ダウンロードフォルダでAIエージェントを起動しない理由と対策2つ

出典: 90%以上の確率でPCを乗っ取られる悪魔の攻撃手法が見つかりました…

AIエージェントを、どのフォルダで起動していますか？作業用のフォルダを決めている人もいるはずです。ファイルを落としたその場所で、そのまま立ち上げている人もいるかもしれません。

動画は、久しぶりに出した理由から始まります。今のAI界隈は、何が作れるかより情報漏洩とセキュリティの話ばかり。だから今回は注意喚起の動画にした、と中島さんは話します。

中島さん（動画の中で・1:16〜）

ダウンロードフォルダーでAIエージェントクロードコードとかコデックスを起動するなという話ですね。

Claude CodeやCodexのようなAIエージェントを、ダウンロードフォルダで起動しない。これが一言の結論です。

中島さん（動画の中で・1:22〜）

もしこれやってる人いたら今すぐやめた方がいいです。めちゃくちゃリスク高いです

かなり強い呼びかけです！やっている人がいたらすぐにやめた方がいい、リスクが高い、と中島さんは繰り返します。

その根拠として全文を読んでいくのが、Xで広まったWatkin Labの投稿です（中国語から訳したもの）。投稿によると、ブラウザは過去30年、プレーンテキストを確認なしでダウンロードフォルダに保存させてきました。実行されないファイルだからです。そして開発者の約50%が、そのダウンロードフォルダの中でClaude CodeやCodexを開いている、と投稿は続けます。

ここで数字の出どころを整理します。Codexで成功率90%超、Claude Codeで約50%。CVE（共通脆弱性識別子）は無く、パッチも出ていない。どれも投稿の主張です。

私なら、事実と推測と、まだ確かめていないことを分けて受け取ります。数字を見たら、まず誰の主張かを確かめます。

実行ファイル（.exe）を落とそうとすると、ブラウザは確認を出してくれますよね。では、.mdには？なぜ確認が出ないのでしょう？

条件は2つ、と画面の図解で絞り込みます。1つ目は、ダウンロードフォルダでClaude CodeやCodexを起動していること。2つ目は、悪意のあるAGENTS.mdやCLAUDE.mdがそこに落ちてくること。この2つが揃うだけ、と中島さんは話します。

中島さん（動画の中で・7:07〜）

この投稿によるとOPのコデックスの方では、ま、成功率っていうのが90%、え、以上ということなんで

引用の「OP」は表記のずれで、OpenAIのことだと思われます。投稿によると、OpenAIのCodexでは成功率90%以上。同じ投稿で、Claude Codeは約50%です。

中島さん（動画の中で・7:17〜）

で、なんでこれが成功するかって言うと、ま、これ普通の挙動だからですね

なぜ成功するのか。答えは、普通の挙動だから。AGENTS.mdやCLAUDE.mdは、AIに読ませて従わせるためのファイルです。置いたのが本人か攻撃者かを、AIは区別しない、と中島さんは話します。

実行ファイルなら、落とす前にブラウザが確認を出します。.mdはただのテキストなので、確認なしで保存。これまでは、それで無害でした。でも今は、AIエージェントが.mdの命令を読んで実行してしまう、と中島さんは指摘します。

見るべきは、AIが何を読むか。ダウンロードフォルダに溜まった.mdも、そこでAIを起動すれば読む対象になります。

パッチが出ない危険には、どう備えればいいのでしょう？

投稿によると、落ちてきた.mdはAIに設定ファイルを書き換えさせます。サンドボックス（安全のための囲い）などの対策も、AIが自分でオフにしてしまうそうです。さらに投稿は、CVEが無く、OpenAIもAnthropicもパッチを出さない点を、一番のブラックユーモアとまで書いています。ブラウザの自動保存も、AIが.mdを読むのも、正常な機能だから。これも投稿の主張です。

中島さん（動画の中で・13:53〜）

普通にクロードコードとかコデックスの普通の仕様に従ってるだけ

脆弱性でも何でもない、と中島さんは受けます。AIは、Claude CodeやCodexの普通の仕様に従っているだけ。

中島さん（動画の中で・14:20〜）

だから別にこれに対する対策が取られるわけでもなく、ま、実際取るの難しいんですよね。

置いたのが本人か攻撃者か、AIには分からない。だから対策も難しい、という見方です。ChatGPTの画面で使うAIなら起きません。自分のPCでエージェントが動き、ダウンロードフォルダで起動しているから起きる。そこに中島さんは「正直、感心しちゃいました」とまで言います！

私なら、パッチが出ない機能ほど、止める仕組みを先に決めます。委ねた先がやるべきことをやらない。そうなったら、委ねられないからです。

2026年10月10日の夕方、私はAIに頼んで、使い捨てのフォルダで比べてみました。Claude Codeの囲い（サンドボックス）を、付けた時と付けない時。同じ操作を1回ずつです。そのとき自分の記事に書いたのが、この一文でした。

私の記事より（ウェブ職TVの動画を見て、私のMacで確かめた記事）

差が出たのは、書き込みとネット接続の2つ。

囲いを付けると、ホーム直下でのファイル作成が止まりました！外のサイトへの接続も止まった。ところが、作業フォルダの外に置いたおとりのメモは、囲いを付けていても読めたんです。読み取りを止める設定を足すと、シェルで読む方法は止まりました。それでも、Readツールでは同じおとりが読めました。

