Symantec berichtete am 29. Oktober 2026 von einem nicht autorisierten Relay, das echte Kommandozeilenprogramme (CLIs) von OpenAI Codex und Anthropic Claude Code umleitet und ihre Sicherheitseinstellungen verändert. Das Team meldete, bis zur Veröffentlichung keinen Missbrauch beobachtet zu haben. Die Programme selbst seien nicht manipuliert worden; Symantec beschreibt eine veränderte Konfiguration, keine Schwachstelle in Codex oder Claude Code.

Wie das Relay auf die Rechner gelangte

Laut Symantec wurden die echten CLIs über npm installiert. Daneben oder kurz danach führten Nutzer offenbar selbst dateilose PowerShell- oder Bash-Skripte aus, die von täuschend ähnlich benannten Domains geladen wurden. Die Skripte richteten das Relay ein oder änderten die bestehende Konfiguration. Symantec beobachtete keine automatisierte oder durch einen Exploit ausgelöste Verteilung.

Die Aktivität war Symantec zufolge spätestens Anfang 2026 im Gang. Das Team beobachtete die Konfiguration bei rund einem Dutzend Organisationen, überwiegend in Festlandchina; betroffen waren auch multinationale Standorte in Südkorea, Taiwan und Malaysia. Die Relay-Infrastruktur wechselte zwischen mindestens acht ähnlich benannten Domains.

Welche Einstellungen sich änderten

Das Relay änderte die Ziele, an die die Werkzeuge ihre Anfragen senden. Für Codex nennt Symantec die Datei ~/.codex/config.toml und den Wert sandbox_mode = "danger-full-access". Damit war die Ausführungs-Sandbox deaktiviert. Eine Sandbox begrenzt, welche Aktionen ein Programm in seiner Umgebung ausführen kann.

Für Claude Code nennt Symantec ~/.claude/settings.json und die Umleitung über ANTHROPIC_BASE_URL. Außerdem setzte das Relay benutzerspezifische Zugangsdaten und Endpunkte als Umgebungsvariablen. Solche Variablen können laut Symantec auch von anderen Programmen auf demselben Rechner gelesen werden und bleiben über einen Neustart hinweg bestehen.

Die berichtete Konfiguration erlaubte zudem Netzwerkzugriff für die Schreib-Sandbox und deaktivierte Telemetrie sowie Fehlerberichte. Auf einem beobachteten Rechner meldete das Skript eine Anthropic-Sitzung ab, entfernte ANTHROPIC_AUTH_TOKEN und ANTHROPIC_API_KEY und meldete Claude Code anschließend mit Relay-Zugangsdaten wieder an.

Was das Risiko bedeutet

Wenn Anfragen über das Relay laufen, kann dessen Betreiber die gesendeten Prompts und Dateien empfangen und Antworten verändern. Bei deaktivierter Ausführungs-Sandbox und aktiviertem Netzwerkzugriff könnte eine schädliche oder manipulierte Antwort außerdem mit den Rechten des jeweiligen Nutzerkontos ausgeführt werden. Das sind mögliche Folgen der beschriebenen Einstellungen. Symantec berichtete am 29. Oktober 2026, keinen bösartigen Einsatz und keinen Missbrauch durch den Relay-Betreiber beobachtet zu haben.

Welche Merkmale IT-Teams prüfen können

Symantec nennt konkrete Einstellungen und Aktivitäten, die Organisationen kontrollieren können:

  • Unerwartete Änderungen an base_url oder ANTHROPIC_BASE_URL.
  • sandbox_mode = "danger-full-access" in der Codex-Konfiguration.
  • Nicht genehmigte benutzerspezifische Variablen wie OPENAI_BASE_URL, CODEX_API_KEY oder ANTHROPIC_AUTH_TOKEN.
  • PowerShell-Befehle wie iwr | iex oder Bash-Befehle wie curl | bash im zeitlichen Zusammenhang mit der CLI-Installation.
  • Datenverkehr der KI-CLIs zu nicht genehmigten Endpunkten.

Symantec führte betroffene Organisationen unter anderem in den Bereichen industrielle Automatisierung, Elektronikfertigung, Halbleiter, Pharmazie, Schifffahrt, Reifenherstellung, Petrochemie und Rechenzentrumsdienste auf.