Symantec opisał 29 października 2026 roku nieautoryzowany relay, który przekierowywał żądania z autentycznych narzędzi OpenAI Codex i Anthropic Claude Code oraz zmieniał ich ustawienia bezpieczeństwa. Aktywność obserwowano co najmniej od początku 2026 roku, w około tuzinie organizacji. Symantec nie zaobserwował złośliwego wykorzystania dostępu przez operatora relayu.

Jak relay trafiał na komputery

Według Symantec użytkownicy najpierw instalowali prawdziwe narzędzie CLI, czyli program obsługiwany z wiersza poleceń, zwykle przez npm. Następnie uruchamiali bezplikowy skrypt PowerShell lub bash pobrany z domeny podszywającej się pod usługi OpenAI albo Anthropic. Skrypt zmieniał konfigurację, tak by żądania trafiały do serwerów relayu zamiast do dostawcy narzędzia. Symantec opisał takie skrypty w pobliżu instalacji CLI; użytkownicy najwyraźniej uruchamiali je samodzielnie.

Raport wymienia co najmniej osiem podobnych domen, między którymi rotowała infrastruktura relayu. Symantec nie opisał tego przypadku jako podatności Codex ani Claude Code: klienty były autentyczne, a zmienione zachowanie wynikało z modyfikacji ich konfiguracji.

Zmienione ustawienia i poświadczenia

W przypadku Codex Symantec wskazał plik ~/.codex/config.toml oraz ustawienie sandbox_mode = "danger-full-access". Wyłącza ono sandbox, czyli mechanizm ograniczający działania programu do odizolowanego środowiska. Relay zmieniał też adresy serwerów, w tym ustawienia base_url lub ANTHROPIC_BASE_URL. W Claude Code dotyczyło to pliku ~/.claude/settings.json.

Opisana konfiguracja włączała dostęp do sieci dla sandboxa zapisu oraz wyłączała telemetrię i raportowanie błędów. Relay zastępował poświadczenia użytkownika własnymi danymi logowania, zapisywanymi w zmiennych środowiskowych na poziomie konta. Symantec zaznaczył, że takie zmienne mogą przetrwać ponowne uruchomienie komputera i być odczytywane przez inne programy na tym samym urządzeniu.

Na jednym zaobserwowanym komputerze skrypt wylogował Claude Code z sesji Anthropic, usunął zmienne ANTHROPIC_AUTH_TOKEN i ANTHROPIC_API_KEY, a następnie skonfigurował poświadczenia kontrolowane przez relay. Ten pojedynczy przypadek nie opisuje automatycznie każdej instalacji.

Potencjalne ryzyko i zaobserwowana aktywność

Przekierowanie żądań przez relay może dać jego operatorowi dostęp do promptów i plików przesyłanych przez narzędzie, a także umożliwić zmianę zwracanych odpowiedzi. Przy wyłączonym sandboxie i włączonym dostępie do sieci złośliwa lub przejęta odpowiedź mogłaby uruchomić polecenia z uprawnieniami użytkownika. To możliwe skutki opisanej konfiguracji. W raporcie Symantec nie odnotował kradzieży danych ani złośliwych działań operatora.

Zakres obserwacji i sygnały do sprawdzenia

Symantec odnotował aktywność głównie w Chinach kontynentalnych, a także w międzynarodowych oddziałach firm w Korei Południowej, na Tajwanie i w Malezji. Wymienione branże obejmowały automatykę przemysłową, produkcję elektroniki i półprzewodników, farmację, żeglugę, produkcję opon, petrochemię oraz usługi centrów danych.

Zespoły IT mogą sprawdzić, czy:

  • base_url lub ANTHROPIC_BASE_URL wskazują niezatwierdzony serwer;
  • sandbox_mode w konfiguracji Codex ma wartość danger-full-access;
  • na koncie użytkownika pojawiły się niezatwierdzone zmienne OPENAI_BASE_URL, CODEX_API_KEY lub ANTHROPIC_AUTH_TOKEN;
  • w pobliżu instalacji CLI uruchamiano polecenia pobierające skrypty przez PowerShell, takie jak iwr | iex, albo bash, takie jak curl | bash;
  • ruch sieciowy narzędzi AI trafia do niezatwierdzonych punktów końcowych.

To konkretne wskaźniki konfiguracji opisanej przez Symantec, które można zestawić z ustawieniami i ruchem na urządzeniach. Pełny raport Symantec zawiera opis tych zmian i wskaźników.