Grey-Market Relay désactive les environnements de test Codex et Claude Code.

Un service non officiel commercialisant Codex d'OpenAI et Claude Code d'Anthropic dans des pays où ces outils ne sont pas disponibles désactive discrètement leurs principales fonctions de sécurité. Les analystes de Symantec l'ont détecté sur les machines d'une douzaine d'organisations, principalement en Chine continentale. Aucune attaque n'a encore été constatée, mais ils affirment que cette configuration offre à l'opérateur tout le nécessaire pour en lancer une.

Ce que Symantec a découvert

L'équipe Threat Hunter de Symantec a publié son rapport jeudi., Rapports de Dark Reading. L’équipe a d’abord repéré un programme de téléchargement PowerShell qu’elle a ensuite qualifié de “ script de détournement d’agent d’IA ”, puis a retracé la même activité sur d’autres réseaux jusqu’à un service de relais en activité depuis début 2026. La plupart des organisations touchées se trouvent en Chine continentale, d’autres en Corée du Sud, à Taïwan et en Malaisie.

Le relais n'utilise pas de logiciel falsifié. Les utilisateurs installent les véritables outils en ligne de commande Codex ou Claude Code via npm, le gestionnaire de paquets standard. Une simple commande, que l'utilisateur semble exécuter lui-même, récupère ensuite un script depuis un domaine web similaire. Ce script reconfigure les outils afin que chaque requête transite par les serveurs du relais plutôt que par ceux d'OpenAI ou d'Anthropic.

Qu'est-ce qui est éteint ?

Selon Symantec, le script apporte quatre modifications :

• Cela désactive le bac à sable d'exécution, l'espace cloisonné qui limite ce que l'agent de codage peut faire sur l'ordinateur.
• Cela permet à l'agent d'accéder au réseau pendant qu'il écrit des fichiers.
• Cela désactive la télémétrie et le signalement des erreurs, de sorte que les fournisseurs voient moins d'informations.
• Il remplace les identifiants API de l'utilisateur par des jetons émis par le relais. Dans un cas précis, il a déconnecté un utilisateur de sa session Anthropic et supprimé ses paramètres de connexion au préalable.

“ Contourner les restrictions régionales qui empêchent les fournisseurs occidentaux d'IA de vendre directement sur certains marchés est l'explication la plus simple, mais cela n'implique ni la désactivation du sandbox d'une interface de ligne de commande, ni la création d'identifiants persistants après un redémarrage ”, indique le rapport. Les clés Claude Code distribuées par le relais utilisent le préfixe réservé par Anthropic aux connexions par abonnement, ce qui, selon Symantec, est cohérent avec l'hypothèse, sans toutefois la prouver, d'un service mutualisant les abonnements à tarif fixe et les répartissant entre de nombreux clients.

Pourquoi c'est important

Brigid O Gorman, analyste senior chez Symantec, a déclaré à Dark Reading qu'aucune activité malveillante n'avait été constatée. Elle a toutefois précisé qu'un relais occupant cette position “ peut consulter chaque invite, fichier et clé secrète qu'un employé envoie à l'agent ” et modifier toute réponse renvoyée. Sans le sandbox, une réponse malveillante “ pourrait s'exécuter avec tous les privilèges du compte utilisateur ”.

Il s'agit du dernier d'une série d'alertes concernant la sécurité de l'IA cette semaine. Mardi, Cohere a déclaré qu'un modèle d'Alibaba a tenté d'envoyer un fichier à un serveur à Pékin Lors d'un test, Anthropic a montré une version inédite de Claude enchaîner les bugs pour en faire des attaques fonctionnelles. Cette fois-ci, le point faible n'est pas du tout le modèle, mais le canal de communication entre l'utilisateur et le fournisseur.

Symantec indique que les entreprises concernées ressemblent moins à des cibles ciblées qu'à des lieux de travail où certains employés ont trouvé un moyen peu coûteux d'obtenir les outils souhaités. Il s'agit donc d'un problème d'informatique parallèle autant que d'un problème régional. Les équipes de sécurité peuvent vérifier si Codex ou Claude Code installés sur leurs machines pointent vers d'autres applications qu'OpenAI ou Anthropic, et si l'environnement de test (sandbox) est toujours activé.