Claude CodeとCodexが乗っ取られる？ダウンロードフォルダの危険

Claude CodeやCodexは、最初に選んだフォルダの中で作業します。

そのフォルダが「ダウンロード」なら、今日のうちに別のフォルダに変えてください。

2026年10月22日、ダウンロードフォルダに紛れ込んだファイルの指示をAIが読んで、AI自身の設定を書き換えてしまう、という研究が出ました。

書き換えられると、Claudeにログインするための鍵が、他人に見えることがありました。

AIに作業させるフォルダは専用に作り、ダウンロードフォルダは選ばないでください。

ダウンロードフォルダの「指示書」に、AIが従ってしまった
なぜダウンロードフォルダが危ないのか
AI専用の作業フォルダを作る
ダウンロードフォルダに、自分の指示書を先に置いておく
確認の画面を、飛ばさない
Claude Codeに、ダウンロードフォルダを読ませない設定をする
ダウンロードフォルダを片付ける
よくある質問
まとめ
参考にした情報

ダウンロードフォルダの「指示書」に、AIが従ってしまった

研究を出したのは、セキュリティ会社のForever Securityです。

きっかけは、ある会社のパソコンで、AIが悪いプログラム入りの追加ソフトをインストールしようとしたことでした。

インストールは、同社のセキュリティの仕組みが途中で止めました。

AIがなぜそれを入れようとしたのかをたどると、ダウンロードフォルダにあった「AGENTS.md」というファイルに行き着きました。

AGENTS.mdは、AIへの作業の指示を書いておくファイルです。

エンジニアのメモのような見た目で、「この追加ソフトを入れてから作業すること」という指示が書かれていました。

誰がそのファイルを置いたのかは、分かっていません。

このように、ファイルの中にAIへの命令をこっそり書いておく攻撃を、「プロンプトインジェクション」と呼びます。

研究チームが同じような指示書で試すと、次の結果になりました。

Codex（OpenAI）：実物の指示書を読ませると、10回中9回以上、指示どおりに悪いプログラムを動かした。途中で、Codex自身の設定ファイルも書き換えた
Claude Code（Anthropic）：研究者が作った指示書を読ませると、2回に1回ほど、Claudeとのやりとりが研究者のサーバーを通るように設定を書き換えようとした

Claude Codeは、設定ファイルを書き換える前に「実行していいですか？」と聞いてきます。

研究では、見るからに怪しい書き換えは、Claudeが自分で断ることも多かったそうです。

書き換えた設定のせいで、Claudeにログインするための鍵（トークン）が研究者に見えました。

鍵を持たれると、他人がその人のアカウントでClaudeを使えてしまいます。

ダウンロードフォルダに紛れた指示書（AGENTS.md）を、AIが作業のルールだと思って読み、自分の設定を書き換えてしまう流れの図

なぜダウンロードフォルダが危ないのか

1つ目の理由は、自分で選んでいないファイルまで入ってくることです。

研究記事によると、Webページを開いただけで、そのページを作った人が決めた名前と中身のファイルを、ダウンロードフォルダに保存させられます。

2つ目の理由は、AIが作業を始めるとき、そのフォルダにある指示書を最初に読むことです。

Claude Codeは「CLAUDE.md」、Codexは「AGENTS.md」という名前のファイルを、作業のルールとして読みます。

Claude Codeは、CLAUDE.mdが無ければAGENTS.mdも読みます。

本来は、自分で書いて「このフォルダではこう作業して」とAIに伝えるためのファイルです。

その指示書を、他人が置けてしまうのがダウンロードフォルダです。

取引先から届くExcelやPDFも、AIに読ませれば、中に書かれた文をAIが読みます。

知らない人から届いたファイルは、AIに読ませる前に、自分で開いて中身を見ておきます。

メール・Webページ・アプリからいろいろなファイルが流れ込むダウンロードフォルダと、AIが最初に読む指示書（CLAUDE.md・AGENTS.md）が重なると危ない、という図

AI専用の作業フォルダを作る

「書類」（Windowsは「ドキュメント」）の中に、「AI作業」フォルダを作る
仕事ごとに、その中にフォルダを作る
使いたいファイルは、中身を確かめてから、仕事ごとのフォルダへ移す
AIで作業を始めるときは、仕事ごとのフォルダを選ぶ

