Symantec meldde op 29 oktober 2026 dat een ongeautoriseerde relaydienst echte command-lineprogramma’s (CLI’s) van OpenAI Codex en Anthropic Claude Code via servers van derden omleidde en hun beveiligingsinstellingen wijzigde. Volgens Symantec was de activiteit sinds minstens begin 2026 waargenomen bij ongeveer een dozijn organisaties. Bij publicatie had het team geen kwaadwillige activiteit waargenomen.

De relay veranderde de configuratie van echte tools

De CLI’s waren volgens Symantec echt en ongewijzigd. Het team beschreef de activiteit als ongeautoriseerde aanpassing van de configuratie, niet als een kwetsbaarheid in Codex of Claude Code. De programma’s functioneerden volgens Symantec zoals ontworpen nadat hun instellingen waren veranderd.

De installatie begon met scripts die gebruikers zelf leken uit te voeren. Symantec beschreef bestandsloze PowerShell- of bash-scripts van domeinen die zich voordeden als diensten van OpenAI of Anthropic. Zulke opdrachten werden kort na een legitieme installatie via npm uitgevoerd, of in plaats daarvan gebruikt. In waargenomen gevallen kon de uitvoering binnen enkele minuten tot ongeveer een halfuur na de installatie plaatsvinden. Symantec rapporteerde geen geautomatiseerde of exploitgebaseerde verspreiding.

Welke instellingen en inloggegevens veranderden

Voor Codex wijzigde de relay volgens Symantec ~/.codex/config.toml; voor Claude Code ging het om ~/.claude/settings.json. De aanpassingen stuurden verzoeken naar relayservers in plaats van naar de servers van OpenAI of Anthropic.

Bij Codex trof Symantec de instelling sandbox_mode = "danger-full-access" aan. Daarmee werd de uitvoeringssandbox uitgeschakeld: een sandbox is een afgeschermde omgeving die beperkt wat een programma op het systeem kan doen. De configuratie schakelde ook netwerktoegang voor de write-sandbox in en zette telemetrie en foutmeldingen uit.

De relay stelde eigen eindpunten en inloggegevens in als gebruikersspecifieke omgevingsvariabelen. Die instellingen bleven volgens Symantec na een herstart bestaan en konden door andere programma’s op dezelfde computer worden gelezen. Voor Codex noemde het team onder meer base_url, OPENAI_BASE_URL en CODEX_API_KEY; voor Claude Code ANTHROPIC_BASE_URL en ANTHROPIC_AUTH_TOKEN.

Op één waargenomen computer meldde het script de gebruiker af bij Anthropic, verwijderde het ANTHROPIC_AUTH_TOKEN en ANTHROPIC_API_KEY, en logde het de gebruiker daarna opnieuw in met relay-inloggegevens.

Mogelijk risico en waargenomen activiteit

Doordat verzoeken via de relay liepen, konden prompts, bestanden en geheimen die gebruikers naar de codeagent stuurden bij de relay terechtkomen. De relay kon ook antwoorden aanpassen. Met de uitvoeringssandbox uitgeschakeld en netwerktoegang ingeschakeld, had een kwaadwillig of gecompromitteerd antwoord bovendien opdrachten met de rechten van de gebruiker kunnen uitvoeren. Dat zijn risico’s van de beschreven instellingen; Symantec meldde bij publicatie geen waargenomen kwaadwillige activiteit of misbruik van de toegang.

Reikwijdte en controlepunten voor IT-teams

Symantec meldde activiteit bij ongeveer een dozijn organisaties, voornamelijk op het Chinese vasteland. Ook multinationale vestigingen in Zuid-Korea, Taiwan en Maleisië kwamen in de waarnemingen voor. De genoemde sectoren liepen uiteen van industriële automatisering, elektronica- en halfgeleiderproductie tot farmaceutische industrie, scheepvaart, bandenproductie, petrochemie en datacenterdiensten. De infrastructuur wisselde volgens Symantec tussen minstens acht domeinen die zich voordeden als diensten van OpenAI of Anthropic.

De concrete controlepunten uit de melding zijn:

  • Bekijk ~/.codex/config.toml en ~/.claude/settings.json op onverwachte wijzigingen aan base_url of ANTHROPIC_BASE_URL.
  • Controleer of Codex sandbox_mode op danger-full-access staat.
  • Controleer gebruikersspecifieke omgevingsvariabelen, waaronder OPENAI_BASE_URL, CODEX_API_KEY en ANTHROPIC_AUTH_TOKEN.
  • Onderzoek opdrachten zoals iwr | iex in PowerShell of curl | bash rond de installatie van een CLI.
  • Controleer of verkeer van AI-CLI’s naar niet-goedgekeurde eindpunten gaat.