ダウンロードフォルダの指示書にAIは従う？作業場所を先に決める

今号のテーマ

きのう（11/6）は、経営者からよく出る「誰に任せる？」「何から始める？」「止める基準は？」に答えました。 土曜日の今日は、少し技術寄りのニュースを、経営者向けにかみくだきます。

AIエージェント（指示を受けて、自分でファイルを読み書きしたり、コマンドを動かしたりするAI）は、近くに置いてある「指示書」を読んで従うように作られています。そこを突いた攻撃が、10月に報告されました。

社内のエンジニアや外注先が、コーディング用のAIを使っている会社は少なくないと思います。自分で使っていなくても、知っておいてほしい話です。

Top Story今日いちばん大事な話

011. ダウンロードフォルダの指示書にAIは従う？

何が起きた

はい。コーディング用のAIエージェントは、作業フォルダにある指示ファイルを読んで従うように作られています。米国のセキュリティ企業Forever Securityは、ダウンロードフォルダに置かれた指示書経由でAIが乗っ取られうる攻撃を、10月22日付のブログで報告しました。

• 顧客のパソコンのダウンロードフォルダに、AGENTS.md という指示ファイルが置かれていた。見た目はふつうの開発メモ
• AGENTS.md や CLAUDE.md は、コーディング用AI（OpenAIのCodex、AnthropicのClaude Code など）が、作業フォルダにあると読んで従うファイル
• ウェブサイトは、クリックなしでもダウンロードフォルダにファイルを保存させられる場合がある
• そのフォルダでAIを起動すると、AIが自分の設定を書き換え、不正なプログラムを入れたり、ログイン情報（トークン）を外に渡したりしうる

同社の試験では、Codexで90%を超える試行、Claude Codeでおよそ半分の試行で、攻撃が最後まで通ったとしています。また同社の計測では、顧客のおよそ半数で、ダウンロードフォルダの中でコーディング用AIが動いていた、としています（いずれも同社の発表による数字です）。

022. AIエージェントの指示書攻撃はパッチで直る？

どういうことか

いいえ。同社は、これは製品の不具合ではないと書いています。フォルダにある指示ファイルに従うのは、設計どおりの動きだからです。メーカーの修正（パッチ）で消える種類の問題ではない、という整理です。

ここから学べるのは、コーディングAIに限った話ではありません。 AIは、渡された文章や、読める場所にあるファイルを、指示として受け取ってしまうことがある。メールの本文、ウェブページ、共有フォルダの資料も同じです。

「作業はAI、判断は人間」の線で言えば、AIに何を読ませるか、どこで動かすかは、人が決める側の仕事です。

033. 社内と外注先でAIの作業場所はどう決める？

何が起きた

同社が挙げている対策をもとに、経営者が確認しておくことを3つに絞ります。細かい設定は、エンジニアや外注先に任せてかまいません。覚えるのは「作業場所」「見覚えのない指示書」「確認を切らない」の3語です。

1. 作業フォルダを決めるダウンロードフォルダやデスクトップでAIを起動しない。案件ごとの決まったフォルダで動かす
2. 見覚えのない指示ファイルを確認する書いた覚えのない AGENTS.md や CLAUDE.md があれば、AIに読ませる前に人が中身を読む
3. 承認やサンドボックス（隔離）を切らない「確認を飛ばせ」「隔離を外せ」という指示が出てきたら、事故の合図と考える。怪しいと思ったら、ログイン情報を作り直す

外注先にコードを頼んでいるなら、「AIを使うときの作業場所と、承認の設定はどうしていますか」と一度聞いてみてください。答えが返ってくるだけで、相手の運用が見えます。

まとめ：AIに任せるほど、置き場所の管理が効く

1. AIエージェントは、作業フォルダの指示書に従うように作られている
2. ダウンロードフォルダに指示書を置かれる攻撃が報告された。修正で消える種類の問題ではない
3. 作業フォルダ・見覚えのない指示書・承認を切らない、の3つを社内と外注先で確認する

来週の11/17号では、AIエージェントをどこまで任せるかの見極めを扱います。

自社や外注先のAIの使い方、どこから確認するか一緒に整理します。