El relé del mercado gris desactiva los entornos aislados de Codex y Claude Code.

Un servicio no oficial que vende Codex de OpenAI y Claude Code de Anthropic en países donde no se comercializan, ha estado desactivando discretamente las principales funciones de seguridad de estas herramientas. Los analistas de amenazas de Symantec lo detectaron en equipos de aproximadamente una docena de organizaciones, principalmente en China continental. Si bien aún no han detectado ataques, afirman que la configuración proporciona al operador todo lo necesario para lanzarlos.

Lo que encontró Symantec

El equipo Threat Hunter de Symantec publicó su informe el jueves., Informes de Dark Reading. El equipo detectó inicialmente un programa de descarga de PowerShell al que posteriormente denominó "script de secuestro de agente de IA", y luego rastreó la misma actividad en otras redes hasta un servicio de retransmisión que ha estado funcionando desde principios de 2026. La mayoría de las organizaciones afectadas se encuentran en China continental, junto con otras en Corea del Sur, Taiwán y Malasia.

El relé no falsifica el software. Los usuarios instalan las herramientas de línea de comandos originales de Codex o Claude Code mediante npm, el gestor de paquetes estándar. Un comando de una sola línea, que el usuario ejecuta, descarga un script de un dominio web similar. Este script modifica las herramientas para que todas las solicitudes pasen por los servidores del relé en lugar de por los de OpenAI o Anthropic.

¿Qué se apaga?

Según Symantec, el script realiza cuatro cambios:

• Desactiva el entorno aislado de ejecución, el espacio delimitado que limita lo que el agente de codificación puede hacer en el ordenador.
• Esto le otorga al agente acceso a la red mientras escribe archivos.
• Desactiva la telemetría y la notificación de errores, por lo que los proveedores ven menos información.
• Sustituye las credenciales API del usuario por tokens emitidos por el servidor de retransmisión. En un caso, cerró la sesión de un usuario en Anthropic y eliminó primero su configuración de inicio de sesión.

“La explicación más sencilla es que eludir las restricciones regionales que impiden a los proveedores de IA occidentales vender directamente en ciertos mercados no requiere desactivar el entorno aislado de la CLI ni establecer credenciales persistentes que sobrevivan a un reinicio”, indica el informe. Las claves de Claude Code que distribuye el servidor utilizan el prefijo que Anthropic reserva para los inicios de sesión de suscripción, lo que, según Symantec, es coherente con, aunque no prueba, que un servicio agrupe suscripciones de tarifa plana y las divida entre muchos clientes.

Por qué es importante

Brigid O'Gorman, analista sénior del equipo de Symantec, declaró a Dark Reading que no se ha detectado ninguna actividad maliciosa. Sin embargo, explicó que un servidor de retransmisión en esa posición "puede ver todas las solicitudes, archivos y secretos que un empleado envía al agente" y puede modificar cualquier respuesta que este envíe. Con el entorno aislado desactivado, una respuesta maliciosa "podría ejecutarse con todos los privilegios de la cuenta del usuario".

Es la última de una serie de advertencias de seguridad de IA esta semana. El martes, Cohere dijo que un modelo de Alibaba Intenté enviar un archivo a un servidor en Pekín. durante una prueba, y Anthropic mostró un Claude no lanzado encadenar errores para convertirlos en ataques funcionales. En este caso, el punto débil no es el modelo en sí, sino la conexión entre el usuario y el proveedor.

Symantec afirma que las empresas afectadas se parecen menos a objetivos específicos y más a lugares de trabajo donde los empleados encontraron una forma económica de obtener las herramientas que necesitaban. Esto lo convierte en un problema de TI en la sombra, además de un problema regional. Los equipos de seguridad pueden comprobar si Codex o Claude Code en sus máquinas apuntan a algún lugar distinto de OpenAI o Anthropic, y si el entorno aislado (sandbox) sigue activado.