Claude Code・Codexの作業フォルダの決め方｜AGENTS.md攻撃への備え【2026年11月】

Q: すでにダウンロードフォルダで使っていました。何を確かめればよいですか？

ダウンロードフォルダに身に覚えのないAGENTS.md・CLAUDE.mdが無いか、/.codex/config.tomlや.claude/settings.jsonに見覚えのない通信先や部品の登録が無いかを確かめます。不審なものがあれば作業を止め、ツールのログインをやり直し、APIキーやアクセストークンを再発行してください。

「社員がClaude CodeやCodexを使い始めたけれど、どこで動かしてよいかまでは決めていない」——AIを開発や業務に取り入れた会社の担当者から、こうした声を聞きます。2026年10月、ダウンロードフォルダに置かれた1つのテキストファイルで、こうしたAIコーディングツールに不正な操作をさせる手法が公表されました。

この記事では、その手法の仕組みと、社内でAIコーディングツールを使うときに決めておく作業フォルダ・指示ファイル・設定の決まりを整理します。

先に、要点をまとめます。

Claude CodeやCodexは、起動したフォルダにある指示ファイル（AGENTS.md・CLAUDE.md）を読み込み、書かれた指示に沿って動きます。 ダウンロードフォルダで起動すると、Webページから勝手に保存されたファイルまで指示として読まれます。
セキュリティ企業のForever Securityは2026年10月22日、この手法で実際の顧客のPCが狙われた事例を公表しました。 同社の再現では、Codexで9割を超える試行、Claude Codeで約半数の試行が成功しています。
ツールの不具合ではないため、修正版を当てれば終わる問題ではありません。 起動するフォルダ、承認とサンドボックスの扱い、設定ファイルの見張り方を、社内の決まりとして先に書いておくことが対策になります。

まずはここから。 AIコーディングツールを使っている社員に、いつもどのフォルダで起動しているかを聞いてください。「ダウンロード」や「デスクトップ」と答えが返ってきたら、そこが最初に直すところです。

2026年11月3日時点で、Forever Securityの公表内容と、Claude Code・Codexの公式ドキュメントを確認した情報です。

ダウンロードフォルダで何が起きたのですか？

顧客のPCで、ダウンロードフォルダに置かれたAGENTS.mdの指示により、AIコーディングツールが不正なnpmパッケージ（JavaScriptの部品）を入れようとしました。そのフォルダが、ツールの作業フォルダにもなっていました。

Forever Securityの公表によると、同社は顧客のPCでfunction-colorというnpmパッケージを入れようとする動きを検知し、実行前に止めました。命令の出どころをたどると、ダウンロードフォルダにあったAGENTS.mdにたどり着いたと説明しています。

同社は同じ手口を自社で再現し、結果を次のように公表しています。

項目	公表された内容
公表日	2026年10月22日（Forever Security）
発端	顧客のPCで不正なnpmパッケージ`function-color`の導入を検知。現在はnpmから削除済み
Codexでの再現	指示ファイルがCodexに自分の設定ファイル（`~/.codex/config.toml`）を書き換えさせる。9割を超える試行で成功し、書き換えた設定は以後のすべてのセッションに残る
Claude Codeでの再現	CLAUDE.mdが、通信先を変える設定（`ANTHROPIC_BASE_URL`）を`.claude/settings.json`に書かせる。約半数の試行で成功し、ログイン用のトークンが攻撃者側に送られる
利用状況	同社の顧客の約半数が、ダウンロードフォルダでAIエージェントを動かしていた
各社の修正	指示ファイルに従うのは設計どおりの動作で、OpenAI・Anthropic側で直す対象はないとしている

成功率は同社が自社の環境で試した結果で、すべての環境で同じ割合になるという意味ではありません。それでも、指示ファイルが「ツールの設定を書き換える」ところまで進む点は、社内の使い方を見直す理由になります。

なぜ、ダウンロードフォルダが狙われるのですか？

ダウンロードフォルダは、Webページが利用者の操作なしにファイルを書き込める数少ない場所だからです。そこでツールを起動すると、身に覚えのないファイルまで指示として読まれます。

機能追加・AIを組み込みたいについて相談するいまの業務システムは残したまま、機能追加・改修やAIの組み込みで手間を減らす受託開発。書類の読み取り、社内資料への回答、既存システムとの連携まで機能追加・AIを組み込みたいを見る →

Forever Securityは、ダウンロードフォルダを「Webが自分で書き込める唯一のフォルダ」と表現しています。Markdown（.md）のファイルは実行ファイルではないため、保存されてもOSの警告が出にくいとも指摘しています。

