最近、「Claude Code」や「Codex」などのAIコーディングツールにおいて、「AGENTS.md」や「CLAUDE.md」といった1枚のテキストファイル（Markdown）を介してAIが乗っ取られるというセキュリティリスクが大きな話題となっています。
「怪しい実行ファイル（.exeなど）を開かなければ大丈夫」と思っていませんか？
実は、AIエージェントの時代にはその常識が通用しなくなっています。
今回は、この攻撃の仕組みを紐解きながら、「なぜブラウザの警告をすり抜けるのか」「相手はどこまでコントロールできるのか」という疑問に答えつつ、今すぐできる最も確実な防御策と実践検証の結果をシェアします。
「AGENTS.md攻撃」の仕組みとは？
この攻撃の恐ろしいところは、AIツールのプログラム的なバグではなく、「AIエージェントがプロジェクト内の指示書を自動で読み込んで忠実に従う」という本来の便利機能（仕様）が悪用されている点です。
【攻撃の流れ】
① 悪意あるWebサイトを閲覧する
↓（ユーザーが気づかないうちにブラウザから自動保存）
② ダウンロードフォルダに「AGENTS.md」が勝手に落ちてくる（サイレントダウンロード）
↓
③ 開発者がダウンロードフォルダやホームディレクトリでAIエージェントを起動する
↓
④ AIが「このプロジェクトの指示書だ！」と誤認識して自動読み込み
↓
⑤ ファイルに書かれた悪意ある指示に従い、勝手にマルウェアを導入したり認証情報を送信してしまう
よくある疑問：なぜそんなことが起きるのか？
ここで疑問に思うポイントを整理してみましょう。実はここに、攻撃者が突いてくる「セキュリティの盲点」があります。
疑問①：ブラウザは基本的に確認なしでダウンロードしないのでは？
回答：実行ファイルは警告が出ますが、.mdのようなテキストファイルはスルーされます。
ChromeやEdgeなどのブラウザは、
.exeや.batなどのプログラムファイルには「コンピュータに損害を与える可能性があります」と警告を出します。しかし、.mdや.txt、画像などは「無害なデータ」と判定されるため、警告なしで自動的に保存（サイレントダウンロード）されてしまうのです。
疑問②：ダウンロード先は「Downloads」とは限らないのでは？
回答：その通りです。本質はフォルダ名ではなく「外部ファイルが落ちてくる場所」にあります。
デスクトップを保存先にしている人は、デスクトップでAIを起動すれば同じ被害に遭います。攻撃者は多くの人が初期設定（デフォルト）の「ダウンロードフォルダ」を使っていることや、ネットから落としたコードをそこで解凍してそのままAIを動かす「ズボラな習慣」を狙っています。
疑問③：そもそも相手（Webサイト）はPCの保存先を指定できるの？
回答：相手は保存先フォルダを一切指定できません！
ブラウザのセキュリティ仕様上、Webサイト側が「PCのどのフォルダに保存するか（絶対パス）」を決めることは不可能です。相手ができるのは「ファイル名（
AGENTS.md）」を指定することだけ。どこに保存されるかは、100%あなた自身のPC・ブラウザ設定で決まります。
だからこそ効く！鉄壁の3大防御策
相手が保存場所を指定できないということは、「こちら側でファイルの着地点をコントロールし、そこをAIから隔離すれば完全に防げる」ということです。
対策①：ダウンロード先を「検疫フォルダ」にして定期チェックする
外部から入ってくるファイルの着地点を特定のフォルダ（例: Downloads）に固定しておき、「ここは外からファイルが入ってくる検疫所」と位置づけます。
- 身に覚えのない
.mdや.tomlなどの指示ファイルが落ちていないか、定期的にチェック・ゴミ箱を空にする習慣をつけます。 - （おすすめ裏技） ブラウザ（Chrome/Edge）の
設定→ダウンロードで「ダウンロードする前に各ファイルの保存場所を確認する」をONにしておくと、勝手な自動ダウンロード自体もダイアログで察知してキャンセルできます。
対策②：AIの作業場所は「専用プロジェクトフォルダ」に完全分離する
AIツールを起動する際は、ダウンロードフォルダやデスクトップ、ホームディレクトリ直下で開くのを絶対にやめましょう。
必ず C:\Projects\my-app のように個別のプロジェクト専用フォルダを作成（Create New Project）して、その中だけでAIを動かします。
対策③：AIツールの設定で「ダウンロードフォルダ」へのアクセスを遮断する
万が一AIがダウンロードフォルダを見に行こうとしても、「人間の許可（ポップアップ）なしにはアクセスできない」ようにツール側の権限を縛ります。
【実践検証】AntigravityでDownloadsフォルダへのアクセスを制限してみた
今回はAI開発ツール「Antigravity」(Version2.28.2)を使い、ダウンロードフォルダへのアクセス時に確認ポップアップ（Ask）を出す設定を実際に試してみました。
設定手順
- 設定画面（Settings）を開く
General→Tool Permissions→File Access Rulesを選択- ルールにダウンロードフォルダを指定し、挙動を
Ask（確認） またはDeny（拒否） に設定
設定パス例：
C:\Users\<ユーザー名>\Downloads
（※フォルダ全体に適用する場合は C:\Users\<ユーザー名>\Downloads\**）
実際にアクセスさせて実験してみた結果
設定後、AIエージェントからダウンロードフォルダへ意図的にアクセスを試みてみました。
実験①：ターミナルコマンドによるアクセス
- 結果:
PermissionDenied（アクセス拒否）で自動ブロック！ - サンドボックス機能により、プロジェクト外のフォルダに対するシェルコマンドの実行は最初から遮断されました。
実験②：ファイルの直接作成・読み込みアクセス
- 結果: 画面上に「ファイルアクセスを許可しますか？」という確認ダイアログ（ポップアップ）が出現！
AIが勝手にファイルを読み書きすることはできず、人間が「許可」ボタンを押さない限り完全にストップすることが確認できました。
まとめ：AIエージェント時代に持つべき新しいセキュリティ常識
AIコーディングエージェントは非常に便利ですが、PC上でファイル操作やコマンド実行を行える強力な権限を持っています。
- 「.mdファイルなら安全」という過去の常識を捨てる
- ダウンロード先を検疫所として固定・把握し、AI作業用フォルダと物理的に分ける
- AIツール側のアクセス権限（File Access Rules）でダウンロード先を「Ask」や「Deny」に設定しておく
相手はPC内の保存場所を指定できないからこそ、「入り口を1箇所に絞ってAIから隔離する」というシンプルな対策で確実に防ぐことができます。
数分で終わる設定ですので、AIツールを使っている方はぜひ今すぐ設定を見直してみてください！
