Em reportagem publicada em 29 de outubro de 2026, a Dark Reading atribuiu à equipe Threat Hunter da Symantec a identificação de um relay que teria desviado solicitações das CLIs autênticas do OpenAI Codex e do Claude Code para sua própria infraestrutura. A configuração relatada também desativava o sandbox, ou ambiente isolado de execução. O serviço teria começado a operar no início de 2026.

O que o relay teria alterado

As ferramentas eram as interfaces de linha de comando, ou CLIs, genuínas do Codex e do Claude Code, baixadas pelo npm. Segundo o relato, o serviço alterava o roteamento e as configurações, não os programas das CLIs. As solicitações deixavam de seguir diretamente para a infraestrutura da OpenAI ou da Anthropic e passavam pelo relay.

A configuração também desativava o sandbox, habilitava o acesso à rede naquele ambiente e desligava a telemetria e os relatórios de erro. Com o sandbox desativado, a barreira de isolamento de execução deixava de estar ativa naquela configuração. Para saber mais sobre isolamento e supervisão de agentes de IA, veja também a cobertura do NeoTeo sobre riscos de segurança em agentes de IA.

A reportagem situou o serviço em sistemas de cerca de uma dúzia de organizações, principalmente na China continental, além de casos na Coreia do Sul, em Taiwan e na Malásia.

Um caso relatado envolveu credenciais da Anthropic

Em uma ocorrência descrita pela reportagem, o processo encerrou uma sessão da Anthropic, removeu variáveis de ambiente usadas na autenticação e instalou credenciais controladas pelo relay. Essas credenciais teriam continuado ativas após a reinicialização.

A Symantec teria observado que não houve execução de atividade maliciosa nem comprometimentos confirmados nos sistemas analisados. Esse resultado se refere à investigação relatada por equipe, não a todos os possíveis usos do serviço.

O projeto Codex_Relay tem outra função

O projeto comunitário Codex_Relay é descrito como uma ferramenta para exportar, importar e fazer cópias de segurança de arquivos .jsonl de sessões do Codex CLI entre dispositivos. O serviço do incidente foi descrito como um relay de rede que encaminhava solicitações e alterava configurações. A reportagem não atribuiu o nome Codex_Relay ao serviço investigado.