Claude Code・Codexをダウンロードフォルダで起動すると乗っ取りの危険｜今すぐ確認と対策
「AIにダウンロードフォルダを整理してもらおう」——その何気ない一回が、パソコンの“合い鍵”を見知らぬ誰かに渡す行為だったとしたら、どうしますか？
2026年10月22日、セキュリティ企業のForever Securityが、Claude CodeやCodexといったAIツールをダウンロードフォルダで起動すると、PCやアカウントの乗っ取りにつながる攻撃を報告しました。しかも同社の顧客の約半数が、まさにダウンロードフォルダでAIを動かしていたと伝えられています。
この記事では、パソコンやAIに詳しくない方でも「自分は危ないのか」「何をすれば防げるのか」が5分でわかるように、専門用語をかみ砕いて解説します。途中の30秒セルフチェックで自分が対象かどうかを判定でき、後半ではすでに起動してしまった人向けの確認手順も紹介します。作業を再開する前に、ぜひ最後までお読みください。
最終確認日：2026年10月31日（一次情報：Forever Security社の公式ブログ、Claude Code公式ドキュメント）
この記事の結論（3行で）
- 危ないのは「フォルダを指定してAIに作業させるツール」を使っている人だけ
- ブラウザやスマホアプリでChatGPTと会話しているだけの人は今回の攻撃の対象外
- 根本対策は1つ。ダウンロードフォルダ（とその中のフォルダ）でAIを起動せず、別の場所に作った案件ごとの専用フォルダで始めること
目次
何が起きたのか？2026年10月の報告
発端は、Forever Securityが顧客のパソコンで見つけた1つのファイルでした。ダウンロードフォルダに置かれていた「AGENTS.md（エージェンツ・エムディー）」という文章ファイルです。
中身は一見すると普通の「開発ガイドライン」。ところが文書の終わり近くに、不正なプログラムをインストールさせる指示が、落ち着いた説明文のような口調で紛れ込んでいました。そのフォルダで起動したAIは、この指示に従って不正なプログラムを入れようとし、同社の防御ソフトが実行直前で止めた——というのが報告の概要です。なお、このファイルがどのような経路でPCに置かれたかは特定されていません。
同社が再現実験をしたところ、次の結果が出たとされています（いずれも同社自身の検証結果で、第三者による再検証はまだ行われていません）。
- Codex：主に無害な代替プログラム（電卓が開くだけのもの）を使った検証で、90%以上の確率で指示どおりに実行。本物の不正プログラムも、隔離した検証用環境で1回実行されました。しかも変更はCodex全体に効く設定ファイルに書き込まれるため、別のフォルダでCodexを使っても攻撃者の仕掛けが読み込まれる状態になりました
- Claude Code：研究チームが独自に作ったCLAUDE.mdで実験。Codexよりだまされにくかったものの、約半数の試行でAIの通信先を研究チームのサーバーに書き換える設定が書き込まれました。その結果ログイン用の合い鍵（OAuthトークン）が抜き取られ、それを使って本人になりすます＝アカウントの乗っ取りが、不正プログラムを一切動かさずに成立しました
なお、実際の顧客PCで見つかった1件は実行前に阻止されています。Claude Codeの結果も研究チームの実験であり、実際にClaude利用者が攻撃された事例ではありません。報告時点では広い範囲で悪用されている証拠は確認されていません。調査会社IDCのアナリストも「広範な悪用の証拠ではなく、信頼できる早期警告」と評価しています。必要以上に怖がる必要はありませんが、「条件がそろえば実際に起こる」ことが示された点が重要です。
乗っ取りの仕組みを3ステップで解説
難しく見えますが、仕組み自体はとてもシンプルです。
ステップ1：悪意あるサイトが、ファイルを“勝手に”置く
Chromeをはじめ多くのブラウザは、初期設定のままだと確認画面を出さずにファイルをダウンロードフォルダへ保存できます。ファイル名も中身もサイト側が決められます。つまりダウンロードフォルダは、インターネット側から書き込める、パソコンの中でほぼ唯一の場所なのです。
