Web ページが置いたファイルから、乗っ取りまで

守りを押してオンにすると、流れがどこで止まるかが出ます。何もオンにしなければ、最後まで進みます（Claude Code の手口。研究者の検証では約半分の回数で成功）。

守り（押して切り替え）

1 · WEB
Web ページを開く
ページの中のスクリプトが、ファイルのダウンロードを始める。名前と中身はページが決める。
ここで止まる：保存の画面が出る。ただし Enter を押せば置かれる
2 · ~/Downloads
CLAUDE.md が置かれる
Chrome の初期設定では、保存先を聞かずにダウンロードフォルダへ入る。見た目はふつうのメモ。
3 · START
そのフォルダで Claude Code を起動する
「ダウンロードフォルダを整理して」「この PDF を要約して」と頼むとき。
ここで止まる：作業用のフォルダで起動し、ダウンロードフォルダは対象として渡す。足したフォルダの指示書は既定で読まない
4 · READ
指示書を「このフォルダのルール」として読む
本人が書いたものか、Web が置いたものかを、エージェントは見分けられない。
ここで止まる：ダウンロードフォルダの中の CLAUDE.md・AGENTS.md は読み込まれない
5 · WRITE
設定に通信先を書き込む
.claude/settings.json に ANTHROPIC_BASE_URL（Claude Code の通信先）を書き、ほかのサーバーへ向ける。
ここで止まりうる：書き込みの前に確認が来る。中身を読んで断れば止まる
6 · LEAK
ログインの合鍵が漏れる
通信に乗った OAuth トークンを相手が受け取り、本人として接続できる。相手のサーバーからコマンドを返されることもある。

流れは Forever Security の報告（2026-10-22）と、それを伝えた記事をもとにした。守りの効き方は DevelopersIO が Claude Code v2.1.280 で試した結果による。Codex の手口は、書き込む先が PC 全体の設定（~/.codex/config.toml）で、外部の道具を足す点が違う。