ツールの側は、作業フォルダにある指示ファイルを読む作りになっています。

Codex：公式ドキュメントによると、プロジェクトの最上位（通常はGitで管理しているフォルダの最上位）から作業中のフォルダまで、各フォルダのAGENTS.mdを読み込みます。プロジェクトの最上位が見つからない場合は、作業中のフォルダだけを確認します。Gitで管理していないダウンロードフォルダでは、そこにあるAGENTS.mdが読まれることになります
Claude Code：公式ドキュメントによると、作業中のフォルダとその上にあるすべてのフォルダからCLAUDE.mdを読み込みます。CLAUDE.mdが無い場合は、AGENTS.mdを代わりに読みます

指示ファイルは本来、「このプロジェクトではテストをこのコマンドで動かす」といった決まりを伝えるためのものです。誰が書いたか分からないファイルでも、置かれた場所が作業フォルダなら、ツールは同じように読みます。

Webページが保存したAGENTS.mdをAIコーディングツールが読み、設定を書き換えるまでの流れと、作業フォルダ・承認・設定の見張りで止められる位置

社内で使うとき、何を決めておけばよいですか？

起動してよいフォルダ、知らない指示ファイルの扱い、承認とサンドボックスを外す条件、設定ファイルの見張り方、疑わしいときの対応の5つです。

✖ よくある思い込み	〇実際の条件
Markdownはただの文章なので、置いてあっても害はない	AIコーディングツールは作業フォルダの指示ファイルを命令として読む
自分で保存したファイルしかフォルダに無い	ダウンロードフォルダには、Webページが操作なしに書き込める
修正版が出たら当てればよい	指示に従うのは設計どおりの動作で、各社とも修正の対象にしていない
承認の確認が多いので、確認なしの設定にしても同じ	確認を外すと、指示ファイルが求めた設定の書き換えやコマンドがそのまま実行される
一度設定すれば、あとは触らなくてよい	設定ファイルはツール自身も書き換えられる。いつの間にか中身が変わることがある

5つの決まりは、次のように書けます。

決めること	決め方の例
起動してよいフォルダ	Gitで管理しているプロジェクトのフォルダだけ。ダウンロード・デスクトップ・ホームフォルダの直下では起動しない
知らない指示ファイル	人から受け取ったフォルダや、ダウンロードしたソースコードは、AGENTS.md・CLAUDE.mdの中身を人が読んでから起動する
承認とサンドボックス	確認なしで動かす設定は、使い捨ての環境（仮想マシンやコンテナ）の中だけに限る
設定ファイルの見張り	`~/.codex/config.toml`、`~/.claude/settings.json`、プロジェクトの`.claude/settings.json`に、身に覚えのない通信先や部品の登録がないか、定期的に確かめる
疑わしいときの対応	作業を止め、ツールのログインをやり直し、APIキーやアクセストークンを再発行する

最も効くのは1つ目です。 起動するフォルダをプロジェクトに限れば、Webページが置いたファイルは作業フォルダに入りません。

Claude CodeとCodexでは、どの設定で守りますか？

どちらも、承認の確認とサンドボックス（作業できる範囲の制限）が初期設定で入っています。これを外さないことと、組織の管理設定で外せないように固めることが要点です。

項目	Claude Code	Codex
初期の動き	コマンドの実行などの前に許可を求める。「今後は確認しない」を選んだ操作は`allow`のルールとして保存される	作業フォルダ内の編集を許し、外への操作は承認を求める（`workspace-write`と`on-request`）。ネットワークは初期設定で切られている
確認を外す設定	`bypassPermissions`。プロジェクトやローカルの設定ファイルからは有効にならない（v2.1.257以降）	`--dangerously-bypass-approvals-and-sandbox`（別名`--yolo`）。公式は推奨していない
組織で固める方法	管理設定（managed settings）は、利用者の設定ファイルやコマンドの指定より優先される	管理者は`requirements.toml`で、危険なモードを使えないようにできる
フォルダの扱い	プロジェクトの設定にある`allow`のルールや多くの環境変数は、利用者がフォルダを信頼するまで効かない	Gitで管理していないフォルダでは、読み取り専用のモードを勧めている
確かめ方	`/status`で、読み込んだ設定ファイルの一覧を確認できる	`config.toml`の中身を確認する

出典はClaude Codeの設定のドキュメントと、Codexの承認とセキュリティのドキュメントです。

Claude Codeでフォルダを信頼するかを尋ねられたら、自分たちのプロジェクト以外では承認しないことが基本です。プロジェクトの設定に書かれたallowのルールや環境変数は、信頼した時点で効き始めます。

