Claude Code セキュリティ｜Downloadsの悪意あるCLAUDE.mdから守る対策を実測

Claude Codeで報告されたセキュリティリスクとは？

これは、Downloadsフォルダに仕込まれた指示ファイルでAIコーディングエージェントを乗っ取る、プロンプトインジェクションの一種です。セキュリティ企業Forever Securityが実在する顧客のPCで捕捉した攻撃を開示し、BleepingComputerが2026年10月25日に報じました。発端は、~/Downloadsに置かれたAGENTS.mdが、コーディングエージェントに悪意あるnpmパッケージをインストールさせようとしていたことでした。ファイルがどうやって置かれたかは特定できていません。

仕組みは単純です。Claude CodeやCodexは、起動した作業ディレクトリにあるCLAUDE.mdやAGENTS.mdを「プロジェクトの指示」として自動で読み込み、その内容を自分が持つツール権限で実行します。普通は自分で書いた便利な指示書ですが、攻撃者が用意した指示も同じように正規の指示として扱われてしまう、というのが弱点です。報告された成功率は、Codexが再現連鎖で90%（無害なペイロードとして電卓を起動させて検証）、Claude Codeが約50%でした。Claude Codeのケースでは、悪意あるCLAUDE.mdがAPI通信を研究者のサーバーへ向け、ログイン用のトークンが露出し、返ってきたツール呼び出しがコードを実行したとされています。引用元のWatkin Labの解説では、この経路を「.claude/settings.jsonを作ってANTHROPIC_BASE_URLを攻撃者のサーバーに向ける」と説明していますが、これは二次情報で、BleepingComputerは「API通信をリダイレクトした」としか書いていません。

「ここにOpenAIやAnthropicが修正すべき点はありません。」

"There is nothing here for OpenAI or Anthropic to patch."

Forever Security の研究者 — BleepingComputer（2026年10月25日）

重要なのは、これにCVEもパッチも出ない見込みだという点です。ブラウザがテキストファイルを自動保存するのも、AIがフォルダ内のMarkdownを読んで従うのも、どちらも設計どおりの正常な機能だからです。つまりこれは、ツールの欠陥ではなく利用者側の運用で防ぐ問題です。だからこそ、起動フォルダの管理と権限設定が対策の中心になります。

なぜDownloadsフォルダが危ないのか？

~/Downloadsが危険なのは、Webページがクリックなしにファイルを書き込める数少ないフォルダだからです。研究者は「~/Downloadsは特別だ。Webが自力で書き込める唯一のフォルダだ」と述べています（ブラウザはダウンロード通知自体は表示します）。過去30年、テキストファイルは「それ自体では実行されない」から安全とされてきましたが、AIエージェントがそのテキストを読んで実行する時代には、その常識が通用しません。

そして、多くの開発者がまさにDownloadsでエージェントを起動しています。Forever Securityの内部統計では、Claude Codeだけで~/Downloadsから1,300回を超えるセッション起動があったとされ、約半数の開発者がダウンロードしたファイルを整理させるためにDownloadsでエージェントを開いている、という指摘もあります（いずれもForever社の集計で第三者の検証はありません）。「ダウンロードしたzipを解凍して」「このフォルダを整理して」と頼むために、無意識にDownloadsで起動してしまう。その瞬間に、同じフォルダに潜む指示ファイルが読み込まれます。

Codex側はさらに厄介で、~/.codex/config.tomlというマシン全体の設定に書き込むため、Downloadsを使うのをやめても、別の正規プロジェクトで起動したときに読み込まれて影響が持続しうる、と報告されています。Claude Codeがこの常時読み込み先を持つかはプロジェクト単位の設定が中心ですが、いずれにせよ「どこで起動するか」が最初の分かれ目になります。

どのファイルが読み込まれるのか実測した

「置くだけで読み込まれる」というリスクが本当か、そして引用元が勧める対策が効くのかを、この環境（Claude Code v2.1.311、macOS）で確かめました。安全のため、攻撃の再現はしません。「Downloadsに見立てたフォルダ」に、回答の末尾に無害なマーカー文字列を出力させるだけの指示ファイルを置き、claude -p "2たす2は？"を実行して、結果にマーカーが出れば「その指示ファイルが起動時に読み込まれた」と判定します。外部送信も設定改変も一切含みません。