ClaudeのデスクトップアプリやCodexのアプリでは、作業を始めるときに、フォルダを選べます。

Claudeのデスクトップアプリなら、入力欄の下の［選択…］を押し、［フォルダを開く…］から仕事ごとのフォルダを選びます。

Claudeのデスクトップアプリの入力欄の下で［選択…］を押し、［フォルダを開く…］から作業するフォルダを選ぶ画面。最近使ったフォルダの名前はぼかしている

ここで「ダウンロード」を選ばないことが、今回の手口へのいちばんの守りです。

研究で示されたのは、ダウンロードフォルダを選んでAIを動かしたときの手口でした。

「AI作業」フォルダは、ダウンロードフォルダの中に作らないでください。

Claude Codeは、作業フォルダより上の階層にあるCLAUDE.mdも、起動したときに読むからです。

ダウンロードフォルダに、自分の指示書を先に置いておく

Xで紹介されていた工夫も、あわせてやっておくと安心です。

ダウンロードフォルダに、自分で「CLAUDE.md」と「AGENTS.md」を作っておきます。

あとから同じ名前のファイルがダウンロードされると、ブラウザは名前を変えて保存します。

Chromeなら「CLAUDE (1).md」のようになり、AIが指示書として読む名前ではなくなります。

作り方は、1行だけのファイルを自分で作って、ダウンロードフォルダに保存するだけです。

AIには作らせず、自分の手で作ります。

テキストエディットを開き、［新規書類］を選ぶ
メニューの［フォーマット］→［標準テキストにする］を選ぶ
「このフォルダは作業フォルダではありません。」と1行だけ書く
［ファイル］→［保存］で、名前を「CLAUDE.md」、場所を「ダウンロード」にして保存する
拡張子を聞かれたら、「.md」を使うほうを選ぶ

拡張子を聞かれずに「CLAUDE.md.txt」のような名前で保存されたときは、保存したあとに自分で名前を直します。

Finderでファイルを選んで［return］キーを押し、名前の最後の「.txt」を消して「CLAUDE.md」にします。

拡張子を変えるか聞かれたら、「.md」を使うほうを選びます。

同じ手順で、名前を「AGENTS.md」にしたファイルも作ります。

Windowsなら、メモ帳で1行書いて［名前を付けて保存］を選び、ファイルの種類を「すべてのファイル」にして、同じ名前で保存します。

名前の最後が見えないときは、エクスプローラーの［表示］で「ファイル名拡張子」にチェックを入れると、「.txt」が付いていないかを確かめられます。

保存するときに「すでに存在します」と出たら、置き換えずにやめて、下の「片付ける」に進んでください。

ただ、この工夫で防げるのは、ダウンロードフォルダにそのまま保存されるファイルだけです。

圧縮ファイルを解凍してできたフォルダの中の指示書は、名前が変わりません。

本命は、あくまで専用の作業フォルダです。

ダウンロードフォルダに自分のCLAUDE.mdを先に置いておくと、あとから来た同じ名前のファイルが「CLAUDE (1).md」に名前を変えられて、AIに読まれなくなる、という図

確認の画面を、飛ばさない

Claude Codeはファイルの書き換えやコマンドの前に、Codexは作業フォルダの外に出る操作の前に、「実行していいですか？」と聞いてきます。

研究で使われた指示書は、確認と制限を切った別のCodexを、AI自身に動かさせる内容でした。

研究チームも、確認と制限は有効のままにするよう勧めています。

Claude Code：確認をすべて飛ばすモード（「bypassPermissions」）
Codex：「フルアクセス」（AIが触れる範囲の制限を外し、確認もしない設定）

自分で変えていなければ、どちらも確認が出る設定のままです。

確認の画面に、次のような内容が出てきたら、頼んでいないものは「いいえ」を選んでください。

頼んでいない追加ソフトのインストール（画面には「install」と出ます）
頼んでいないのに出てきた、AI自身の設定ファイル（「settings.json」「config.toml」）の書き換え
確認を切る、制限を外す、といった操作

