自再現をまだ行っていません。フィードバックはサイトフッターの運営者連絡先から受け付けています。
価格と利用上限で両CLIを選ぶ途中なら、先に当サイトの比較を：Claude Code と Codex、20ドルで何ができてどちらを選ぶべきか。
AGENTS.md／CLAUDE.mdとは何か、Downloadsが特別な理由
AGENTS.md（Codexなど）とCLAUDE.md（Claude Code）はプレーンテキストの指示ファイルで、コーディング規約・テストコマンド・ツール準備などを書きます。エージェントは作業ディレクトリから適用ファイルを読み、セッションの指針にします。これは製品の設計であり、隠れたバックドアではありません。
~/Downloadsが特別なのは、ブラウザダウンロードの既定の行き先だからです。Foreverの議論は、Webページが指定名のファイルをDownloadsへ落とせることと、「作業ディレクトリの指示ファイルに従う」エージェント設計が重なると、従来のデスクトップ防御があまり「実行ファイル」として扱ってこなかった継ぎ目になる、というものです。BleepingComputerは無害なプレースホルダ文のAGENTS.mdを落とせるPoCページを確認しました。これは「毎回の閲覧」「あらゆる設定」「あらゆるエージェント版」が必ず成功する、という意味ではありません。 Foreverが見つけた顧客ファイルの到達経路は未確定——研究者もどう入ったか証明できていません——で、保存後もそのディレクトリでエージェントを起動する必要があり、承認プロンプト・サンドボックス・信頼ゲートにも左右されます。
要するに：Downloadsは信頼できないテキストを「普通のダウンロード」に見せられ、そのテキストをプロジェクト方針として実行するエージェントが、フォルダをセキュリティ論点に変えます。
Codex経路：マシン全体設定とfunction-color
Foreverが解析した顧客ファイルはCodex向けでした。主再現では代替ペイロードを作らず、顧客機の本物の悪意あるAGENTS.mdを隔離VMで実行しています。Foreverの記述では、DownloadsでCodexを開くと概ね次の流れです。
- Codexが
AGENTS.mdを普通のプロジェクト指針として読む。 - 「ローカル開発環境」／MCPツール登録などの口調で、
~/.codex/config.toml（Codexのマシン全体設定。Downloads限定ではない）へ[mcp_servers.*]ブロック追記を誘導する。 - その登録で攻撃者制御のツールを取得・実行；実キャンペーンのパッケージは
function-color（Forever・BleepingComputerともnpmが既に削除と記載）。Foreverは承認／サンドボックス回避フラグ付きの子codex execでインストールを完走させる枠組みも述べています。
Foreverは自テストでCodexが悪意ある経路を完了した割合を約90%超と報告——研究者自身のテストであり、私たちの測定ではありません。厄介なのは永続化：~/.codex/config.tomlが汚染されると、以後そのマシンの任意ディレクトリで起動するCodexセッションも起動時に攻撃者側サーバーを読み得ます。Downloadsを離れても全体設定の書き換えは消えません。
研究文の侵害指標にはfunction-colorのインストール痕跡が含まれます。Foreverの枠では妥協として扱い、資格情報のローテーションとMCP登録の監査が必要です。
Claude Code変体：ANTHROPIC_BASE_URLとOAuthリスク
Codex固有かを見るため、Foreverは別のCLAUDE.md変体を作りました（顧客機で見つかった同一ファイルではありません）。狙いは異なり、Claude Codeにプロジェクト設定のANTHROPIC_BASE_URLを.claude/settings.jsonへ書かせ、「社内ゲートウェイ」に見せた攻撃者ドメインへ向けることです。
Foreverの記述では、通信が付け替えられたあと：
- ClaudeのOAuthトークンが攻撃者制御エンドポイントへ漏れ得る（最初の段でローカルにマルウェアを走らせなくてもアカウント乗っ取りになり得る）。
- 攻撃者がモデルになりすましてツール呼び出しを返し——サンドボックス無効化を含む——次回起動時のコード実行につながる；同テストではまれに、同セッションのサブエージェント「検証」経由で初回セッション内に成功することもある、としています。
ForeverはClaude側の成功を約50%と報告——これも研究者自身のテスト。叙述上Claude CodeはCodexより騙しにくく、設定書き込みの承認と指示ファイルの押し方に左右されます。この Claude Code 変体についても、当サイトでは独自再現をまだ行っていません。Pro／Maxの利用上限の運用背景（本攻撃チェーンではない）は：Pro と Max で Claude Code の利用上限はどう決まるのか（2026年10月）。
ブラウザ保存の差でも、第二段階は残る