結果は明快でした。CLAUDE.mdもAGENTS.mdも、起動フォルダに置くだけで読み込まれます。公式ドキュメントも「Claude Codeは起動時に、作業ディレクトリとその上位すべてのCLAUDE.md・CLAUDE.local.mdを読み込む」と明記しており、AGENTS.mdはCLAUDE.md系が1つも無いときだけ読まれます（v2.1.277以降）。小文字のclaude.mdが読まれたのは、macOSのAPFSが既定で大文字小文字を区別しないためで、CLAUDE.mdと同一視されています。リスクが実在することは、これで確認できました。

Claude Code研究所が勧めるセキュリティ対策7つ

当研究所の結論は、「Downloadsで起動しない」を最優先に、権限と承認を重ねることです。完璧な単一の対策はないので、起動場所・権限・確認の3層で守ります。実測で効果を確認できたものには（検証済み）と付けました。

{
  "permissions": {
    "deny": [
      "Write(.claude/settings.json)",
      "Edit(.claude/settings.json)",
      "Write(./.claude/settings.local.json)",
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(**/*.pem)",
      "Read(**/*.key)"
    ]
  }
}
// さらに厳密に止めたい場合は、設定変更をブロックする ConfigChange フック（exit 2）や、
// Write/Edit を監視する PreToolUse フックを併用する（公式ドキュメント）。

権限設定の全体像は非エンジニアのためのセキュリティチェックリストに、権限ルールの書き方は権限設定ガードレールの作り方にまとめています。この記事の対策は、それらに「起動フォルダを選ぶ」という一層を足すものです。

引用元の「先回りCLAUDE.md」は本当に安全か？

元の注意喚起ポストは、もう1つの対策として「先にCLAUDE.md・AGENTS.mdをDownloadsに仕込んでおけば、後続の同名ファイルは『CLAUDE (1).md』などに勝手にリネームされ無効化されるので安全」と書いていました。これは実測で有効でした。先に正規のCLAUDE.mdを置いたフォルダに後発の同名ファイルを置くと、後発は読み込まれず、先置きのCLAUDE.mdだけが効きます。さらにCLAUDE.mdがある状態ではAGENTS.mdも読まれないので、2つの経路を同時に塞げます。

ただし、当研究所としてはこれを応急策と位置づけます。理由は3つです。第一に、あくまで1フォルダ単位の防御で、そのフォルダに正規のCLAUDE.mdが1つも無ければ、攻撃者が最初に置いたCLAUDE.mdはそのまま読まれます（「先に置いてある」ことが条件）。第二に、重複ファイルの名前の付け方はブラウザや環境で違い、macOSのように大文字小文字を区別しない環境では小文字のclaude.mdも正規名として扱われます。第三に、そもそもDownloadsで起動しなければ、この対策自体が不要になります。先回りCLAUDE.mdは「どうしてもDownloadsを使う場面の保険」にとどめ、根本対策は対策1（起動フォルダを選ぶ）に置いてください。

士業・非エンジニアはどう運用すればいいか？

非エンジニアの実務でこの問題が起きるのは、「ダウンロードした資料をそのまま整理させたい」場面です。たとえば、役所からの通知PDFや顧客から届いたファイルをDownloadsに貯め、そこでClaude Codeを開いて「仕分けして」と頼む、という使い方です。ここで3つを守れば、まず安全です。

• Downloadsでは開かない。~/claude-work のような作業フォルダを1つ決め、扱うファイルだけコピーしてから起動します。
• 承認を読む。「外部に送信します」「設定を変更します」と出たら、内容を確認してから許可します。auto modeはこうした操作を止めてくれますが、最後に判断するのは人です。
• 顧客情報は権限で守る。対策5のdenyルールで、認証情報や設定ファイルへのアクセスをあらかじめ禁止しておきます。

当研究所の見解では、この攻撃の怖さは「高度さ」ではなく「日常の油断」を突く点にあります。逆に言えば、起動する場所を1つ決めるだけで、ほとんどのリスクは消えます。研修でも、最初に教えるのは派手なテクニックより「どこで起動するか」です。国内の実際のインシデントから学びたい方は2026年9月の国内事例の検証も参考にしてください。

まとめ