Codexは、書き換えられる範囲を作業フォルダの中に絞る設定が基本です。

ここを「フルアクセス」に変えないでください。

ただ、Codexは作業フォルダの外のファイルを読むことまでは止めないので、専用の作業フォルダで開くことが、いちばんの守りになります。

AIの「実行していいですか？」の確認で、頼んでいないインストールや設定の書き換えが出てきたら「いいえ」を押す、という図

Claude Codeに、ダウンロードフォルダを読ませない設定をする

Claude Codeは、読ませないフォルダを設定ファイル「settings.json」で決められます。

このファイルは、ふだんは見えないフォルダの中にあるので、Claude Codeに頼んで足してもらいます。

ダウンロード以外のフォルダでClaude Codeを開いてから、こう頼んでください。

~/.claude/settings.json の permissions.deny に、"Read(~/Downloads/**)" と "Edit(~/Downloads/**)" を足してください。いまある設定は消さずに残してください。足したあとの settings.json の中身を見せてください。

頼むと、設定ファイルを書き換えてよいかの確認が出ます。

中身が、頼んだ2行を足すだけになっているのを見てから「はい」を選んでください。

足すと、Claude Codeは、ファイルを開く道具でダウンロードフォルダを読んだり書き換えたりできなくなります。

足したあとの設定ファイルは、次のようになります。

{
  "permissions": {
    "deny": [
      "Read(~/Downloads/**)",
      "Edit(~/Downloads/**)"
    ]
  }
}

ただ、Claudeが小さなプログラムを書いて動かし、そのプログラムにファイルを読ませると、この設定では止まりません。

そこまで止めたいときは、「サンドボックス」を使います。

AIが動かすプログラムを、決めた範囲の中だけで動かす仕組みです。

Macで使えて、Windowsでは使えません。

~/.claude/settings.json に、sandbox.enabled を true、sandbox.filesystem.denyRead に "~/Downloads" を足してください。いまある設定は消さずに残してください。足したあとの中身を見せてください。

設定ファイル（settings.json）でダウンロードフォルダを読ませないようにすると、AIの手がダウンロードフォルダの手前で止まる、という図

ダウンロードフォルダを片付ける

私が仕事で使っているMacのダウンロードフォルダには、128件のファイルがありました。

この中に、AIへの指示書になる「CLAUDE.md」「AGENTS.md」は見つかりませんでした。

Macなら、Finderでダウンロードフォルダを開き、右上の検索欄に「AGENTS」と入れます。

出てくる候補から「名前に“AGENTS”を含む」を選び、上の「“ダウンロード”」を押して範囲を絞ります。

終わったら、「CLAUDE」でももう一度探します。

Windowsなら、エクスプローラーでダウンロードフォルダを開き、右上の検索欄に同じ言葉を入れます。

MacのFinderで、検索欄に「AGENTS」と入れ、検索の範囲を「ダウンロード」にした画面。結果は0項目。サイドバーのフォルダ名はぼかしている

私のMacでは、「AGENTS」で探すと0項目でした。

「CLAUDE」で探すと、Claudeのアプリのインストーラーなども出てくるので、名前が「CLAUDE.md」のものだけを見ます。

自分で作った覚えのないものが見つかったら、開かずにゴミ箱へ入れてください。

残しておきたいファイルは、中身を確かめてから仕事ごとのフォルダへ移し、要らないファイルはゴミ箱へ入れます。

この片付けは、AIに頼まず、自分の手でやってください。

AIに「ダウンロードフォルダを整理して」と頼むと、AIにダウンロードフォルダを読ませることになるからです。

ダウンロードフォルダのファイルを、人の手で仕事のフォルダとゴミ箱に分けていく片付けの図

よくある質問

ダウンロードフォルダで使ってきました。もう被害にあっていないか、確かめられますか？

次の2つを見ます。

上の手順で、ダウンロードフォルダに作った覚えのない「CLAUDE.md」「AGENTS.md」がないかを探す
ダウンロードフォルダで隠れたファイルを出し、「.claude」「.codex」というフォルダがないかを見る

隠れたファイルの出し方は、MacとWindowsで違います。

Mac：Finderでダウンロードフォルダを開き、「command」「shift」「.（ピリオド）」を同時に押す
Windows：エクスプローラーでダウンロードフォルダを開き、［表示］で「隠しファイル」にチェックを入れる

