AIエージェントのセキュリティ対策――プロンプトインジェクション攻撃を防ぐ実務指針

公開日：2026年10月28日更新日：2026年10月30日文：クリスタルメソッド編集部監修：河合継（代表取締役）

ダウンロードフォルダが攻撃経路になった――2026年10月の実例

2026年10月22日、セキュリティ企業Forever Securityの研究者Gal Weizman氏とOmer Samet氏が、顧客PCの~/Downloads/AGENTS.mdを起点にAIコーディングエージェントが悪性npmパッケージ「function-color」のインストールを試みていた事象を発見・公表した（ITmedia AI＋）。同社は実行前にこれを阻止した。

攻撃の仕組みはシンプルだ。ブラウザはユーザーの操作なくファイルをダウンロードフォルダへ保存できる。コーディングエージェントの多くは特定ディレクトリの指示ファイル（AGENTS.md、CLAUDE.mdなど）を自動的に読み込む。この二つが組み合わさることで、攻撃者はエージェントが受け取る「指示」を外部から書き換えられる――いわゆる間接的プロンプトインジェクションだ。

Forever Securityの検証では、Codexで成功率90%超、Claude Codeで約50%という結果が記録された（ITmedia AI＋）。同社はOpenAIおよびAnthropicに「修正すべき点はない」と明言しており、防御の責任は利用者側にある（ITmedia AI＋）。

実際に企業や個人のどんな情報が漏れたのかは、AIハッキングの主な情報漏洩被害一覧で解説しています。

関連記事AIによる情報漏洩の原因と2つの経路は？

なぜこの攻撃が成立するのか――AIエージェントの構造的課題

AIエージェントは「指示を受け取り、ツールを呼び出し、結果を返す」というループで動く。ここでの根本的な問題は、エージェントが受け取る指示の出所を自身では検証できないという点だ。

LLMベースのエージェントはテキストの内容に従って行動するよう訓練されており、そのテキストが正規のプロジェクト設定なのか、攻撃者が仕込んだ偽の指示書なのかを区別する手がかりが乏しい。ファイルシステム上に置かれたMarkdownも、Webページ内に埋め込まれたテキストも、エージェントには同じ「読み取り可能なコンテキスト」として扱われる。

今回の事例ではさらに、MCPサーバーの設定書き換えによる認証情報の窃取や、Codexでのconfig.toml改ざんによるMCPサーバー登録、Claude CodeでのOAuthトークン奪取も実証されている（zenn.dev）。エージェントが持つ「ファイルの読み書き」「外部APIの呼び出し」「パッケージのインストール」といった権限が、そのまま攻撃の射程になる。

これは個々のモデルや製品の欠陥というよりも、AIエージェントというパラダイム全体が持つ設計上の課題だ。

図：攻撃者が悪性AGENTS.mdをダウンロードフォルダへ誘導し、AIエージェントに悪性操作を実行させるまでの流れと、利用者側で機能させる防御ライン

次に読む：AIセキュリティ対策で企業が今すぐできることは？

AIセキュリティ対策とは？企業が知るべきリスクと今すぐできる対策【2026年】

AIエージェントのセキュリティ対策――未然に防ぐ・早く見つける・被害を小さくする

未然に防ぐ

ダウンロードフォルダでのエージェント起動を組織ルールとして禁止する。Forever Securityが推奨対策の筆頭に挙げるのがこの一手だ（ITmedia AI＋）。コーディングエージェントはプロジェクトの作業ディレクトリ内でのみ起動するルールを文書化し、開発に関わる全員に周知する。CI/CDパイプラインでエージェントを実行する場合も、作業ディレクトリを明示的に指定し、ダウンロード系のパスを除外する。

指示ファイルをGit管理下に置き、変更履歴を残す。エージェントが読み込む設定ファイル（AGENTS.md、CLAUDE.md、config.tomlなど）はバージョン管理下に置き、変更がコミット履歴に記録されるようにする。pre-commitフックや静的解析ツールを活用し、これらのファイルへの予期しない変更を検出する仕組みを設けると、攻撃の早期察知につながる。

最小権限の原則を徹底する。エージェントに付与する権限を、タスク遂行に必要な最小限に絞る。パッケージのインストール権限、外部API呼び出し権限、ファイルシステムへのアクセス範囲を個別に設定できる環境では、デフォルトで制限した状態から始め、必要なものだけを明示的に許可する設計を採る。権限が広すぎること自体が攻撃面の拡大を意味する。

早く見つける

重要な操作に承認ステップを挟む。エージェントが「パッケージのインストール」「外部サービスへの接続」「設定ファイルの変更」を実行しようとする際、人間の確認を必須とするワークフローを組む。多くのコーディングエージェントには特定の操作前に確認を求めるモードが用意されており、本番環境や重要なリポジトリではこれをデフォルト有効にする（hashout.jp）。

