Claude Code・CodexをDownloadsで起動しない理由｜安全な作業場所と確認項目

Claude Code・CodexをDownloadsで起動しない理由

受取と作業を分けるの図解。受け取りフォルダ、専用の作業フォルダ、丸ごと移動するだけでは安全にならない

Downloadsは外部ファイルの受け取り場所であり、確認済みの作業指示だけが置かれる場所ではありません。AIエージェントの作業場所にすると、保存された資料と、エージェント向けの指示が混ざる点に注意が必要です。

外部から保存された文章が指示として読まれる

Claude CodeやCodexには、プロジェクトの規約をファイルから読み込む仕組みがあります。毎回同じ説明を入力せずに済む便利な機能ですが、起動場所に第三者が用意した指示ファイルがあると、意図しない内容が作業の前提に入り込む可能性があります。

たとえば、資料を読むつもりでDownloadsを開いたとき、同じ場所に「作業前に設定を変更する」と書かれたファイルがある場面です。その文章が正式な作業ルールとして扱われると、利用者が依頼していない操作へ誘導されるおそれがあります。文書の内容を命令へすり替える、間接的なプロンプトインジェクションの入口になります。

Downloads自体が特別な実行機能を持つわけではありません。ブラウザなどを通じて入った未確認のファイルと、エージェントが読む指示の探索範囲が重なることが問題です。同じ条件がそろえば、共有フォルダや出所不明の展開済みプロジェクトでも注意が必要になります。

研究報告で確認されたこと

Forever Securityは2026年10月22日の調査報告で、Downloadsに置かれた悪意あるAGENTS.mdを起点とする事例を紹介しています。報告では実際の環境でマルウェア導入の試みを検知・阻止し、その後に隔離環境でCodexの挙動を検証しています。

同報告は、Claude Code向けに作成したCLAUDE.mdでも検証しています。Codex側では外部ツールの設定を追加させる誘導、Claude Code側では接続先の設定を変更させる誘導を扱っています。ただし、最初の実環境での検知、研究者による再現、製品の一般的な仕様は別の事実です。

この報告を「両製品の全バージョンで無条件に感染する」と読むことはできません。起動場所の信頼設定、指示に従うモデルの挙動、設定変更の扱い、実行と通信の権限などが成立に関わります。本記事では攻撃用の内容や再現コマンドを掲載せず、確認すべき境界を整理します。

ファイルの存在と被害の成立を区別する

ファイルがDownloadsにあること、エージェントがそれを読んだこと、設定が変わったこと、外部への通信や実行が起きたことは、それぞれ異なる段階です。最初の段階だけを見て感染と断定したり、逆に実行ファイルを開いていないから無関係と判断したりしないようにします。

予防では未確認の指示を読ませる入口を減らし、権限と接続先で後続の操作も制御します。調査では、どこまで進んだ証拠があるかを確認します。研究報告の攻撃成功率を、一般の利用者が被害に遭う確率として引用しないことも大切です。

Claude Code・Codexが指示ファイルを読む仕組み

指示ファイルは、モデルへ作業の進め方を伝えるためのものです。ファイルに書かれた文章と、実際に許される操作を決める設定は別の役割を持ちます。まずこの違いを押さえると、何を確認すべきかが明確になります。

Codexは作業場所に応じてAGENTS.mdを読み込む

OpenAIの公式説明では、Codexは起動時にグローバルの指示とプロジェクトの指示を組み合わせます。プロジェクトのルートから現在の作業ディレクトリまでを確認し、ルートを見つけられない場合は現在のディレクトリを確認します。

確認対象にはAGENTS.override.md、AGENTS.md、設定された代替ファイル名があります。そのため、AGENTS.mdだけを探して存在しなかったことを、安全確認の完了にしないようにします。自分の環境で有効な指示と設定を把握することが必要です。

Downloadsを作業場所にすると、その場所にある指示ファイルが探索対象となり得ます。信頼したプロジェクトにどの規約を与えるかという便利な仕組みが、受け取り場所では未確認の文章を拾う経路にもなるということです。

AIエージェントの作り方

AIエージェントを「どう作り、どう育てるか」を、GiftX記事制作エージェントの実物で解説。

無料ダウンロード →

Claude CodeではCLAUDE.mdと読込み条件を確認する

Claude Codeの公式メモリ文書は、CLAUDE.mdをモデルへ文脈と指示を渡すファイルとして説明しています。強制的なセキュリティ設定ではありません。作業ディレクトリと上位の階層にある指示が関わるため、目の前のフォルダだけを見る確認では不十分な場合があります。

