2026年10月26日ごろから、SNS で「Claude Code や Codex をダウンロードフォルダーで起動すると、ブラウザーが保存した指示ファイルで乗っ取られる」という手口が広まりました。起動したフォルダーの CLAUDE.md・AGENTS.md（AI への指示を書くファイル）を読むこと、設定ファイルで接続先や MCP サーバー（外部ツールをつなぐ仕組み）を変えられることは、どちらも公式ドキュメントに書かれた仕様です。投稿の成功率や「パッチは出ない」という点は、公式の記載では確認できません。この記事では、両社の公式ドキュメント・Chrome ヘルプ・MDN・NVD の記載だけで、仕組みと今やることを整理します。
【結論】
- 関係する人：ダウンロードフォルダーで Claude Code や Codex を起動したことがある人。
- 公式で確かめられたこと：どちらも起動したフォルダーの指示ファイルを読みます。Claude Code はフォルダーの設定ファイルで API の接続先（ANTHROPIC_BASE_URL）を変えられ、Codex は
~/.codex/config.tomlがすべてのフォルダーに効きます。 - 歯止め：初回の「このフォルダーを信頼するか」の確認と、設定ファイルへの書き込みの確認（または自動判定）です。投稿の流れは、これらを通ることが前提です。
- 今やること：ダウンロードフォルダーで起動しない、見覚えのないフォルダーは信頼しない、設定ファイルに覚えのない接続先や MCP サーバーがないか確かめる。
何が広まったか：投稿が説明する手口の流れ
以下は投稿の主張です。公式の記載との突き合わせは後の対応表にあります。
| 段階 | 投稿の主張 |
|---|---|
| 1. 罠のページを開く | JavaScript で .md ファイルが確認なしにダウンロードされる |
| 2. ダウンロードフォルダーで AI を起動 | AGENTS.md（Codex）や CLAUDE.md（Claude Code）が「ルール」として読まれる |
| 3. Codex の場合 | ~/.codex/config.toml に攻撃者の MCP サーバーと、承認や sandbox（隔離）を緩める設定を書かせる。以後どのフォルダーでも有効 |
| 4. Claude Code の場合 | .claude/settings.json で ANTHROPIC_BASE_URL を攻撃者のサーバーに向けさせ、ログイントークンが送られる。sandbox を切るコマンドが続く |
| 5. 成功率 | Codex は90%超、Claude Code は50%程度 |
公式ドキュメントで確かめた仕様
Claude Code
- 指示ファイル：メモリのページによると、起動したフォルダーとその上のフォルダーの CLAUDE.md・CLAUDE.local.md を読み、CLAUDE.md がなければ AGENTS.md も読みます（v2.1.277 以降）。公式は「強制的な設定ではありません」としています。
- 信頼の確認：セキュリティのページによると、信頼していないフォルダーで起動すると信頼ダイアログが出ます。権限のページでは、リポジトリの外では起動したフォルダー単位で記録され、下のフォルダーにも及びます。
claude -pではダイアログは出ません。 - 環境変数：設定リファレンスの
envキーの例に ANTHROPIC_BASE_URL が載っています。フォルダーの設定の値は、信頼した後に適用され、保存された変更でも再適用されます。 - 接続先とログイン：ゲートウェイのページは、ANTHROPIC_BASE_URL だけを設定すると、リクエストは指定先を経由し、保存された claude.ai ログインが認証情報のまま使われると説明しています。
- 設定ファイルの保護：権限モードのページでは
.claudeは「保護されたパス」で、書き込みは Manual・acceptEdits で確認が出て、auto モードでは別のモデル（分類器）が判定します。 - sandbox：sandbox のページによると既定でオフで、ネイティブ Windows では使えません。sandbox の外で再試行する抜け道は
allowUnsandboxedCommands: falseで無効にできます。
Codex
- 指示ファイル：AGENTS.md のページによると、
~/.codexの AGENTS.override.md か AGENTS.md を読み、次にプロジェクトのルートから作業フォルダーまで、各フォルダーで AGENTS.override.md、AGENTS.md の順に1つ読みます。ルートがなければ作業フォルダーだけです。 - config.toml：設定リファレンスでは、
~/.codex/config.tomlは個人の既定値で、mcp_servers（起動コマンドや URL）、approval_policy、sandbox_modeを決めます。 - 信頼と既定値：承認とセキュリティのページによると、バージョン管理されていないフォルダーには read-only を推奨し、既定の Auto でも作業フォルダーの外の編集には承認が要ります。同じページは「プロンプトインジェクション（文章に紛れ込ませた指示）で、信頼できない指示に従うことがある」と注意しています。
ブラウザーのダウンロード
Chrome ヘルプが保存時の確認の例に挙げるのは実行ファイル（.exe・.dll・.bat）で、.md の記載はありません。MDN は、download 属性でファイルを保存させられ、確認が出るか自動保存かはブラウザーや設定によるとしています。ファイル名の / と \ はアンダースコアに変わるため、.claude/ のようなフォルダーごとは置けず、投稿でも設定ファイルは AI に作らせています。
投稿の主張と公式の記載の対応表
| 投稿の主張 | 公式に書かれているか | 備考 |
|---|---|---|
| .md は確認なしで保存される | 一部 | Chrome の確認の例は実行ファイル。MDN は自動保存の場合があると記載 |
| 開いただけで自動ダウンロード | 記載なし | 始まる条件は書かれていない |
| 指示ファイルが「ルール」として読まれる | あり | Claude Code は AGENTS.md も読む |