エージェントの操作ログを構造化して保存・監視する。エージェントが発行したコマンド、読み込んだファイルのパス、呼び出した外部URLを構造化ログとして記録する。~/Downloads以下のファイルを読み込んだセッション、想定外のnpmパッケージが登場したセッション、MCPサーバーの設定が変更されたセッションを自動的にフラグ立てするルールをSIEMやログ管理ツールに設定することで、異常の検知を早められる。

被害を小さくする

コンテナや仮想マシンでサンドボックス化する。エージェントをコンテナや仮想マシン内で動かし、ホストのファイルシステムや認証情報ストアへのアクセスを物理的に遮断する。万が一エージェントが悪性の指示に従って行動しても、影響範囲をサンドボックス内に封じ込めることで被害を抑えられる。

トークン・認証情報の有効期限を短く設定し、即時失効できる体制を整える。エージェントが利用するAPIキー、OAuthトークン、SSHキーの有効期限を短く設定する。不審な動作を検知した場合は即座に失効・再発行できる手順を整備しておくことが、被害の拡大防止に直結する（ITmedia AI＋）。MCPサーバーの登録状況を定期的に棚卸しし、身に覚えのないサーバーが追加されていないかを確認することも忘れてはならない。

対策の優先度と比較――何から手をつけるか

対策は「即日実施できるもの」と「インフラ整備が必要なもの」に分かれる。以下の表を参考に、現場の状況に合わせて着手順序を判断してほしい。

対策	実施コスト	効果の範囲	着手タイミング
Downloadsでのエージェント起動禁止（ルール化）	低	本手法の直接防御	今日
指示ファイルのGit管理・棚卸し	低〜中	改ざん検知・証跡確保	今週中
MCPサーバー登録の点検・整理	低	設定乗っ取りの防止	今週中
エージェントへの権限最小化	中	被害範囲の限定	今月中
操作ログの構造化・監視ルール設定	中〜高	異常の早期検知	今月〜来月
コンテナ・仮想マシンによるサンドボックス化	高	ホスト環境への影響遮断	中長期
トークン有効期限の短縮・失効体制の整備	中	認証情報窃取時の被害抑制	今月中

AIエージェントのセキュリティ対策における限界と注意点

最終判断は人が行う。ログ監視や異常検知にAIを活用したとしても、それが実際に攻撃なのか正当な作業なのかを判断するのは人間の役割だ。誤検知によって正常な開発フローが止まるリスクと、見逃しによって攻撃が通過するリスクを天秤にかけながら、閾値を調整し続けるオペレーションが求められる。

監視の仕組みはプライバシーリスクを伴う。エージェントのすべての操作を記録・分析することは、開発者の作業内容や扱うコードの詳細を記録することにもなる。収集するログの範囲、保管期間、アクセス権限について、事前に社内ポリシーを策定し、従業員への説明を行っておく必要がある。

攻撃手法は進化し続ける。AGENTS.mdを使った手法は間接的プロンプトインジェクションの一例にすぎない。Webページのテキスト、画像のメタデータ、PDFの内容など、エージェントが読み取れるあらゆるコンテキストが潜在的な攻撃面になり得る。特定の手法への対策を施しても、同じ原理に基づく新しい変種が登場する可能性は常に念頭に置く必要がある（zenn.dev）。

技術的な対策だけでは不十分な場面がある。サンドボックス化や権限制限は有効だが、エージェントに付与された権限そのものが業務上の必要から広くなっている場合は、封じ込めの効果が限定的になる。組織のセキュリティ態勢全体との整合性、とりわけインシデント対応手順との連携が求められる。

明日から試せる実務的な一歩

対策の全体像を整備するには時間がかかる。まず次の三つを今週中に完了させることを勧める。

開発チームへの周知。「ダウンロードフォルダをコーディングエージェントの作業ディレクトリとして使わない」というルールをSlackやWikiに明文化する。実施コストはほぼゼロで、本手法の直接的な攻撃経路を閉じられる。
指示ファイルの棚卸し。現在使用しているコーディングエージェントが読み込む設定ファイル（AGENTS.md、CLAUDE.mdなど）の一覧を把握し、Git管理下に置かれているかを確認する。予期しないファイルが~/Downloadsや作業ディレクトリ外に存在する場合は内容を精査する。
MCPサーバー登録の確認。MCPサーバーを利用しているエージェント環境では、登録済みのサーバーリストを開き、身に覚えのないエントリがないかを点検する。これはForever Securityが2026年10月22日付けの報告で推奨した対策に直接対応するものだ（ITmedia AI＋）。

AIエージェントを開発現場に組み込む動きは今後も加速する見通しだ。セキュリティポリシーに「エージェント固有のリスク」を明示的に盛り込む体制を、導入後の後付けではなく導入前の設計段階から組み立てることが、長期的な運用コストの抑制につながる。