同文書では、条件に応じたAGENTS.mdの読込みも案内されています。したがって「Claude CodeだからCLAUDE.mdだけ」「CodexだからAGENTS.mdだけ」と固定せず、利用している版と設定に対応した公式の探索規則を確認します。

指示ファイルが同梱されたプロジェクトを受け取ること自体は珍しくありません。ファイル名だけで悪意と判断せず、入手元、必要性、内容を人が確認します。設定の変更や新しい外部接続を要求する箇所は、元の作業目的と関係があるかまで見ます。

指示の読込み・設定変更・実行権限は別の境界

指示を読んだ後に何が実行できるかは、製品の権限制御と実行環境によって変わります。Codexの公式セキュリティ文書は、サンドボックスと承認ポリシーを別の層として説明しています。サンドボックスは技術的に操作できる範囲、承認ポリシーは承認が必要な条件を決めます。

Claude Codeも公式セキュリティ文書で、モードにより承認の扱いが異なると説明しています。自動判定を使うモードと人が承認するモードがあり、常に同じ確認画面が出るとは限りません。作業フォルダの境界とOS（Operating System、基本ソフト）側の隔離も同じではありません。

確認は以下の段階に分けると整理できます。各段階は互いの代わりになりません。フォルダを変えただけで、すべての権限や過去の設定変更が元に戻るわけでもありません。

確認する境界	見るもの	確認したいこと
指示の入口	作業場所・上位階層・グローバルの指示	意図しない文章が作業規約に入らないか
設定の変更	差分・外部ツール登録・接続先	依頼していない変更がないか
操作の権限	承認モード・書込み範囲・通信制限	必要以上の操作を許していないか
実際の結果	操作記録・通信記録・生成された差分	何が実行され、どこまで影響したか

この区別は、エージェントへ「安全に作業して」と頼むだけで済ませないためのものです。モデルへの指示と、環境側の制限、人による確認を組み合わせます。

Claude Code・Codexの安全な作業場所と始め方

Downloadsは受け取り場所として使い、作業は案件ごとの専用フォルダで始める方法を推奨します。専用フォルダという名前だけでは安全性を保証しません。入れるファイルと権限を確認する手順をセットにします。

まず必要な入力だけを選ぶ

最初に、何をしてもらうのかと必要な入力を決めます。資料の要約なら対象資料だけ、コードの修正なら確認済みのプロジェクトだけを作業範囲にします。Downloads全体を渡して「必要なものを探して」と依頼すると、無関係なファイルまで読む範囲が広がります。

受け取ったフォルダを丸ごと移すだけでは、同梱された指示や設定も移ります。ファイル名、拡張子、隠しファイルの表示を確認し、必要な資料と設定を区別します。確認のために不明なスクリプトを動かしたり、エージェントへその指示を実行させたりする必要はありません。

起動前の確認手順

次は、本記事で提案する起動前の手順です。既存の組織ルールや管理者による設定がある場合は、それに従って実施します。安全確認のために承認や隔離を解除する操作は含みません。

場所を決める：自分が管理する案件別フォルダを用意し、今回の目的に必要な入力だけを置く。
指示を確認する：指示ファイルとプロジェクト設定を人が読み、入手元と内容を確認する。
上位の範囲を見る：親フォルダやグローバルの指示、追加された読書き対象が意図したものか確認する。
権限を確認する：現在の承認モード、書込み可能な場所、外部通信の扱いを確認する。
小さく開始する：最初は読取りや変更案の提示から始め、差分を見てから必要な操作を進める。

作業場所の確認では、ターミナルなら現在のディレクトリ、アプリなら選択中のプロジェクトや実行場所を見ます。ウィンドウを開いた場所と実際の実行場所が同じとは限らないため、表示されている対象を確認してから依頼します。

接続先と外部ツールを確認する

外部ツールをつなぐMCP（Model Context Protocol、AIと外部機能を接続するための共通規約）の設定や、API（Application Programming Interface、外部機能の呼出し口）の接続先も確認対象です。知らない登録がある場合は、登録理由と利用先を確認してから作業を進めます。

「初期化に必要」「接続エラーを直すため」と説明されても、その文言だけで新しい接続先や広い権限を承認しないようにします。変更対象、通信先、送るデータ、元の依頼との関係を確認します。設定を見直す際は秘密値をチャットや報告へ貼らず、項目名と接続先の確認にとどめます。