指示ファイルによる乗っ取りは、AIエージェント全般に共通する「プロンプトインジェクション」（読み込んだ文章に紛れた指示にAIが従ってしまう問題）の一つです。業務システムにAIエージェントを組み込むときの権限の分け方は、AIエージェントのセキュリティ設計で扱っています。両ツールの権限まわりの違いは、CodexとClaude Codeの違いにまとめています。

社内ルールには、どう書けばよいですか？

1枚に収まる長さで、起動する場所・確認を外してよい場面・困ったときの連絡先を書きます。細かい設定値より、社員が迷う場面で何をするかを先に決めます。

以下は、社員10名ほどの会社を想定した記入例です。ゼットリンカーのお客様の規程ではありません。自社の使い方に置き換えて書き直してください。

記入例：AIコーディングツールの使い方（社内向け）

Claude Code・Codexは、会社のGitリポジトリを置いたフォルダ（例：~/work/会社名/配下）でだけ起動する
ダウンロード・デスクトップ・ホームフォルダの直下では起動しない
外から受け取ったソースコードは、AGENTS.md・CLAUDE.md・.claudeフォルダ・.codexフォルダの中身を読んでから起動する
承認の確認を外す設定（bypassPermissions、--yoloなど）は、会社が用意した検証用の仮想マシンの中だけで使う
月に1回、ツールの設定ファイルに見覚えのない通信先や部品が登録されていないかを確かめる
おかしな動きに気づいたら作業を止め、情報システム担当に連絡する。ログインのやり直しとAPIキーの再発行は担当が行う

5番の確認は、慣れていないと何を見ればよいか分かりません。最初の1回は、ツールを導入した担当者か開発会社と一緒に行うと、以後の確認の手順を残せます。

業務で使うAIサービスに何を入力してよいかは、別の決まりとして整理しておきます。学習・保存の条件の見方は、生成AIに学習させない設定の整理で扱っています。

開発を委託している場合は、何を聞けばよいですか？

委託先がAIコーディングツールをどのフォルダ・どの権限で動かしているか、確認なしで動かす場面があるか、設定ファイルの変化を見ているかの3点です。

聞くこと	答えで確かめること
AIコーディングツールは、どのフォルダで起動していますか	プロジェクトのフォルダに限っているか
承認の確認を外して動かす場面はありますか	ある場合、使い捨ての環境の中に限っているか
ツールの設定ファイルや指示ファイルの変化を、どう確かめていますか	定期の確認や、変更の記録があるか
御社の案件のソースコードを、他の案件と同じフォルダに置いていますか	案件ごとに作業フォルダを分けているか

AIを使って開発する会社に委託するときの確認項目は、AI駆動開発を外注する前に確認すべきセキュリティ・権限管理チェックリストに4項目でまとめています。この記事の内容は、そのうち「エージェントが参照できる範囲」と「どこまで自律的に実行できるか」を、作業フォルダの面から具体にしたものです。

よくある質問

Q. ダウンロードフォルダで起動しなければ、安全ですか？

この手法の入口は塞げますが、それだけでは足りません。外から受け取ったソースコードや、他人が作ったリポジトリにも指示ファイルは入りえます。知らない指示ファイルは人が読んでから起動し、承認の確認を外さない運用と組み合わせてください。

Q. Claude CodeやCodexの修正版を待てばよいのではありませんか？

Forever Securityは、作業フォルダの指示ファイルに従うのは設計どおりの動作で、OpenAI・Anthropic側で直す対象はないとしています。使い方の決まりで防ぐ問題として扱ってください。

Q. すでにダウンロードフォルダで使っていました。何を確かめればよいですか？

ダウンロードフォルダに身に覚えのないAGENTS.md・CLAUDE.mdが無いか、~/.codex/config.tomlや.claude/settings.jsonに見覚えのない通信先や部品の登録が無いかを確かめます。不審なものがあれば作業を止め、ツールのログインをやり直し、APIキーやアクセストークンを再発行してください。

Q. 社員にAIコーディングツールを使わせない方が安全ですか？

使わない選択もありますが、禁止しても個人の判断で使われることがあります。起動する場所と確認を外す条件を決めて、使い方を見える形にする方が、問題が起きたときにたどりやすくなります。

AIを使う開発体制を相談する

次の4つをお知らせいただくと、最初の打ち合わせで確かめる点を絞れます。分かる範囲で構いません。

使っているAIコーディングツール（Claude Code、Codex、Cursorなど）
使っている人数と、社員か委託先か
社内の決まりや、管理設定の有無
開発中・運用中のシステムの概要

業務システムにAIを組み込む開発のご相談は、機能追加・AIを組み込みたい方の相談ページでも受け付けています。お問い合わせには2営業日以内にご返信します。初回相談・お見積もりは無料です。