Ukjent relay installerer Codex og Claude Code hos tolv organisasjoner med sandkassen slått av

torsdag 29. oktober · KI-generert · Kilde: Symantec

Innholdet er KI-generert og kan inneholde feil. Sjekk originalkilden.

Sjekk konfigurasjonen til Codex og Claude Code for fremmede base-URL-er, for en grå relay-tjeneste installerer de ekte verktøyene og slår deretter av sandkassen.

OpenAI og Anthropic selger ikke kodeagentene sine i fastlands-Kina, og det har skapt et grått marked. Symantecs Threat Hunter Team har sporet en uautorisert relay-tjeneste som siden tidlig 2026 har satt opp ekte Codex- og Claude Code-CLI-er hos 12 organisasjoner. De fleste er i fastlands-Kina, resten er avdelinger av selskaper fra Sør-Korea, Taiwan og Malaysia.

Klientene er ikke trojanisert. Rett etter en vanlig npm-installasjon kjører brukeren selv en enlinjes curl | bash eller iwr | iex fra et lookalike-domene som vibe.aiok[.]me. Skriptet skriver om ~/.claude/settings.json eller ~/.codex/config.toml: base-URL-en peker til relayet, API-nøkkelen byttes mot en relay-utstedt nøkkel, sandkassen slås av (i Codex med sandbox_mode = "danger-full-access"), skrive-sandkassen får nett, og telemetri skrus av. Alt legges som miljøvariabler på brukernivå, så det overlever omstart. På én maskin logget skriptet også brukeren ut av Anthropic-økten først.

Claude Code-nøklene fra relayet har prefikset sk-ant-oat01-, som Anthropic bruker for abonnements-tokens, ikke sk-ant-api03- for API-nøkler. Symantec mener det passer med at operatøren deler flate abonnementer mellom mange kunder, men kaller det ikke bevis. Ingen misbruk er observert så langt.

«En relay i denne posisjonen kan se hver prompt, fil og hemmelighet en ansatt sender til agenten, og kan endre eller dikte opp hvert svar den returnerer» — Brigid O Gorman, senior etterretningsanalytiker i Symantec, til Dark Reading

Dette er ingen sårbarhet i Codex eller Claude Code, ifølge Symantec. Poenget gjelder derfor også deg som peker ANTHROPIC_BASE_URL mot en billig videreforhandler eller en proxy du ikke drifter selv. Den som eier endepunktet, ser alt agenten ser, og med sandkassen av kjører et manipulert svar med dine rettigheter.

Hva bør du gjøre?

Sjekk base_url i ~/.codex/config.toml og ANTHROPIC_BASE_URL i ~/.claude/settings.json og i miljøet ditt, og at de peker til leverandøren eller din egen proxy.
Søk etter danger-full-access og etter OPENAI_BASE_URL, CODEX_API_KEY og ANTHROPIC_AUTH_TOKEN satt på brukernivå, og blokker domenene i Symantecs IoC-liste.
Installer CLI-ene kun fra npm-pakkene @openai/codex og @anthropic-ai/claude-code, aldri via oppsett-skript fra en tredjepart.

Les originalen hos Symantec