ステップ2：「ただの文章ファイル」なので警告が出ない
「.md（エムディー）」はMarkdown（マークダウン）という形式の文章ファイルで、メモ帳でも開ける、ただのテキストです。アプリ（.exeなど）なら「このファイルは危険かもしれません」とOSやブラウザが警告を出すことがありますが、文章ファイルには警告の仕組みが働きません。
ステップ3：AIは、そのファイルを「あなたの指示」として読む
Codexは「AGENTS.md」、Claude Codeは「CLAUDE.md」（無い場合は「AGENTS.md」）を、「このプロジェクトの取扱説明書」として作業の最初に読み込む仕様になっています。本来は「テストはこの方法で」「このツールを使って」とAIに伝えるための便利な仕組みです。
だからこそ、ダウンロードフォルダで起動すると、攻撃者が置いた“指示書”を、あなたの正式な指示だと思い込んで実行してしまうのです。
たとえるなら…
とても有能で素直な新人秘書に「机の上のメモの指示どおりに仕事して」と頼んでいる状態です。その机が、誰でもメモを投げ込める郵便受けの真下にあったら？秘書は悪人のメモにも、真面目に従ってしまいます。
このように、AIへの指示に第三者が割り込む攻撃を「プロンプトインジェクション」と呼びます。
あなたは対象？30秒セルフチェック
まず「Claude Code」「Codex」とは何かを押さえましょう。これらは、AIが文章で答えるだけでなく、パソコンのファイルを読み書きしたり、プログラムを実行したりまで代行する「AIエージェント」です。手足がある分便利ですが、乗っ取られたときの被害も大きくなります。
次の項目に1つでも当てはまるか確認してください。
- □ ターミナル（文字を入力して操作する画面）で「claude」や「codex」と入力してAIを動かしたことがある
- □ Cursorなどのアプリでフォルダを開いてAIに作業させたことがある
- □ 「ダウンロードフォルダを整理して」とAIに頼んだことがある
- □ AIがコマンドを実行するとき、確認なしで進める設定を使っている
1つも当てはまらない方は、今回の攻撃の直接の対象外です。ブラウザやスマホアプリでChatGPT・Claude・Copilotと（フォルダへのアクセスを許可せずに）会話しているだけなら、この手口でPCを乗っ取られることはありません。ただし後半の「これから増えるリスク」は、すべての方に関係するので続けてお読みください。
当てはまった方は、次の章から先があなたのための内容です。
乗っ取られると具体的に何が起きる？
報告や再現実験から考えられる被害は、主に次の3つです。
- AIのアカウントを使われる：ログインの合い鍵が抜かれると、あなたになりすましてAIを使われ、利用料金を消費されたり、やり取りの内容を見られたりするおそれがあります。
- 不正なプログラムを入れられる：いわゆるマルウェアです。一度入ると、PC内のファイルや保存されたパスワードなどが狙われる可能性があります。
- 設定に“居座られる”：Codexの実験では、Codex全体に効く設定ファイルが書き換えられ、ダウンロードフォルダを離れても影響が残りました。Claude Codeの実験でも、同じフォルダで次に起動したとき（場合によってはその場の作業中にも）、書き換えられた通信先がそのまま使われました。
「カメラで覗かれる？」「お金を盗まれる？」と不安になるかもしれません。今回の報告で、そうした被害が確認されたわけではありません。ただ、不正なプログラムが入れば何が起きてもおかしくないため、「そもそも入れさせない」ことが最大の防御になります。
SNSでは「PHPより脅威」という表現も見かけます。PHPはWebサイトを作るためのプログラミング言語で、ファイルに書かれた文字がそのままプログラムとして動くため、昔から攻撃に悪用されてきました。「ただの文章ファイル（.md）が、AIを通じてプログラムのように動いてしまう」点を、それになぞらえた表現と考えられます。研究チームも報告に「Markdownは新しい実行ファイルだ」という趣旨の題を付けています。PHPを知らなくても今回の対策には一切影響しないので、気にしなくて大丈夫です。
