CodexやClaude Codeなどが「ダウンロード」フォルダーに置かれた悪意ある指示ファイルを読み込み、不正なソフトを導入しようとした事例が確認された。セキュリティ企業Forever Securityが10月22日に報告した。
Codex CLIの公式紹介画面
※クリックすると拡大画像が見られます
同社は顧客のPCで、AIが不正なソフトを導入しようとする動きを検知し、実行前に阻止したという。調査の結果、AIは作業場所としていたダウンロードフォルダー内の「AGENTS.md」というファイルに書かれた指示に従っていたことが分かった。ただし、このファイルがPCに保存された経緯は分かっていない。
AGENTS.mdは、AIに開発作業の進め方やルールを伝えるためのテキストファイルだ。OpenAIの「Codex」などの開発支援AIは、作業場所にあるこうしたファイルを読み込み、その内容を指示として扱う。そのため、攻撃者が用意したファイルを読み込むと、AIが不正な指示に従って設定を書き換えたり、プログラムを実行したりする恐れがある。
AIが読む「作業指示」を悪用
Forever Securityは、この攻撃がどのように成立するのかを検証した。ウェブページから悪意ある指示ファイルをダウンロードフォルダーに保存させ、そのフォルダーでAIを起動する実験を実施。Codexでは、AIに設定ファイルを書き換えさせ、不正なソフトを実行させる攻撃を再現したという。
Anthropicの「Claude Code」でも、同様の手法を検証した。こちらでは「CLAUDE.md」という指示ファイルを使い、Claude Codeの通信先を研究者が管理するサーバーに変更させた。その結果、ログインに使う認証トークンを流出させることができたとしている。
実験の多くでは、不正なソフトの代わりに、電卓を起動するだけの無害なプログラムを使用した。ただし、実際の不正なソフトについても、隔離した仮想マシン内で1回実行し、攻撃が成立することを確認したという。
もっとも、指示ファイルがダウンロードフォルダーに保存されただけで、直ちに攻撃が成立するわけではない。AIがそのファイルを指示として読み込み、設定の変更やプログラムの実行に進む必要がある。Codexでの実験は、ダウンロードフォルダーが信頼済みの作業場所として扱われることなどが前提で、AIに保護機能を回避する操作を行わせる指示も含まれていた。
作業場所を絞り、不審な指示を確認
Forever Securityは対策として、ダウンロードフォルダーでAIを起動しないよう呼びかけている。また、見覚えのないAGENTS.mdやCLAUDE.mdがある場合は、AIに読み込ませる前に内容を確認することを推奨。AIが操作を実行する前に利用者の承認を求める機能や、プログラムの動作範囲を制限する保護機能も有効にしておくよう勧めている。
セキュリティ情報サイトのBleepingComputerも、ホームフォルダーなど広い範囲をAIの作業場所にせず、必要なフォルダーに限定するよう勧めている。OpenAIとAnthropicの公式ガイドは、一般的な利用手順として、作業対象のプロジェクトフォルダーでAIを起動する手順を案内している。
Amazonで現在開催中のセールを見る
Amazonのアソシエイトとして、CNET Japanは適格販売により収入を得ています