Windows 11では、［表示］→［表示］の中に「隠しファイル」があります。

「.claude」「.codex」というフォルダが出てきたら、ダウンロードフォルダでAIが作業した跡です。

Claude Codeの研究で書き換えられたのは、この「.claude」の中の設定ファイルでした。

Codexを使っている人は、ホームフォルダでも同じように隠れたファイルを出し、「.codex」の中の「config.toml」を開きます。

ホームフォルダは、Macなら家の形のアイコンのフォルダ、Windowsなら「C:\ユーザー\（自分の名前）」です。

config.tomlは、Macならテキストエディット、Windowsならメモ帳で開けます。

入れた覚えのない「mcp_servers」や「chatgpt_base_url」という項目があったら、Codexの研究で書き換えられたのと同じ場所です。

作った覚えのない指示書や項目が見つかったら、そのAIを使うのをやめて、項目を消す前に、詳しい人に相談してください。

研究チームは、項目を消したうえで、ログインの鍵（トークン）を作り直すよう勧めています。

見終わったら、Macはもう一度「command」「shift」「.」を押し、Windowsは「隠しファイル」のチェックを外すと、元の表示に戻ります。

ChatGPTやClaudeの画面で話しているだけでも、危ないですか？

今回の研究で書き換えられたのは、パソコンのフォルダを開いて作業するAI（Claude CodeやCodex）の設定でした。

チャットの画面にファイルを添付して質問するだけの使い方は、今回の研究の対象ではありません。

ただ、添付したファイルを読ませた後に、AIが「このURLを開いて」「このソフトを入れて」のように頼んでいないことを言い出したら、従わないでください。

ダウンロードフォルダの保存先を変えたほうがいいですか？

ブラウザの保存先を変えても、変えた先に、同じように知らないファイルが入ってくるだけです。

保存先はそのままで大丈夫です。

まとめ

ダウンロードフォルダに置かれた指示書を読んで、AIが自分の設定を書き換える研究が出た
AIに作業させるフォルダは専用に作り、ダウンロードフォルダは選ばない
確認の画面で、頼んでいないインストールや設定の書き換えが出たら断る
ダウンロードフォルダの片付けは、AIに頼まず自分でやる

社内で、AIにどのフォルダを触らせているか、把握できていますか？

次のどれかに心当たりがあれば、一度話を聞かせてください。

社員が、Claude CodeやCodexを自分の判断で入れて使っている
AIにどのフォルダを触らせているか、誰も把握していない
AIに任せてよい作業と、人が確かめる作業の線引きができていない

30分の無料のAI活用診断で、AIに任せる作業・人が確かめる作業・AIに入力してはいけない情報を整理し、最初に試すことを1つ決めます。

その場で見積もりは出さず、売り込みもしません。

AI活用診断の内容を見る

すぐに相談するほどではない方には、AIとITの話をメルマガでお届けしています。

登録すると、特典も届きます。

メルマガに登録する

Claude Codeに、パソコンのどこまで触らせるかの初期設定は、「Claude Codeは初期設定だとパソコン中のファイルを書き換えられる｜止め方を教えます」にまとめています。

AIの使い方の記事は、こちらにまとめています。

中小企業のAI活用ガイド

参考にした情報

いま受け取れる特典は、全部で9つ。すべて無料です。

Claude Codeで作る動画キット … 日本語で頼むだけで、告知動画を作る指示文とサンプル一式。
AIが作る見た目を選べるデザイン様式50 … 名前をひとつ添えるだけで、サイトも資料も50通りに。
AIの仕上がりを毎回そろえる型プロンプト … コピペするだけ・作成フォーム付き。
ChatGPT超入門ガイド … 「何ができるの？」がスッキリ分かる入門書。
AIで仕事をラクにする業務改善チェックリスト … “任せられる仕事”を見つける。
今日から使えるAI活用シーン10選 … まねするだけ。
NotebookLMでスライドを作ろう … 資料づくりを10倍速に。
撮った動画を“見返せる資産”に変える手順書 … 文字起こし→目次→字幕まで。
AI活用ガイドブック（全70ページ） … 登録＋3分のアンケートで無料（Kindleでは980円）。

この記事は役に立ちましたか？