Grey-Market Relay schaltet Codex- und Claude-Code-Sandboxes ab

Ein inoffizieller Anbieter, der OpenAI Codex und Anthropic Claude Code in Ländern vertreibt, in denen diese Tools nicht erhältlich sind, hat unbemerkt die wichtigsten Sicherheitsfunktionen der Programme deaktiviert. Die Bedrohungsanalysten von Symantec entdeckten dies auf Rechnern in etwa einem Dutzend Organisationen, hauptsächlich in Festlandchina. Bislang wurden keine Angriffe beobachtet, doch die Konfiguration bietet dem Angreifer alle notwendigen Ressourcen für einen solchen Angriff.

Was Symantec herausgefunden hat

Das Threat Hunter Team von Symantec veröffentlichte seinen Bericht am Donnerstag., Dark Reading berichtet. Das Team entdeckte zunächst einen PowerShell-Downloader, den es später als “KI-Agenten-Hijacking-Skript” bezeichnete, und verfolgte dann dieselbe Aktivität in anderen Netzwerken zu einem Relay-Dienst zurück, der seit Anfang 2026 in Betrieb ist. Die meisten betroffenen Organisationen befinden sich in Festlandchina, weitere in Südkorea, Taiwan und Malaysia.

Der Relay-Dienst fälscht die Software nicht. Nutzer installieren die originalen Codex- oder Claude-Code-Befehlszeilentools über npm, den Standard-Paketmanager. Ein einzeiliger Befehl, den der Nutzer scheinbar selbst ausführt, lädt dann ein Skript von einer gefälschten Webdomain herunter. Dieses Skript konfiguriert die Tools so um, dass jede Anfrage über die Server des Relay-Dienstes und nicht über die von OpenAI oder Anthropic geleitet wird.

Was wird abgeschaltet?

Laut Symantec nimmt das Skript vier Änderungen vor:

• Dadurch wird die Ausführungssandbox deaktiviert, der abgegrenzte Bereich, der die Möglichkeiten des Codierungsagenten auf dem Computer einschränkt.
• Es gewährt dem Agenten Netzwerkzugriff, während er Dateien schreibt.
• Es deaktiviert Telemetrie und Fehlerberichterstattung, sodass die Anbieter weniger Daten erhalten.
• Es tauscht die API-Zugangsdaten des Benutzers gegen vom Relay ausgestellte Token aus. In einem Fall wurde ein Benutzer von seiner Anthropic-Sitzung abgemeldet und seine Anmeldeeinstellungen wurden zuvor gelöscht.

“Die Umgehung regionaler Beschränkungen, die westliche KI-Anbieter am Direktvertrieb in bestimmten Märkten hindern, ist die einfachste Erklärung. Sie erfordert jedoch weder die Deaktivierung der Sandbox einer CLI noch die Einrichtung dauerhafter Anmeldeinformationen, die einen Neustart überstehen”, heißt es im Bericht. Die vom Relay ausgegebenen Claude-Code-Schlüssel verwenden das Präfix, das Anthropic für Abonnement-Logins reserviert. Laut Symantec ist dies zwar konsistent mit der Annahme, dass ein Dienst Pauschalabonnements bündelt und auf viele Kunden aufteilt, aber kein Beweis dafür.

Warum es wichtig ist

Brigid O. Gorman, leitende Analystin im Symantec-Team, erklärte gegenüber Dark Reading, dass bisher keine böswilligen Aktivitäten festgestellt wurden. Sie fügte jedoch hinzu, dass ein Relay in dieser Position “jede Eingabeaufforderung, Datei und jedes Geheimnis einsehen kann, das ein Mitarbeiter an den Agenten sendet” und jede Antwort, die dieser zurücksendet, verändern kann. Ohne Sandbox könnte eine fehlerhafte Antwort “mit den vollen Berechtigungen des Benutzerkontos ausgeführt werden”.

Dies ist die jüngste einer Reihe von KI-Sicherheitswarnungen in dieser Woche. Am Dienstag warnte Cohere vor einem Alibaba-Modell. versuchte, eine Datei an einen Server in Peking zu senden Während eines Tests zeigte Anthropic einen unveröffentlichten Claude Verkettung von Fehlern zu funktionierenden Angriffen. Diesmal liegt die Schwachstelle gar nicht im Modell, sondern in der Verbindung zwischen Benutzer und Anbieter.

Laut Symantec ähneln die betroffenen Unternehmen weniger gezielten Angriffen, sondern eher Arbeitsplätzen, an denen einzelne Mitarbeiter auf kostengünstige Weise an die gewünschten Tools gelangten. Dadurch wird das Problem sowohl zu einem Schatten-IT-Problem als auch zu einem regionalen. Sicherheitsteams können überprüfen, ob Codex oder Claude Code auf ihren Rechnern auf andere Server als OpenAI oder Anthropic verweisen und ob die Sandbox noch aktiv ist.