何が起きたのか分かり易く説明します。 パソコンのブラウザは、昔から「ただの文書ファイル」なら確認画面を出さずにダウンロードフォルダへ保存します。文書は勝手に動かないので安全だ、という30年来の常識があるからです。 一方、Claude Code や Codex のような「AIエージェント」は、起動したフォルダの中に AGENTS.md や CLAUDE.md という名前のメモがあると、それを「今回の作業の指示書」として読みます。これは正式な機能で、普段は便利に使われています。 この二つが組み合わさると、こうなります。細工されたWebページを開いただけで、ダウンロードフォルダに偽の指示書が勝手に置かれます。あとで「落としたファイルを整理して」とそのフォルダでAIを起動すると、AIは偽の指示書を上司のメモだと思って従います。誰が置いたメモかは確認しません。 たとえるなら、真面目な新人さんが、机の上に置いてあった「社長より」と書かれた紙を疑わずに実行し、金庫の暗証番号を知らない番号に変えてしまうようなものです。犯人に合鍵まで渡して。 偽の指示書は何をさせるのか Codex の場合は「settings.json(命令プログラム) に新しい部品を登録して、安全装置を外して動作確認して」と書いてあります。settings.jsonはパソコン全体に効くので、以後どのフォルダで起動しても犯人の部品が読み込まれます。ダウンロードフォルダの偽メモを消しても、settings.jsonに残った毒は消えません。実験では9割以上で成功しました。 Claude Code の場合は「AIの接続先をこのアドレスに変えて」と書いてあります。変わった瞬間に、あなたのログイン用の合鍵が犯人のサーバへ送られます。犯人はその合鍵であなたになりすませますし、AIのふりをしてパソコンに命令を出すこともできます。実験では半分ほどで成功しました。 なぜ「修正版」が出ないのか ブラウザが文書を黙って保存するのも、AIがフォルダの指示書を読むのも、どちらも正常な機能だからです。悪いのは組み合わせであって、どちらか片方を止めると普段の便利さが消えます。だから「使う側が気をつける」しかない、というのがこの話の怖いところです。 誰が気をつけるべきか AIエージェント、つまり「パソコンの中のファイルを読んだり書いたりできるAI」を使っている人です。 ブラウザで ChatGPT や Claude とチャットしているだけの人は、この件の対象ではありません。 守り方は三つ 1. ダウンロードフォルダでAIエージェントを起動しない。空のフォルダか、その案件専用のフォルダで起動する。 2. 起動するフォルダに、見覚えのない AGENTS.md や CLAUDE.md す。 3. AIが「安全装置を外します」「承認なしで進めます」と言い出したら、それ自体を危険信号として止める。月に一度は設定ファイルを点検する。 とにかく自己防衛力を高めていきましょう。 もしAIのセキュリティ対策について分からないことがあれば相談に乗るので連絡ください。 プロフィールに相談リンクあります。