なぜAIの会社は直せないのか
報告した研究者自身が「OpenAIやAnthropicが修正すべき不具合はない」という趣旨を述べています。フォルダ内の指示ファイルに従うのは、AIが設計どおりに正しく動いている結果だからです。2026年10月31日時点で、OpenAI・Anthropicからこの件に関する修正の発表は確認できていません。なお、Claude Codeの公式の始め方も、もともと「作業するプロジェクトのフォルダに移動してから起動する」手順で説明されています。今回の対策は、その基本に立ち返ることでもあるのです。
包丁がよく切れるのは欠陥ではありません。問題は、子どもの手が届く場所に置くこと。今回も同じで、「AIを起動する場所」が問題なのです。
もちろん、各社は「このフォルダを信頼しますか？」という確認画面や、実行前に許可を求める仕組みなどの安全装置を用意しています。責任の所在を法的に断定することはできませんが、現実的に身を守れるのは、使う側の“置き場所の習慣”です。
今日からやるべき対策5つ
研究チームの推奨などをもとに、優先度の高い順に並べました。1番を今日実行するだけで、今回報告された侵入経路はふさげます。
- 【根本策】ダウンロードフォルダやホームフォルダ直下でAIを起動しない
「書類」フォルダなどに「ai-work」→「案件名」のような案件ごとの専用フォルダを作り、必要なファイルだけ移してから、そのフォルダでAIを起動します。
※ダウンロードフォルダの「中」に作ったフォルダもNG。Claude Codeは、起動したフォルダだけでなくその上の階層（親フォルダ）にある指示ファイルも読み込む仕様（公式ドキュメントに記載）だからです。 - 自分で書いていないAGENTS.md・CLAUDE.mdは、起動前に必ず中身を読む
ネットから入手したZIPや、他人のプロジェクトにも含まれていることがあります。 - 「このフォルダを信頼しますか？」に、反射的に「はい」を押さない
中身を把握していないフォルダでは「いいえ」が正解です。 - 確認なしで実行するモードは、中身を把握したフォルダ以外で使わない
AIが何かを実行する前の確認画面は、最後の防波堤です。ファイルの中に「確認をスキップして」「安全装置を無効にして」といった指示があれば、それ自体が攻撃のサインです。 - ブラウザの「保存場所を確認」設定をオンにする（補助策）
詳しくは次の章で解説します。
1分でできる「専用フォルダ」の作り方
Macの場合：Finderで「書類」を開き、右クリック→「新規フォルダ」で「ai-work」を作成。その中に「2026-11_ブログ作業」のように案件名のフォルダを作ります。ターミナルでは「cd」と半角スペースを入力し、作ったフォルダをウインドウにドラッグしてEnterキーを押すと、そのフォルダに移動できます。そこでAIを起動します。
Windowsの場合：エクスプローラーで「ドキュメント」を開き、右クリック→「新規作成」→「フォルダー」で同じように作成します。フォルダを開いた状態でアドレス欄に「cmd」と入力してEnterキーを押すと、その場所でコマンドプロンプトが開きます（Windows 11はフォルダ内で右クリック→「ターミナルで開く」でもOK）。
ダウンロードしたファイルをAIに扱わせたいときは、必要なファイルだけを専用フォルダへ移すのがコツです。ダウンロードフォルダごとAIに渡すのは、玄関の鍵を開けたまま留守にするようなものだと覚えておきましょう。
Chrome・Edgeの設定方法と「限界」
ファイルが勝手に保存されるのを減らすには、次の設定が有効です。
- Chrome右上の「︙」をクリック
- 「設定」→左メニューの「ダウンロード」を開く
- 「ダウンロード前に各ファイルの保存場所を確認する」をオンにする