私の記事より（ウェブ職TVの動画を見て、私のMacで確かめた記事）

書けないことと読めないことは別。止めたい操作が止まる所まで見て、初めて委ねる範囲を決められます。

書き込みは止まり、読み取りは止まらなかった。囲いを付けただけでは、何が止まるかまでは分かりません。囲いをAIが自分で切るという投稿の主張は、私は確かめていません。確かめたのは、何が止まり、何が止まらないかだけです。

ダウンロードフォルダに、身に覚えのないファイルが入っていたことはありませんか？

侵入経路の話です。JavaScriptを使えば、テキストファイルを自動でダウンロードさせられるそうです。実行ファイルは勝手には落とせません。でも.mdはただのテキストなので、警告なしで落ちてくる、と中島さんは話します。

中島さん（動画の中で・17:38〜）

ウェブサイト訪れるだけでそれが静かに、ま、要勝手に自分のダウンロードフォルダーに、え、落とされてしまうっていうのが怖いところですね。

サイトを訪れるだけで、静かに勝手に落とされる。クリックも、ダウンロードの操作も要りません。開くだけなんです！そこが怖いところだ、と中島さんは話します。

対策は2つです。1つ目は、ダウンロードフォルダでAIエージェントを起動しないこと（これが一番大事、と話します）。2つ目は、同じ名前のAGENTS.mdやCLAUDE.mdを先回りして置くこと。同じ場所に同じ名前のファイルは置けないからです。

中島さん（動画の中で・19:21〜）

ま、それも絶対に回避できるのかって言ったら結構怪しいところではあるので、ま、そもそもダウンロードフォルダー内で動かさないっていうのは、ま、かなり大事なところかなとは思いますね。

ただし、2つ目で必ず防げるとは限らない、と中島さんは付け加えます。だからこそ、起動する場所そのものが大事。ウイルス対策ソフトで防ぐのも難しいそうです。相手はただのテキストで、消せば副作用が出るからです。

2026年10月29日、私はAIに頼んで、ダウンロードフォルダで起動していないかを確かめるために、自分のMacを数えました（読むだけで、中身は開いていません）。直下の.mdは95件。AGENTS.mdとCLAUDE.mdは0件でした。AIの作業を管理している自分のツールが覚えているタスクは673件。作業フォルダがダウンロードフォルダのものは0件です。

0件と言えるのは、ツールが覚えているタスクと、ダウンロードフォルダ直下のAGENTS.mdとCLAUDE.mdの有無までです。ターミナルから直接起動した分と、95件の.mdの出どころは、確かめていません。安心の材料にも危険の証拠にもせず、見に行くきっかけとして受け取っています。

私の記事より（飯塚さんの5つの防御を追った私の記事）

置き場所を決める役目まで、AIに渡さなくていいんですよね。任せるのは手間で、どこに何を置くかを決めるのは私。

動画の1つ目の対策は、どこで起動するかという置き場所の話です。どこに置くかを決めるのは人の側。この一文と同じ向きなんですよね。手間はAIに預けても、どこでAIを動かすかは私が決めます。

AIエージェントの説明に出てくる言葉。どれくらい、自分の言葉で説明できますか？

動画の締めで戻ってくるのは、ITリテラシーという土台です。結局はそこを上げることだ、と中島さんは話します。

中島さん（動画の中で・20:56〜）

やっぱりシンプルにITリテラシーを高めたいですね。

画面には、最低限知っておきたい言葉の一覧が出ます。ホームディレクトリ、ダウンロードフォルダ、実行ファイル、プレーンテキスト、Markdown。設定ファイル、大規模言語モデル、トークン、平文、Bashコマンドです。

中島さん（動画の中で・21:17〜）

今回みたいなことがあったりするとそれだけでパソコン乗っ取られてしまう可能性がある。

今回のようなことがあれば、それだけでパソコンを乗っ取られかねない。だからAIエージェントは、ITリテラシーを持った人が使うものではないか、という問いかけです。WordPressの運用者から、どう動けばいいか分からないというDMが数十件届いたそうです。AIに聞けば何でも分かる訳ではない、とも話します。

中島さん（動画の中で・24:24〜）

自分自身も本当にITリテラシーを高めていかなきゃいけないなというのはね、あの、改めて思いました。

中島さん自身も、ITリテラシーを高めなければと改めて思った、と話しています。

その方法として挙がるのが資格。ITパスポートから基本情報、応用情報へ。セキュリティなら登録セキスペ（情報処理安全確保支援士）、ネットワークならネスペなども、と画面の図解で示します。

中島さん（動画の中で・27:41〜）

それが資格を持っていて、ま、客観的に証明されてるってなったら

資格があれば、自分の力を客観的に示せる。そこに資格の良さを見ています。

画面の一覧には、この記事で出てきた言葉も並んでいます。ダウンロードフォルダ、Markdown、設定ファイル。資格より先に、この一覧の中で自分の言葉で説明できない語に、私は印を付けます。そこが、知らない語を見つける入口になります。

中島さんの結論は一言。ダウンロードフォルダで、Claude CodeやCodexのようなAIエージェントを起動しないことでした。

動画が挙げた対策は2つ。ダウンロードフォルダで起動しないことと、先回りしてAGENTS.mdやCLAUDE.mdを置くこと。2つ目は絶対ではない、と中島さん自身が話しています。

まず、自分のダウンロードフォルダに.mdがいくつあるか、数えてみませんか？

私なら、AIが読む場所と起動する場所は人が決めます。囲いは、止まる所まで見てから任せます。