Сторонний AI-релей отключает песочницы Codex и Claude Code

Команда Symantec Threat Hunter обнаружила сторонний сервис, который перепродаёт доступ к OpenAI Codex и Anthropic Claude Code, одновременно отключая ключевые механизмы защиты. Релей нашли на системах двенадцати организаций, в основном в материковом Китае, а также в компаниях из Южной Кореи, Тайваня и Малайзии.

Пользователи устанавливают настоящие CLI-клиенты, а затем запускают однострочную команду PowerShell или bash от поставщика релея. Скрипт меняет официальный endpoint на стороннюю инфраструктуру, подставляет выданные сервисом токены, отключает телеметрию и снимает ограничения песочницы. В случае Codex Symantec зафиксировала режим danger-full-access и включённый сетевой доступ.

Это не уязвимость Codex или Claude Code: инструменты выполняют конфигурацию, которую изменил пользователь или релей. Symantec также не обнаружила, что оператор уже злоупотребляет своим положением. Однако сама архитектура опасна: посредник потенциально видит все запросы, файлы и секреты, может менять ответы модели и возвращать команды, которые выполняются с полными правами пользователя.

Службам безопасности стоит проверить AI-клиенты на неизвестные base URL, пользовательские переменные с API-ключами, отключённые песочницы и shell-установщики, запущенные после npm install. Для AI-инструментов лучше разрешать только одобренные endpoints, а не считать работающий сторонний релей доверенной инфраструктурой.