Am 29. Oktober 2026 berichtete Dark Reading über Erkenntnisse von Symantecs Threat-Hunter-Team zu einem Relay, das Anfragen der echten Kommandozeilenprogramme Codex und Claude Code über seine eigene Infrastruktur geleitet und die Ausführungs-Sandbox deaktiviert haben soll. Der Dienst sei seit Anfang 2026 aktiv gewesen.
Was das Relay an Codex und Claude Code änderte
Die Programme selbst seien laut Bericht echt und über npm heruntergeladen worden. Verändert worden seien die Konfiguration und der Weg der Anfragen: Statt direkt an die Infrastruktur von OpenAI und Anthropic gingen sie über das Relay. Der Betreiber hätte dadurch laut Bericht Anfragen und Antworten auf diesem Weg einsehen oder verändern können.
Zudem soll die Konfiguration die Sandbox deaktiviert und den Netzwerkzugriff für diese Umgebung eingeschaltet haben. Eine Sandbox begrenzt, welche Aktionen ein Programm auf dem System ausführen kann. Auch Telemetrie und Fehlerberichte seien abgeschaltet worden.
Symantec habe das Relay auf Systemen von etwa einem Dutzend Organisationen beobachtet, überwiegend auf dem chinesischen Festland. Weitere Fälle gab es dem Bericht zufolge in Südkorea, Taiwan und Malaysia.
Ein Fall mit ersetzten Zugangsdaten
In einem beobachteten Fall soll der Prozess eine Anthropic-Sitzung beendet, Authentifizierungsvariablen aus der Umgebung entfernt und vom Relay kontrollierte Zugangsdaten eingesetzt haben. Diese blieben nach einem Neustart bestehen.
Auf den untersuchten Systemen habe Symantec keine ausgeführte schädliche Aktivität und keine bestätigten Kompromittierungen beobachtet.
Codex_Relay bezeichnet ein Sitzungswerkzeug
SkillsLLM beschreibt Codex_Relay als Community-Desktopwerkzeug zum Übertragen und Sichern von Codex-CLI-Sitzungsdateien im Format .jsonl. Die Sicherheitsmeldung handelt von einem Netzwerk-Relay, das Anfragen von Codex und Claude Code umgeleitet haben soll.
