セキュリティファンスコア 66 · ティア Aソース2件
DownloadsのAGENTS.mdでAIが不正なnpmパッケージを入れかけた事例と設定の点検
要点 · ソース2件をもとに作成
- 顧客のPCで、コーディングエージェントがダウンロードフォルダにあったAGENTS.mdを作業手順として読み、悪意のあるnpmパッケージfunction-colorのインストールを試みた
- Forever Securityによると、不正なコードが実行される前に検知して停止した
- ブラウザの保存先をAIの作業場所にすると、外部から届いたファイルが起動時の指示として読まれることがあるとされる
なぜ重要か
AIエージェントの作業フォルダにダウンロード先など外部から届くファイルが置かれていると、そこに仕込まれた指示でnpmパッケージの導入などが行われる恐れがある。開発者はエージェントの作業場所を見直す必要がある。
影響を受ける人
- CodexやClaude Codeを使う開発者
- ブラウザのダウンロードフォルダをAIの作業場所にしている人
- npmパッケージを利用する開発者
取るべき対応
- CodexやClaude Codeはダウンロード先とは別の専用フォルダで起動する
TL;DR Forever Securityが報告した顧客PCの事例では、コーディングエージェントが Downloads の AGENTS.md を読み、悪意のあるnpmパッケージ function-color のインストールを試みました。 不正なコードは実行前に検知・停...
タイムライン
すべての報道 · ソース2件
- 1時間前 ↗
Zennの「Security」のフィード
DownloadsのAGENTS.mdを読んだAIが、不正なnpmパッケージを入れようとした - 1時間前 ↗
MCPタグが付けられた新着記事 - Qiita
DownloadsのAGENTS.mdでAIが不正なnpmパッケージを入れかけた事例と設定の点検