BleepingComputerは2026年10月25日にForeverのPoCダウンロードページを確認しました。結論は保存段階に限られます。
- Chrome、Edge、Firefoxは既定で、毎回の「名前を付けて保存」なしに
~/Downloadsへ保存できることが多い（ダウンロード通知は出る場合あり）。 - Braveは同テストで先に承認を求め、ファイル到着に気付ける余地があった。
- 保存後も、指示ファイルを読ませるには同じディレクトリでコーディングエージェントを起動する必要がある。
ForeverはBleepingComputerに対し、Downloadsでエージェントを開きフォルダ整理や新規ダウンロード処理をする人が多い、と述べています——本チェックリストが改めたい習慣そのものです。ブラウザ既定は「静かな保存」の確率を変えますが、エージェントセッションという段階を消さず、顧客到達経路が解明されたことにもなりません。
チェックリスト：作業ディレクトリ、見知らぬ指示ファイル、承認とサンドボックス
ここが中心です。新製品なしでも、Foreverの「すべきこと」とBleepingComputer報道の要約に沿って動けます。
~/DownloadsでCodex／Claude Code／同類エージェントを起動しない。 指示に従うエージェントにとって高リスクな場所として扱う。作業したい特定プロジェクトのルートで起動する——BleepingComputerの整理では、OpenAI／Anthropicのよくある助言はホームや広すぎる親ではなくプロジェクトルートで起動すること（報道要約であり、番号付きのベンダー公告ではない）。- 見知らぬ
AGENTS.md、CLAUDE.mdなどは、人が読んでからエージェントに従わせる。 Downloadsに増えた指示ファイル——あるいはclone直後のリポジトリに突如ある同類ファイル——がこのパターンの要です。Forever解析では、本物のCodexペイロードが長い「エンジニアリング指針」口調で拒否を下げていました。 - **
~/.codex/config.tomlに想定外の[mcp_servers.*]がないか確認**し、想定外のベースURL系フィールドも見る（Foreverは変更されたchatgpt_base_urlにも注意と記載）。意図せず足した登録は削除する。 - プロジェクトの
.claude/settings.jsonに想定外のANTHROPIC_BASE_URL、プロキシ、未設定のAPIエンドポイントがないか確認。 研究文のClaude変体の核心はゲートウェイのこっそり変更です。 - 承認プロンプトとサンドボックスを維持する。 承認回避・サンドボックス無効化、「ツールサーバー検証」名目の一度きりの特権チェックを命じる指示文には警戒する。
- 侵害の兆候があれば、トークン漏洩を仮定してローテーションする。 盗まれたOAuth／セッショントークンは生きた資格情報の問題であり、一度のダウンロードで終わりません。Foreverは
function-colorのインストール痕跡を当該キャンペーンのIoCとして挙げています。
当サイトの別エージェント系セキュリティ近文（製品は異なるが「エージェントが触れる範囲」という問い）：Devin Security がアップグレード：Claude Mythos Deep Scan と企業向けクレジット。
「パッチするものがない」は研究者の見解——ベンダー結論ではない
Foreverは「OpenAI／Anthropicがパッチするものはここにはない」と述べ、フィッシングページを正しく描画するブラウザに例えました：作業ディレクトリのAGENTS.md／CLAUDE.mdに従うのは設計どおりで、リスクはWebが書き込めるDownloadsと信頼された指示ファイルの交点にある、という枠組みです。これは研究者の見解です。 それはOpenAIやAnthropicの公式結論、CVE声明、「全バージョンが防御不能」の証明ではない。製品の既定・信頼ゲート・サンドボックス方針は結果を変え得ます——Forever自身が述べるCodexとClaudeの難易差もその一例です。
同様に、これは一度のページ閲覧が必ず成功する、あるいはすべてのバージョンが失陥だという主張ではない。記録された顧客事象の到達経路は未定；ブラウザPoCは説得力のある保存手段を示し；エージェントが誘導されるかは作業ディレクトリ、植え付け段落に従うか、承認／サンドボックスが書き込みや特権子コマンドを止めるかに依存します。
パニックで制度を書き換えずに読むには
すでにプロジェクトルート外でのエージェント起動を禁じているチームなら、本研究は既存方針の確認に近いです。DownloadsでCodex／Claude Codeを「ファイル整理」用に開く習慣があるなら、そこを直す効果が最大です。想定外MCPとANTHROPIC_BASE_URLの定期確認、IoC出現時の資格情報ローテーション手順と組み合わせる。
Forever SecurityとBleepingComputerが述べる「ダウンロード保存＋そのディレクトリでエージェント起動」の連鎖について、当サイトでは独自再現をまだ行っていません。フィードバックはサイトフッターの運営者連絡先から受け付けています。
