Dark Reading opisał 29 października 2026 r. ustalenia przypisywane zespołowi Symantec Threat Hunter: nieautoryzowany pośrednik miał kierować żądania autentycznych CLI Codex i Claude Code przez własną infrastrukturę oraz wyłączać sandbox wykonawczy. Usługa miała działać od początku 2026 r. W systemach objętych obserwacją nie odnotowano wykonanej złośliwej aktywności ani potwierdzonych przejęć.
Jak działał zgłoszony pośrednik
Według relacji, opisane CLI były autentycznymi programami pobranymi przez npm, a zmiany dotyczyły ich konfiguracji i trasy żądań. Instalacja miała zaczynać się od jednowierszowego polecenia pobierającego instrukcje PowerShell lub bash z domeny przypominającej oficjalną. Pierwszy etap nie pozostawiał trwałych plików.
Żądania miały omijać infrastrukturę OpenAI i Anthropic, przechodząc przez serwery operatora pośrednika. Konfiguracja miała wyłączać sandbox, czyli izolację ograniczającą działanie programu, a jednocześnie włączać dostęp do sieci w tym środowisku. Wyłączano też telemetrię i raportowanie błędów.
Relacja przypisywała Symantec obecność usługi w systemach około tuzina organizacji, głównie w Chinach kontynentalnych, a także w Korei Południowej, na Tajwanie i w Malezji.
Jeden zgłoszony przypadek wymiany poświadczeń
W jednym zaobserwowanym przypadku proces miał zakończyć sesję Anthropic, usunąć zmienne środowiskowe uwierzytelniania i wstawić poświadczenia kontrolowane przez operatora pośrednika. Miały one pozostać aktywne po ponownym uruchomieniu systemu.
Symantec miało nie zaobserwować wykonanej złośliwej aktywności ani potwierdzonych przejęć w analizowanych systemach. To wynik dotyczący opisanej obserwacji, nie każdego użytkownika usługi.
Codex_Relay to osobny projekt
SkillsLLM opisuje Codex_Relay jako społecznościowe narzędzie do przenoszenia i tworzenia kopii zapasowych plików sesji Codex CLI w formacie .jsonl. Żadne z przywołanych ustaleń nie łączy tego projektu z pośrednikiem sieciowym opisywanym w incydencie.
