AGENTS.mdがAIエージェントのセキュリティ罠になる理由

導入

従来のPCセキュリティでは、実行ファイルを起動せず、不審な確認画面で許可を押さなければ、攻撃を止められると考えられてきた。しかしClaude Code、Codex、CursorなどのCoding Agentは、ローカルファイルを読み、シェルを呼び出し、依存関係を導入し、設定を書き換えられる。こうしたAgentにとって、普通のMarkdownは単なる文書ではなく、実行につながる指示の入口になり得る。

量子位が紹介したForever Securityの報告では、AGENTS.mdやCLAUDE.mdに細工した指示を記載し、ダウンロードしたプロジェクトや共有リポジトリを通じて利用者の環境へ持ち込む攻撃経路が示された。利用者がそのディレクトリでAgentを起動すると、文書を正規の開発ルールだと誤認し、攻撃者に都合のよい環境設定を進める可能性がある。

主なポイント

• 問題は拡張子ではなく、Agentの行動範囲にある。 Markdown自体に通常の実行権限はないが、Agentは内容を読み、シェル、設定変更、パッケージ導入を実行できる。
• 危険な処理は開発手順に偽装できる。 露骨な削除やマルウェア導入ではなく、ツールチェーンの初期化、環境検証、チーム規約として指示すれば見抜きにくい。
• 全体設定の変更は影響を長引かせる。 ユーザー領域の設定が書き換えられると、現在のプロジェクトを閉じても後続のセッションに影響が及ぶ可能性がある。
• 通信先の変更にも注意が必要だ。 プロジェクト設定や環境変数が不審なゲートウェイを指すと、APIキーやセッション情報の漏えいリスクが高まる。

利用者ができる対策

DownloadsやDesktopなど、出所が複雑な場所から高い権限のAgentを直接起動しないことが第一歩だ。新しいリポジトリやダウンロードしたプロジェクトを扱う前に、AGENTS.md、CLAUDE.md、隠し設定ファイル、最近追加された変更を確認する。Codexなどの全体設定やMCPサーバー定義についても、見覚えのないコマンド、一時ディレクトリのスクリプト、不明なプロキシ先がないか調べるべきだ。

不審な変更を見つけた場合は作業を中断し、環境を隔離したうえで、利用したAPIキーやセッション資格情報を更新する。Agentは受け身のチャットボットではなく、PCを操作できる自動化アカウントとして扱う必要がある。サンドボックス、専用の作業ディレクトリ、最小権限、重要操作への手動承認を組み合わせれば、被害範囲を抑えられる。環境変数ファイル、SSH鍵、クラウド資格情報なども、必要以上にAgentへ公開してはいけない。

意味と影響

すべてのAGENTS.mdが悪意あるわけではなく、簡単な確認で安全を断定できるわけでもない。重要なのは、人間が最後にクリックすることを前提とした防御モデルが、Agent時代には不十分になりつつある点だ。Agentの文脈理解と自動実行が強力になるほど、文書の出所確認、権限分離、操作記録が欠かせない。AIの安全性は回答の正しさだけでなく、何を読み、何を信じ、何を実行できるかによっても決まる。

出典：量子位