| config.toml の設定がどこでも有効 | あり（仕様） | 書き込みには作業フォルダー外の承認が要る |
| settings.json で接続先を変えられる | あり（仕様） | 信頼後に適用。.claude への書き込みは確認か分類器の対象 |
| ログイントークンが送られる | 一部 | 「ログインのままリクエストが指定先を経由」とは説明。盗まれるとは書いていない |
| sandbox を切るコマンド | 一部 | sandbox 外の再試行の仕組みはある。既定はオフ |
| 成功率 90%・50% | 記載なし | 試験の条件は確認できない |
| CVE はなく、パッチも出ない | CVE は見つからない | パッチの方針の記載はない |
| 同名ファイルを置けば防げる | 記載なし | 読まれる名前はほかにもある（FAQ） |
なお、リポジトリの設定の ANTHROPIC_BASE_URL を信頼の確認より前に使う不具合は CVE-2026-21852（v2.0.65 で修正）、信頼ダイアログが飛ばされる不具合は CVE-2026-33068（v2.1.53 で修正）として公表済みです。今回の手口は信頼した後の動きを使います。
自分に関係あるかの切り分け
| 使い方 | 公式の仕様から言えること |
|---|---|
| 作業用のフォルダーでだけ起動 | 投稿の前提には当たらない |
| ダウンロードフォルダーを信頼したことがある | Claude Code では以後そこと下のフォルダーでダイアログが出ない |
claude -p で動かす | ダイアログが出ず、フォルダーの env も使われる |
auto モード・--yolo・approval_policy = "never" | 確認が自動判定になる、またはなくなる |
今やること
- 起動する場所：作業用のフォルダーに必要なファイルだけ移して起動します。
- 信頼ダイアログ：中身を確かめていないフォルダーでは「信頼しない」を選びます。
- Claude Code：
/statusに自分で設定していない「Anthropic base URL」がないか見ます。ダウンロードフォルダーの.claude/settings.jsonと~/.claude/settings.jsonのenvも確かめます。~/.claude/settings.jsonに{"permissions": {"deny": ["Edit(~/Downloads/**)"]}}を足すと、そこへの書き込みを拒否できます（公式によると、スクリプトによる間接的な書き込みには効きません）。 - Codex：
codex mcp listで見覚えのない MCP サーバーがないか見ます。~/.codex/config.tomlのapproval_policy = "never"・sandbox_mode = "danger-full-access"・openai_base_urlを自分で書いたか、~/.codex/AGENTS.mdと AGENTS.override.md の中身も確かめます。 - ダウンロードフォルダー：AGENTS.md・AGENTS.override.md・CLAUDE.md・CLAUDE.local.md・
.claudeがあれば中身を確かめ、身に覚えがなければ削除します。 - 組織：Claude Code は管理設定の拒否ルールを利用者が上書きできず、
allowedProvidersで接続先を固定できます。Codex は requirements.toml で never や danger-full-access を禁止できます。
公式に書かれていないこと
- 投稿の成功率と試験の条件。
- 本件への両社の見解（2026年10月28日時点で、公式ドキュメントと GitHub のセキュリティアドバイザリ一覧に掲載なし）。
- 本件の CVE（NVD のキーワード検索の範囲で見つからない）、被害の報告、アンチウイルスでの検知の可否。
AI と脆弱性の関係は AIが見つける脆弱性は増えている？PHP2Shellの例と運営者が変えること でも整理しています。
よくある質問
CLAUDE.md や AGENTS.md を先に置いておけば防げますか？
公式にその対策の記載はありません。Codex は各フォルダーで AGENTS.md より AGENTS.override.md を先に読み、Claude Code は CLAUDE.local.md や .claude/CLAUDE.md も読みます。1つの名前を置いても、ほかの名前は防げません。
これは脆弱性ですか？パッチは出ますか？
2026年10月28日時点で、本件の CVE は NVD で見つからず、両社の見解も確認できません。指示ファイルの読み込みと設定ファイルでの接続先の変更は、公式に書かれた仕様です。
Windows でも関係ありますか？
Chrome の既定の保存先は、Windows でもユーザーの Downloads フォルダーです。Claude Code の sandbox はネイティブ Windows では動かず、WSL2 が必要です。Codex は PowerShell では Windows の sandbox を使います。
あわせて読みたい：PHPの重大脆弱性php2shellは自分のサイトも対象？修正版と確認手順
参考（確認日：2026年10月28日）
- Claude Code 公式ドキュメント：セキュリティ／Claude があなたのプロジェクトを記憶する方法／権限／権限モード
- Claude Code 公式ドキュメント：設定リファレンス／その他の LLM gateway／サンドボックス
- OpenAI Codex 公式ドキュメント：Custom instructions with AGENTS.md／Agent approvals & security／Config basics／Configuration Reference／Model Context Protocol
- Google Chrome ヘルプ：ファイルをダウンロードする／Google Chrome で一部のダウンロードがブロックされる
- MDN：<a>: アンカー要素（download 属性）
- NVD：CVE-2026-21852／CVE-2026-33068
- GitHub：anthropics/claude-code のセキュリティアドバイザリ／openai/codex のセキュリティアドバイザリ
コメント