Em relatório publicado em 29 de outubro de 2026, a equipe de caça a ameaças da Symantec descreveu um relay não autorizado que instalava as ferramentas legítimas de linha de comando (CLI) do OpenAI Codex e do Anthropic Claude Code, mas desviava as solicitações para servidores de terceiros e alterava ajustes de segurança. A Symantec afirma que os clientes não foram modificados e que o caso não é uma vulnerabilidade dos produtos.

Como o relay chegava aos computadores

A Symantec relatou ter observado a atividade desde pelo menos o início de 2026, em cerca de uma dúzia de organizações, a maioria na China continental. Também foram citadas operações multinacionais na Coreia do Sul, em Taiwan e na Malásia.

A instalação envolvia scripts sem arquivo, em PowerShell ou bash, baixados de domínios parecidos com serviços de IA conhecidos. Os comandos que buscavam e executavam esses scripts aparentemente eram iniciados pelos próprios usuários. Eles surgiam muitas vezes de minutos a cerca de meia hora depois da instalação legítima da CLI via npm, ou no lugar dela.

O que mudava nas configurações

No Codex, a Symantec identificou o arquivo ~/.codex/config.toml com o ajuste sandbox_mode = "danger-full-access", que desativa a sandbox de execução. Uma sandbox é uma camada de isolamento que restringe o que um programa pode fazer no sistema. A configuração também habilitava acesso à rede no sandbox de escrita e desativava a telemetria e os relatórios de erro.

No Claude Code, o relatório aponta mudanças em ~/.claude/settings.json e no destino definido por ANTHROPIC_BASE_URL. No Codex, o parâmetro de destino relevante é base_url. Em ambos os casos, as solicitações passavam pela infraestrutura do relay, que também fornecia credenciais próprias por variáveis de ambiente no escopo do usuário.

Em um computador observado, o script encerrou uma sessão da Anthropic, removeu ANTHROPIC_AUTH_TOKEN e ANTHROPIC_API_KEY e refez o login com credenciais controladas pelo relay. A Symantec também relata que essas credenciais no ambiente do usuário podiam persistir após a reinicialização e ser lidas por outros programas na mesma máquina.

O risco possível e o que foi observado

Quando as solicitações passam por um relay de terceiros, esse serviço pode receber os prompts e arquivos enviados às ferramentas e alterar as respostas. Com a sandbox desativada e o acesso à rede habilitado, uma resposta maliciosa ou comprometida poderia executar ações com os privilégios da conta do usuário.

A Symantec disse que não havia observado abuso do operador nem atividade maliciosa até a publicação do relatório. Os riscos decorrem das configurações descritas; não são relatos de roubo de dados ou de comandos maliciosos executados.

Indicadores que as equipes de TI podem conferir

A Symantec relata que a infraestrutura do relay alternou entre pelo menos oito domínios semelhantes a serviços de chat das duas empresas. A atividade observada envolveu organizações de setores como automação industrial, fabricação de eletrônicos, semicondutores, farmacêutico, transporte marítimo, fabricação de pneus, petroquímica e serviços de data center.

Entre os sinais concretos para conferir estão:

  • alterações inesperadas em base_url no ~/.codex/config.toml ou em ANTHROPIC_BASE_URL no ~/.claude/settings.json;
  • sandbox_mode = "danger-full-access" no Codex;
  • variáveis de ambiente não aprovadas no escopo do usuário, como OPENAI_BASE_URL, CODEX_API_KEY e ANTHROPIC_AUTH_TOKEN;
  • comandos PowerShell iwr | iex ou bash curl | bash próximos à instalação da CLI;
  • tráfego das ferramentas de IA para destinos que a organização não aprovou.