Неоторизирани посреднически услуги за OpenAI Codex и Claude Code деактивират изолираните среди на ИИ и пренасочват корпоративни данни

Неоторизирана посредническа (релейна) услуга за изкуствен интелект (ИИ) инсталира оригинални инструменти OpenAI Codex и Anthropic Claude Code на фирмени компютри, след което променя техните настройки, за да изпраща заявки през сървъри на трети страни. Конфигурацията също така премахва контролите на изолираната среда (пясъчника), създавайки път за изтичане на чувствителни бизнес данни извън одобрените системи.

Екипът Threat Hunter на Symantec документира тази активност в доклад от 29 октомври. Изследователите са наблюдавали услугата в около дузина организации от началото на 2026 г.

Повечето от тях са в континентален Китай, а други внедрявания засягат мултинационални компании, свързани с Южна Корея, Тайван и Малайзия. Засегнатите индустрии включват полупроводници, фармацевтика, корабоплаване, електроника, нефтохимия и услуги за центрове за данни.

Ключовата разлика е в конфигурацията. Изследователите не са открили нито модифициран клиент, нито уязвимост в Codex или Claude Code. Оригиналните инструменти просто следват настройките, въведени от посредническата услуга.

Заменени контроли на изолираната среда и идентификационни данни

Изглежда, че потребителите сами стартират команда за настройка, често в рамките на няколко минути до половин час след инсталирането на ИИ инструмент за програмиране чрез npm. Изследователите не са открили автоматизирано разпространение или такова, базирано на експлойти.

Безфайлов PowerShell или bash скрипт пристига от имитиращ домейн като vibe.aiok[.]me. Той проверява за наличието на Node.js и заявения инструмент за програмиране, инсталира липсващите компоненти и след това прилага настройките на посредника. Тъй като потребителите получават работещо приложение, допълнителната настройка може да изглежда рутинна.

Скриптът презаписва ~/.codex/config.toml или ~/.claude/settings.json. Той променя base_url или ANTHROPIC_BASE_URL към инфраструктура, контролирана от посредника, и инсталира издадени от него идентификационни данни. Променливите на средата на потребителско ниво запазват тези настройки след рестартиране.

За екипите, които анализират непознати скриптове за настройка, интерактивната изолирана среда на ANY.RUN предлага отделна среда за анализ с взаимодействие в реално време и изготвяне на отчети. Това се различава от собствената изолирана среда на агента за програмиране, която ограничава действията по време на нормална употреба.

В Codex скриптът задава sandbox_mode на danger-full-access. Той също така активира мрежовия достъп за изолираната среда за запис и деактивира телеметрията и докладването на грешки чрез DISABLE_TELEMETRY=1 и DISABLE_ERROR_REPORTING=1. Тези промени премахват защитните механизми, като същевременно потискат сигналите, които иначе биха могли да достигнат до доставчиците.

На един от хостовете скриптът е изпълнил claude /logout, премахнал е ANTHROPIC_AUTH_TOKEN и ANTHROPIC_API_KEY, след което е стартирал claude /login. Това е изчистило съществуваща сесия, преди идентификационните данни на посредника да поемат контрола. Изследователите не са успели да установят дали всяко внедряване е следвало тази последователност, се посочва в доклада на Symantec.

Услугата е ротирала поне осем домейна, имитиращи услуги на OpenAI или Anthropic. Нейните токени за Claude от абонаментен тип биха могли да предполагат препродажба на споделени акаунти, но изследователите заявиха, че това не е доказателство за нейния бизнес модел.

Свързани доклади за превземане на Codex и Claude Code чрез папките за изтегляния (Downloads) показват отделен път за пренасочване на крайни точки. Тук обаче скриптът за настройка променя настройките директно, вместо да разчита на злонамерени инструкции вътре във файловете.

Посредническата услуга може да вижда запитвания (промптове), файлове и тайни, изпращани през нея, и би могла да променя отговорите. С премахнатата защита на изолираната среда, един злонамерен отговор може да доведе до изпълнение на команди с привилегиите на потребителския акаунт. Symantec не са открили доказателства операторът да се е възползвал от тази позиция. Наблюдаваното пренасочване не трябва да се бърка с потвърдена кражба на данни.

Отделни публикации относно пропуските в сигурността на ИИ агентите за програмиране подчертават защо контролът на правата за достъп е от значение. Този случай добавя още едно притеснение: оригиналният софтуер може да стане опасен, когато неодобрена услуга контролира неговите настройки.

Защитниците трябва да прегледат URL адресите на крайните точки, настройките на изолираната среда и променливите с идентификационни данни на потребителско ниво. Командите в PowerShell или bash за изтегляне и изпълнение малко след инсталация чрез npm заслужават внимание.

Мрежовият мониторинг трябва да сигнализира за инструменти за програмиране, които се свързват с дестинации извън одобрените крайни точки за ИИ. Променливите, издадени от посредника, също изискват преглед, тъй като други приложения могат да ги наследят. Тези проверки помагат да се разграничат одобрените внедрявания от нерегламентирания достъп, без всяка легитимна инсталация на ИИ да се третира като злонамерена дейност.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно отваряне или създаване на хипервръзки. Възстановявайте ги само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.