Grey-Market Relay disattiva le sandbox di Codex e Claude Code.

Un servizio non ufficiale che vende Codex di OpenAI e Claude Code di Anthropic in paesi in cui nessuno dei due è commercializzato, ha disattivato silenziosamente le principali funzionalità di sicurezza di questi strumenti. Gli esperti di sicurezza di Symantec hanno individuato questa anomalia sui computer di una dozzina di organizzazioni, principalmente nella Cina continentale. Finora non sono stati rilevati attacchi, ma secondo Symantec la configurazione fornisce all'operatore tutto il necessario per lanciarne uno.

Cosa ha scoperto Symantec

Il Threat Hunter Team di Symantec ha pubblicato il suo rapporto giovedì, Rapporti di Dark Reading. Il team ha inizialmente individuato un downloader PowerShell, successivamente denominato "script di dirottamento di un agente di intelligenza artificiale", per poi risalire alla stessa attività su altre reti, riconducendola a un servizio di inoltro attivo dall'inizio del 2026. La maggior parte delle organizzazioni colpite si trova nella Cina continentale, mentre altre sono presenti in Corea del Sud, Taiwan e Malesia.

Il relay non falsifica il software. Gli utenti installano gli strumenti a riga di comando originali di Codex o Claude Code tramite npm, il gestore di pacchetti standard. Un singolo comando, che l'utente sembra eseguire autonomamente, scarica quindi uno script da un dominio web simile. Questo script riconfigura gli strumenti in modo che ogni richiesta passi attraverso i server del relay anziché quelli di OpenAI o Anthropic.

Cosa viene spento?

Secondo Symantec, lo script apporta quattro modifiche:

• Disattiva la sandbox di esecuzione, lo spazio isolato che limita le operazioni che l'agente di programmazione può eseguire sul computer.
• Consente all'agente di accedere alla rete durante la scrittura dei file.
• Disabilita la telemetria e la segnalazione degli errori, in modo che i fornitori vedano meno informazioni.
• Sostituisce le credenziali API dell'utente con token emessi dal relay. In un caso, ha disconnesso un utente dalla sua sessione Anthropic e prima ha eliminato le sue impostazioni di accesso.

“"Aggirare le restrizioni regionali che impediscono ai fornitori occidentali di IA di vendere direttamente in determinati mercati è la spiegazione più semplice, ma non richiede la disabilitazione della sandbox di una CLI o la creazione di credenziali persistenti che sopravvivano a un riavvio", afferma il rapporto. Le chiavi del Codice Claude distribuite dal relay utilizzano il prefisso "Anthropic reserved" per gli accessi in abbonamento, il che, secondo Symantec, è coerente con l'ipotesi, sebbene non ne sia una prova, che un unico servizio raggruppi abbonamenti a tariffa fissa e li suddivida tra molti clienti.

Perché è importante

Brigid O'Gorman, analista senior del team Symantec, ha dichiarato a Dark Reading che non è stata rilevata alcuna attività dannosa. Tuttavia, ha affermato che un relay in quella posizione "può visualizzare ogni richiesta, file e segreto inviato da un dipendente all'agente" e può modificare qualsiasi risposta inviata. Con la sandbox disattivata, una risposta errata "potrebbe essere eseguita con tutti i privilegi dell'account utente".

È l'ultimo di una serie di avvertimenti sulla sicurezza dell'IA questa settimana. Martedì Cohere ha affermato che un modello di Alibaba Ho provato a inviare un file a un server a Pechino. durante un test, e Anthropic ha mostrato un Claude inedito concatenare bug in attacchi funzionanti. Questa volta il punto debole non è il modello in sé, ma il canale di comunicazione tra l'utente e il fornitore.

Symantec afferma che le aziende colpite sembrano meno obiettivi mirati e più luoghi di lavoro in cui i singoli dipendenti hanno trovato un modo economico per ottenere gli strumenti desiderati. Questo rende il problema tanto un problema di IT ombra quanto un problema regionale. I team di sicurezza possono verificare se Codex o Claude Code installati sui loro computer puntano a siti diversi da OpenAI o Anthropic e se la sandbox è ancora attiva.