Nel rapporto pubblicato il 29 ottobre 2026, Symantec ha descritto un relay non autorizzato che reindirizzava le richieste delle CLI autentiche di OpenAI Codex e Anthropic Claude Code verso server di terzi e ne modificava le impostazioni di sicurezza. Il team ha riferito di aver osservato l’attività almeno dall’inizio del 2026 e di non aver rilevato attività malevole al momento della pubblicazione.

Come arrivava il relay sui dispositivi

Secondo Symantec, il relay installava i client originali tramite npm e li configurava per usare un’infrastruttura controllata da terzi. Script PowerShell o bash senza file venivano scaricati da domini simili a quelli dei servizi legittimi; gli utenti sembravano eseguire i comandi di propria iniziativa, spesso poco dopo l’installazione della CLI con npm. Symantec non ha descritto una distribuzione automatica o basata su un exploit.

Il client autentico, quindi, poteva restare invariato mentre cambiavano la destinazione delle richieste e le impostazioni locali. La CLI, cioè l’interfaccia a riga di comando, è il programma con cui si usano questi strumenti dal terminale.

Impostazioni e credenziali modificate

Per Codex, Symantec ha indicato il file ~/.codex/config.toml e l’impostazione sandbox_mode = "danger-full-access", che disattiva il sandbox di esecuzione. Un sandbox è un ambiente isolato che limita ciò che un programma può fare sul dispositivo. La configurazione segnalata abilitava inoltre l’accesso alla rete per il sandbox di scrittura e disattivava telemetria e segnalazione degli errori.

Per Claude Code, il percorso indicato è ~/.claude/settings.json; la variabile ANTHROPIC_BASE_URL poteva indirizzare le richieste al relay. Le credenziali e gli indirizzi del servizio venivano impostati anche tramite variabili d’ambiente a livello utente, che possono persistere dopo il riavvio ed essere lette da altri programmi sullo stesso computer.

Su un dispositivo osservato, lo script ha eseguito claude /logout, rimosso ANTHROPIC_AUTH_TOKEN e ANTHROPIC_API_KEY e poi effettuato un nuovo accesso con credenziali controllate dal relay. Symantec ha descritto questa sequenza su un singolo host.

Rischi possibili e cosa è stato osservato

Instradando le richieste attraverso i propri server, il relay poteva ricevere i prompt e i file inviati all’agente e poteva alterare le risposte. Con il sandbox disattivato e l’accesso alla rete abilitato, una risposta malevola o compromessa avrebbe potuto eseguire comandi con i privilegi dell’account utente.

Symantec ha riferito di non aver osservato attività malevole né abusi dell’accesso da parte degli operatori. Il caso descritto riguarda la modifica non autorizzata della configurazione: secondo il team, i client originali funzionavano come previsto dopo quei cambiamenti e l’attività non costituiva una vulnerabilità di Codex o Claude Code.

Portata dell’attività e controlli per i team IT

Symantec ha osservato il relay presso circa una dozzina di organizzazioni, per la maggior parte nella Cina continentale, e in operazioni multinazionali in Corea del Sud, Taiwan e Malesia. Tra i settori citati figurano automazione industriale, produzione elettronica, semiconduttori, farmaceutica, trasporti marittimi, produzione di pneumatici, petrolchimica e servizi per data center. L’infrastruttura ha ruotato attraverso almeno otto domini simili a quelli di OpenAI o Anthropic.

Per individuare la configurazione descritta, i team IT possono controllare:

  • modifiche inattese a base_url o ANTHROPIC_BASE_URL;
  • sandbox_mode impostato su danger-full-access nei file di configurazione di Codex;
  • variabili d’ambiente utente non approvate, come OPENAI_BASE_URL, CODEX_API_KEY e ANTHROPIC_AUTH_TOKEN;
  • comandi PowerShell iwr | iex o bash curl | bash eseguiti vicino all’installazione di una CLI;
  • traffico delle CLI verso destinazioni non approvate.

Sono indicatori da verificare insieme alla configurazione e alle attività del dispositivo, non una prova automatica di compromissione.