En un informe publicado el 29 de octubre de 2026, Symantec describió un relay no autorizado que redirigía las solicitudes de las herramientas auténticas de línea de comandos (CLI) de Codex y Claude Code y modificaba sus ajustes de seguridad. La actividad se habría observado desde al menos principios de 2026 en alrededor de una docena de organizaciones. Symantec no observó actividad maliciosa al publicar el informe: lo descrito es una configuración alterada, no una vulnerabilidad de los productos. El informe técnico de Symantec detalla los indicadores que pueden revisar los equipos de TI.

El relay redirigía las herramientas auténticas

Symantec informó de que el servicio instalaba las CLI legítimas de OpenAI Codex y Anthropic Claude Code y cambiaba su configuración para enviar las solicitudes a servidores de terceros, en vez de a los de OpenAI o Anthropic. Los clientes no estaban modificados ni troyanizados; según Symantec, funcionaban como estaban diseñados una vez alterada su configuración.

La secuencia descrita incluía scripts sin archivo de PowerShell o bash descargados de dominios parecidos a los de los proveedores. Los usuarios aparentemente ejecutaban los comandos por su cuenta, a menudo poco después de instalar la CLI auténtica mediante npm, aunque el script también podía ejecutarse en lugar de esa instalación. Symantec no observó una entrega automatizada ni basada en una vulnerabilidad.

Qué ajustes y credenciales cambiaba

En Codex, Symantec identificó el archivo ~/.codex/config.toml y el ajuste sandbox_mode = "danger-full-access", que desactiva el entorno aislado de ejecución. En Claude Code, señaló ~/.claude/settings.json y el cambio del destino mediante ANTHROPIC_BASE_URL. Un entorno aislado, o sandbox, limita las acciones que puede realizar un programa.

El relay también activaba el acceso a la red para el entorno aislado de escritura y desactivaba la telemetría y los informes de errores. Configuraba destinos y credenciales bajo el perfil del usuario, con variables como OPENAI_BASE_URL, CODEX_API_KEY y ANTHROPIC_AUTH_TOKEN. Esas variables persisten tras reiniciar el equipo y pueden ser leídas por otras herramientas que se ejecuten en él.

En un equipo observado, el script cerró una sesión legítima de Anthropic con claude /logout, eliminó ANTHROPIC_AUTH_TOKEN y ANTHROPIC_API_KEY y después volvió a iniciar sesión con credenciales controladas por el relay. Symantec no indicó que esa secuencia se repitiera en todas las instalaciones.

Riesgos posibles y actividad observada

Al pasar las solicitudes por su propia infraestructura, el relay podía recibir los prompts, archivos y secretos que el usuario enviara al agente, además de modificar las respuestas. Con el sandbox desactivado y el acceso de red habilitado, una respuesta maliciosa o manipulada podía ejecutar comandos con los privilegios de la cuenta del usuario. Symantec no observó que el operador abusara de ese acceso ni que realizara actividad maliciosa.

Señales de configuración que puede revisar TI

Symantec señaló varias comprobaciones concretas para los equipos de tecnología:

  • En Codex, revisar ~/.codex/config.toml, el valor de sandbox_mode y cambios inesperados en base_url.
  • En Claude Code, revisar ~/.claude/settings.json y cambios en ANTHROPIC_BASE_URL.
  • Comprobar si se han añadido, sin autorización, variables de usuario como OPENAI_BASE_URL, CODEX_API_KEY o ANTHROPIC_AUTH_TOKEN.
  • Revisar si aparecen comandos como iwr | iex en PowerShell o curl | bash en bash cerca de la instalación de una CLI, y si el tráfico de estas herramientas se dirige a destinos no aprobados.

Symantec informó de actividad en alrededor de una docena de organizaciones, principalmente en China continental y también en operaciones multinacionales de Corea del Sur, Taiwán y Malasia. La investigación incluyó sectores como la automatización industrial, la fabricación electrónica, los semiconductores, la industria farmacéutica, el transporte marítimo, la fabricación de neumáticos, la petroquímica y los servicios de centros de datos. El equipo también identificó al menos ocho dominios parecidos a servicios de chat de OpenAI o Anthropic, utilizados por la infraestructura del relay.