アドレスバーに「chrome://settings/downloads」と入力して、この画面を直接開くこともできます。これで、ダウンロードのたびに保存先を聞かれるようになります。Windowsに最初から入っているEdgeの場合は、「設定」→「ダウンロード」の「ダウンロード時の動作を毎回確認する」をオンにすると、同じようにダウンロードのたびに確認されるようになります。
ただしこれで100%安全にはなりません。うっかり「保存」を押せば保存されますし、別のブラウザやZIPの中身、メール添付から入るファイルは防げません。あくまで補助策であり、本命はやはり「起動する場所を分けること」です。
すでにダウンロードフォルダで起動していた人の確認手順
「やってしまっていた…」という方も、慌てず次の順に確認しましょう。
- 不審なファイルを探す
ダウンロードフォルダに「AGENTS.md」「CLAUDE.md」というファイルがないか探します（Macは Finder右上の検索欄に入力後、検索範囲を「”ダウンロード”」に切り替え。Windowsはダウンロードフォルダを開いてエクスプローラー右上の検索欄に入力）。身に覚えのないものがあれば、メモ帳などで中身を確認します（文章ファイルは開くだけでは実行されません）。 - AIツールの設定ファイルを確認する
先頭が「.」のフォルダは隠れているため、まず表示させます（Macは「Command＋Shift＋.」、Windows 11はエクスプローラーの「表示」→「表示」→「隠しファイル」、Windows 10は「表示」タブの「隠しファイル」にチェック）。
・Codex：ホームフォルダ（Macはユーザー名のフォルダ、Windowsは「C:\Users\ユーザー名」）の「.codex」→「config.toml」に、自分で追加していない「[mcp_servers.○○]」という項目や、見覚えのないURLがないか
・Claude Code：ダウンロードフォルダ内の「.claude」→「settings.json」（通常は存在しません）と、ホームフォルダの「.claude」→「settings.json」に、自分で設定していない「ANTHROPIC_BASE_URL」やURLがないか - 不審な点があったら
ログイン用の合い鍵はすでに盗まれた前提で動きます。AIツール提供元の案内に従ってログイン情報（トークン）を無効化・再発行する、APIキーを使っている場合は管理画面で無効化して作り直す、パスワードを変更する、セキュリティソフトでスキャンする。会社のPCなら、自分で判断せず情報システム部門に連絡しましょう。 - 何も見つからなくても
今日から専用フォルダでの運用に切り替えれば十分です。
これから増えるリスクと身の守り方
今回の件は、もっと大きな流れの“始まり”にすぎません。AIは今後、Webページ、メール、PDF、他人が作ったファイルなど、あらゆるものを「読んで」動くようになります。Forever Securityの観測でも、AIエージェントの作業の約4分の1で実際のブラウザが開かれていました。つまり「AIが読むものすべてが、攻撃の入口になりうる」時代です。
たとえば、今後こんな形の攻撃が考えられます。
- メール：AIにメール整理を任せたら、本文に紛れた「この添付を開いて実行せよ」という指示に従ってしまう
- Webページ：AIに調べ物を頼んだら、人間には見えない文字で書かれた指示を読んでしまう
- もらったファイル：ネットで配布されているZIPや他人のプロジェクトに、指示ファイルが最初から入っている
どれも今回と同じ「AIが読んだ文章を、指示だと思い込む」という弱点を突くものです。手口は変わっても、弱点は同じ。だからこそ、次の原則が長く役に立ちます。
AIを使う人も使わない人も、次の3原則を覚えておけば、形を変えた攻撃にも対応できます。
- 原則1：AIに渡すのは「中身を知っているもの」だけ
- 原則2：AIの作業場所は「関係ないものが入らない部屋」にする
- 原則3：インストール・設定変更・送金など重要な操作は、必ず人間が最終確認する
