Claude CodeやCodexなど、プログラムの作成や修正を手伝ってくれるAIエージェント。ファイルの編集やコマンドの実行まで任せられるため、仕事の進め方が変わりつつあります。
便利に使うために、まず決めておきたいのが「どのフォルダで作業させるか」です。
ダウンロードフォルダを、AIエージェントの作業場所にしない。
その理由は、外部から届いた文章が、AIへの作業指示として扱われてしまう可能性があるからです。今回は、難しい仕組みを知らなくても実践できる対策を紹介します。
AIが読む作業メモが攻撃の入口になる
AIエージェントには、プロジェクトの作業ルールをファイルから読み込む機能があります。代表的なものが、Codexの「AGENTS.md」やClaude Codeの「CLAUDE.md」です。
たとえば、「修正後にテストを行う」「このフォルダに成果物を保存する」といったルールを、毎回入力せずに伝えるために使います。OpenAIの公式ドキュメントでも、Codexが作業前にAGENTS.mdを読み込む仕組みが説明されています。[1]
人に例えるなら、作業机に置かれた手順書です。正しい手順書なら仕事が進みます。しかし、誰かが勝手に置いた手順書だったらどうでしょうか。
「作業の前に、このツールを追加してください」「接続先を変更してください」と書かれていても、本当に必要な準備とは限りません。
文章の内容を理解できることと、その指示に従ってよいことは別です。
なぜダウンロードフォルダに注意が必要なのか
ダウンロードフォルダには、Webサイトから取得した資料や、出所を確認していないファイルが集まります。自分で管理するプロジェクトフォルダよりも、外部の内容が入り込みやすい場所です。
そこにAI向けの指示ファイルが紛れ込み、その場所でAIエージェントを起動すると、外部の文章が作業ルールとして読み込まれるおそれがあります。
危険につながる流れは、次のようなものです。
- ダウンロードフォルダに、不審な指示ファイルが入る。
- その場所でAIエージェントを起動する。
- AIがファイルを作業手順として読み込む。
- 与えられた権限や承認の範囲で、ツールの追加や設定変更を進めてしまう。
テキストファイルが、それだけでプログラムとして動くわけではありません。操作する力を持つAIが文章に従うことで、実際の変更につながる点が問題です。
なお、Webサイトからの保存のされ方は、ブラウザや設定によって異なります。「サイトを開けば、必ず気づかないうちに感染する」という意味ではありません。
実際に報告された事例
Forever Securityは2026年10月22日、顧客のダウンロードフォルダにあった悪意あるAGENTS.mdをきっかけに、AIエージェントが不正なパッケージを導入しようとした事例を公表しました。この事例は、実行前に阻止されています。[2]
同社は別途、CodexとClaude Codeを使った再現実験も報告しています。ただし、実験結果を、そのまますべての利用環境での被害発生率として受け取ることはできません。また、顧客の端末に指示ファイルが届いた経路は、特定されていません。[2]
ここで知っておきたいのは、特別なプログラムだけが攻撃の入口になるわけではないということです。見慣れた開発メモや設定手順も、出所を確かめる必要があります。
今日からできる五つの対策
1 作業専用のフォルダを使う
AIエージェントは、内容を把握しているプロジェクト専用フォルダで使いましょう。
ダウンロードした資料を扱わせる場合は、必要なファイルを確認してから移します。フォルダ全体をそのままコピーすると、不審な指示ファイルまで一緒に持ち込む可能性があります。
2 指示ファイルの中身と出所を確認する
自分で作っていないAGENTS.mdやCLAUDE.mdがあれば、まず人が確認します。インターネットから取得したプロジェクトや、解凍したファイルも同様です。
「安全機能を無効にする」「外部ツールを追加する」「通信先を変更する」といった指示には、特に注意しましょう。技術用語が並んでいても、安全性の証明にはなりません。
3 承認とサンドボックスを有効にする
AIが操作する前に確認する承認機能と、操作できる範囲を制限するサンドボックスを活用します。
承認画面では、「何を追加するか」「どのファイルを変えるか」「どこへ通信するか」を確認してください。判断できない操作は、そのまま許可せず、担当者に確認しましょう。
4 AIツールの設定変更にも注意する
AIエージェントの設定は、その後の作業にも影響する場合があります。
ツールの接続設定やAPIの通信先などが、意図せず変わっていないか確認しましょう。会社では、設定変更を許可する担当者や、確認の手順を決めておくと対応しやすくなります。
5 不審な動きがあれば作業を止める
覚えのないツールの追加や接続先の変更を見つけたら、AIエージェントの作業を止めます。
会社の端末なら管理者へ連絡し、関係するファイルやログを保全してください。認証情報が漏れた可能性がある場合は、サービスの管理機能でセッションやトークンを失効させ、必要な認証情報を更新します。単にログインし直すだけで、漏れた認証情報が必ず無効になるとは限りません。
Smart AI Watcherで利用状況を把握する
組織では、利用ルールを決めることに加え、「実際にどのようにAIが使われているか」を把握する仕組みも役立ちます。
株式会社インテリジェントワークスのSmart AI Watcherは、PCの操作ログや生成AIの利用状況を集め、管理画面で確認する製品です。製品ページでは、Claude CodeやCodexなどのCLI系AIツールも対象とし、収集した入力や会話を60秒ごとにキーワードで走査して、管理者への通知や利用者への警告につなげる機能が紹介されています。[3]
たとえば、設定変更に関係する用語を独自キーワードに登録し、確認のきっかけにする運用が考えられます。ただし、通常の開発作業でも同じ用語は使われるため、検知後は前後の記録と合わせて判断します。
キーワードに一致した会話を検知することと、攻撃を自動で判断して実行前に止めることは異なります。 記録対象に現れない指示や、通知までに完了する操作もあるため、作業フォルダの管理や承認機能と組み合わせて使うことが大切です。
利用できる機能は契約や対応版によって異なります。製品ページでは、2026年11月発売予定として案内されています。[3]
AIに任せる前に作業場所と指示の出所を確認する
AIにファイル編集やコマンド実行まで任せるなら、読ませる文章の出所にも目を向ける必要があります。
まずは、ダウンロードフォルダで起動しないこと。次に、自分で作っていない指示ファイルを確認すること。そして、承認や操作範囲の制限を有効にして使うことです。
「どこで作業するか」「誰の指示を読むか」を確認する習慣が、AIを安心して仕事に取り入れるための第一歩になります。
参考資料
- 1 OpenAI公式ドキュメント Custom instructions with AGENTS.md
- 2 Forever Securityによる調査報告
- 3 Smart AI Watcher 製品紹介
掲載情報の確認日：2026年10月30日