AI活用実態調査レポート

オフィス系7職種のAI利用者669人の調査では、生産性向上を明確に実感した割合が、チャット中心の利用層14.3%に対しAIエージェント利用層54.3%。約3.8倍の差が見られました。

無料ダウンロード →

終了時は差分と未完了の操作を見る

起動時だけでなく、作業後にも意図したファイルだけが変わっているかを確認します。説明された成果物以外に、設定ファイルや外部ツール登録が変更されていれば、その理由を確かめます。作業の成功メッセージだけを確認の代わりにしません。

コードを扱う場合は、変更内容を比較できる状態で始めると確認しやすくなります。一般の資料作業でも、元ファイルを保ち、出力先を分けることで意図しない上書きを見つけやすくなります。これは不審な操作の検知だけでなく、通常の誤編集から戻す際にも役立ちます。

Downloadsで起動済みなら、場所と設定を分けて確認する

Downloadsで起動した経験があるだけで、被害があったとは断定できません。一方、作業場所を変えれば過去の設定変更も消えるとは限りません。予防と事後確認を分けて進めます。

不審な動きがあれば追加実行を止める

知らない指示ファイルや接続先、依頼していない設定変更に気づいた場合は、その環境での追加作業を止めます。ファイルの場所、確認時刻、表示された操作、承認した内容を記録し、必要に応じて組織の管理担当者へ引き継ぎます。

不審な内容をエージェントへそのまま実行させて確かめることは避けます。また、証拠を残す前に設定をまとめて消すと、影響を調べにくくなります。確認対象を限定し、秘密値を含むログや設定全体を共有しないようにします。

永続する設定と実行記録を確認する

見る対象は、指示ファイル、ユーザー全体とプロジェクトの設定、外部ツール登録、接続先、直近の操作記録です。正当な変更と区別するため、既知の設定や管理記録と照合します。フォルダを移した後も設定が残る可能性がある点が、起動前の確認との違いです。

外部送信や認証情報の露出が疑われる場合は、影響する接続先と利用範囲を確認し、管理者と失効・再発行などの対応を判断します。根拠なく全認証を変更するのではなく、何が露出した可能性があるかを先に特定します。新しい作業は、確認済みの別環境で再開します。

Claude Code・Codexの作業場所に関するFAQ

DownloadsにAGENTS.mdがあるだけで感染しますか？

ファイルの存在だけでは感染を示しません。読み込まれたか、指示に従って設定が変わったか、操作や通信が実行されたかを分けて確認します。見つけたファイルを実行して試す必要はありません。入手元や内容が不明なら、追加作業を止めて確認します。

ダウンロードしたPDFを読むだけでも注意が必要ですか？

作業場所にある指示ファイルと、PDF自体の内容は別の入口です。必要なPDFだけを確認済みの場所へ移し、資料内の文章を作業指示として実行しない扱いにします。場所を分けても文書内容の安全性まで保証されるわけではないため、外部送信や実行の権限も限定します。

専用フォルダへ丸ごと移せば安全ですか？

丸ごと移すと、未確認の指示や隠し設定も一緒に移ることがあります。専用フォルダへ移す前に、必要な入力と設定を区別してください。フォルダ名を変えることではなく、入れる内容と実行範囲を自分で確認できることが予防の要点です。

毎回承認画面が出れば安心できますか？

承認は防御の一部ですが、内容を見ずに許可すると役割を果たせません。また、モードや設定により自動判定される操作もあります。現在の有効な権限を確認し、承認対象の変更先・通信先・データが元の依頼に必要かを判断します。

Claude Codeだけ、Codexだけの問題ですか？

報告は両製品での検証を扱っていますが、一般化できるのは未確認の文章が指示として扱われる入口に注意するという点です。製品ごとの指示探索、設定、承認、隔離の仕様は異なります。他のツールも名前だけで判断せず、実際に読み込む範囲を確認してください。

まとめ｜Claude Code・Codexは確認済みの作業場所から起動する

Claude Code・Codexを使う際は、Downloadsを受け取り場所とし、確認済みの案件別フォルダを作業場所にすることを推奨します。必要な入力だけを置き、指示ファイル、設定、実行権限、接続先を確認します。すでに起動していた場合は感染を決めつけず、設定変更や実行記録を確認し、フォルダ移動だけで対処を終えないことが大切です。

作業場所と権限の確認を日常の手順に組み込み、成果物だけでなく作業前後の設定の差分も見られるようにすると、誤操作の早期発見にも役立ちます。GiftXでは、確認工程を含む1業務単位のAIエージェント実装を支援しています。詳細はAIエージェント構築支援サービスをご覧ください。