AIは「とても有能だけれど、疑うことを知らない新人」です。任せる範囲と場所を決めるのは、いつでも人間の役目だと覚えておきましょう。
よくある質問
Q. ChatGPTをブラウザやスマホアプリで使っているだけでも危ないですか？
A. 今回の攻撃の対象外です。この手口は、パソコン上のフォルダを指定してAIに作業させるツール（Claude Code、Codexなど）で起きるものです。フォルダへのアクセスを許可せず会話するだけの使い方では、パソコン内のファイルをAIが読むことはありません。
Q. 「ダウンロードフォルダでAIを起動する」とは、どういう操作ですか？
A. ターミナルでダウンロードフォルダに移動してから「claude」や「codex」と入力する、またはアプリで「フォルダを開く」からダウンロードフォルダを選ぶ操作のことです。アプリを開くだけとは違います。
Q. ダウンロードフォルダの中に作業用フォルダを作れば安全ですか？
A. おすすめしません。Claude Codeは、起動したフォルダだけでなく、その上の階層にあるCLAUDE.mdやAGENTS.mdも読み込む仕様です。作業用フォルダは「書類（ドキュメント）」など、ダウンロードフォルダとは別の場所に作りましょう。
Q. AGENTS.mdやCLAUDE.mdとは何ですか？自分で作ったものも危険ですか？
A. AIツールに「このプロジェクトではこう作業して」と伝えるための説明書ファイルです。自分で書いたものや、中身を確認したものは問題ありません。危ないのは、身に覚えがないのに置かれているものや、他人から入手して中身を読んでいないものです。
Q. 普通のニュースサイトやSNSを見ていても、勝手にファイルが入りますか？
A. 一般的な正規のサイトが勝手にファイルを置くことは通常ありません。危ないのは悪意あるサイトや、乗っ取られたサイト、怪しい広告などです。ただ、見た目では見分けにくいため、「起動場所を分ける」対策が確実です。
Q. ウイルス対策ソフトを入れていれば防げますか？
A. 完全には防げません。.mdファイルはただの文章なので、ウイルスとして検知されにくいからです。その後の不正なプログラムのインストールは止められる場合もありますが、過信せず起動場所の対策を優先してください。
Q. Chromeの「保存場所を確認」設定をオンにすれば100%安全ですか？
A. いいえ。勝手に保存されるのを減らす補助策です。うっかり保存した場合や、ZIP・メール添付・他のブラウザから入るファイルは防げません。
Q. AIを開発した会社に責任はないのですか？
A. AIがフォルダ内の指示ファイルを読むのは設計どおりの動作のため、修正すべき不具合とは言いにくいのが現状です。各社は確認画面などの安全装置を用意しているので、それを正しく使うことが大切です。
Q. パソコンに詳しくない初心者は、どう身を守ればいいですか？
A. AIエージェントを使わないなら、今回の攻撃は心配いりません。使う場合は「ダウンロードフォルダで起動しない」「知らないファイルをAIに渡さない」「確認画面で安易に許可しない」の3つを守れば、今回のような攻撃の危険は大きく減らせます。
まとめ：守るべきは「たった1つの習慣」
- ダウンロードフォルダは、インターネット側から勝手にファイルを置かれうる場所
- AIはそこにある指示ファイルを「あなたの指示」と思い込んで実行してしまう
- だからこそ、AIはダウンロードフォルダの外に作った、案件ごとの専用フォルダで起動する。これが最も効果的な根本対策
便利なAIを、安心して使い続けるために。次にAIを起動する前に、まず「今いるフォルダ」を確認することから始めてみてください。周りにAIツールを使っている家族や同僚がいれば、ぜひこの記事を共有してあげてください。
参考：Forever Security（一次情報・英語）／Claude Code公式ドキュメント／CSO Online／BleepingComputer／hashout.jp／SmartScope／Martin Cid Magazine／AI Weekly（2026年10月31日時点で確認）
