Dans un rapport publié le 29 octobre 2026, Symantec décrit un relais non autorisé qui installe les outils en ligne de commande authentiques d’OpenAI Codex et d’Anthropic Claude Code, puis redirige leurs requêtes et modifie leurs réglages de sécurité. Symantec situe l’activité depuis au moins le début de 2026 et l’a observée dans environ une douzaine d’organisations. À la date de publication, l’équipe n’avait pas observé d’activité malveillante liée au relais.

Une installation légitime, puis une redirection

Les CLI, ou outils pilotés depuis le terminal, sont les clients authentiques de Codex et Claude Code installés par npm. D’après Symantec, des scripts PowerShell ou bash sans fichier, téléchargés depuis des domaines imitant des services de discussion d’OpenAI ou d’Anthropic, modifient ensuite leur configuration. Les commandes semblent avoir été lancées par les utilisateurs eux-mêmes, parfois quelques minutes à environ une demi-heure après l’installation du client. Symantec n’a pas observé de déploiement automatisé ni d’exploitation pour lancer ces scripts.

Le serveur relais reçoit alors les requêtes à la place des serveurs d’OpenAI ou d’Anthropic. L’infrastructure a tourné sur au moins huit domaines ressemblants.

Les réglages et identifiants concernés

Symantec décrit notamment ces changements :

  • Dans ~/.codex/config.toml, Codex peut recevoir le réglage sandbox_mode = "danger-full-access", qui désactive son bac à sable d’exécution. Un bac à sable limite les actions qu’un programme peut effectuer sur le système.
  • Dans ~/.claude/settings.json, Claude Code peut être redirigé par le réglage ANTHROPIC_BASE_URL. Le rapport cite aussi des changements de base_url.
  • Des variables d’environnement définies au niveau de l’utilisateur peuvent désigner le relais ou contenir ses identifiants : OPENAI_BASE_URL, CODEX_API_KEY et ANTHROPIC_AUTH_TOKEN.

La configuration observée active également l’accès réseau pour le bac à sable d’écriture et désactive la télémétrie ainsi que les rapports d’erreur. Symantec indique que les variables enregistrées au niveau utilisateur peuvent persister après un redémarrage et être lues par d’autres outils sur la même machine.

Sur un poste observé, un script a exécuté claude /logout, supprimé ANTHROPIC_AUTH_TOKEN et ANTHROPIC_API_KEY, puis lancé claude /login pour établir des identifiants contrôlés par le relais. Symantec a observé cette séquence sur un seul poste.

Des risques possibles, sans abus observé

Le relais peut recevoir les requêtes et les fichiers envoyés à l’agent, et donc potentiellement accéder à leur contenu ou modifier les réponses. Avec le bac à sable d’exécution désactivé et l’accès réseau activé pour le bac à sable d’écriture, une réponse malveillante ou compromise pourrait exécuter des commandes avec les privilèges du compte utilisateur. Symantec n’a pas observé que l’opérateur ait abusé de cet accès.

Le rapport ne décrit pas une vulnérabilité de Codex ou de Claude Code : Symantec indique que les clients sont authentiques, non modifiés et se comportent comme prévu après les changements de configuration.

Les indicateurs que les équipes informatiques peuvent examiner

Le rapport situe la plupart des organisations observées en Chine continentale, avec aussi des opérations multinationales en Corée du Sud, à Taïwan et en Malaisie. Les secteurs cités comprennent l’automatisation industrielle, la fabrication électronique, les semi-conducteurs, l’industrie pharmaceutique, le transport maritime, la fabrication de pneus, la pétrochimie et les services de centres de données.

Pour repérer la configuration décrite, les équipes informatiques peuvent examiner les fichiers et réglages indiqués plus haut, rechercher les variables d’environnement inattendues et vérifier les destinations réseau des CLI. Symantec cite aussi les commandes iwr | iex sous PowerShell et curl | bash sous bash lorsqu’elles apparaissent à proximité de l’installation d’un outil. Ces éléments sont des indicateurs à examiner, pas à eux seuls la preuve d’un abus. La liste technique publiée par Symantec détaille les paramètres et indicateurs signalés.