Il 29 ottobre 2026 Dark Reading ha riferito risultati attribuiti al team Threat Hunter di Symantec: un relay non autorizzato avrebbe instradato le richieste delle CLI autentiche di OpenAI Codex e Anthropic Claude Code attraverso la propria infrastruttura, modificando impostazioni di sicurezza. Il servizio sarebbe stato attivo dai primi mesi del 2026.
Come il relay modificava le richieste e l’ambiente di esecuzione
Le CLI descritte erano autentiche, scaricate tramite npm: secondo il resoconto, a cambiare erano la configurazione e il percorso delle richieste, non i binari dei programmi. L’installazione sarebbe iniziata con un comando di una riga che scaricava istruzioni PowerShell o bash da un dominio simile a uno ufficiale.
Le richieste dirette a OpenAI o Anthropic sarebbero state deviate verso l’infrastruttura del relay. La configurazione segnalata disattivava la sandbox, cioè l’ambiente isolato che limita l’esecuzione, abilitava l’accesso alla rete per quell’ambiente e disattivava telemetria e segnalazioni di errore. Il relay si trovava così nel percorso delle richieste e delle risposte, che avrebbe potuto vedere o modificare.
Una sostituzione di credenziali in un caso segnalato
In un caso, il processo avrebbe chiuso una sessione Anthropic, rimosso le variabili d’ambiente di autenticazione e installato credenziali controllate dal relay. Le credenziali sarebbero rimaste anche dopo il riavvio del sistema.
Symantec avrebbe osservato il servizio nei sistemi di circa una dozzina di organizzazioni, soprattutto nella Cina continentale, con altri casi in Corea del Sud, Taiwan e Malaysia. Nei sistemi esaminati, il team non avrebbe rilevato attività malevole eseguite né compromissioni confermate.
Codex_Relay è un’utilità con una funzione diversa
Codex_Relay è il nome di un’utilità comunitaria descritta da SkillsLLM per esportare, importare e salvare file di sessione .jsonl di Codex CLI. La gestione di quei file è diversa dall’instradamento delle richieste attribuito al relay nel resoconto di Symantec.
