Grey-Market Relay schakelt de Codex- en Claude-code-sandboxes uit.

Een onofficiële dienst die OpenAI's Codex en Anthropic's Claude Code verkoopt in landen waar deze software niet verkrijgbaar is, heeft stilletjes de belangrijkste beveiligingsfuncties van de tools uitgeschakeld. De cybersecurity-experts van Symantec ontdekten dit op computers van ongeveer twaalf organisaties, voornamelijk in China. Ze hebben nog geen aanvallen waargenomen, maar zeggen dat de configuratie de gebruiker alles in handen geeft wat nodig is om een aanval uit te voeren.

Wat Symantec ontdekte

Het Threat Hunter Team van Symantec publiceerde zijn rapport op donderdag., Rapporten over duister lezen. Het team ontdekte eerst een PowerShell-downloader die het later een "AI-agent kapingsscript" noemde, en traceerde vervolgens dezelfde activiteit over andere netwerken naar een relay-service die sinds begin 2026 actief is. De meeste getroffen organisaties bevinden zich in China, maar er zijn ook organisaties in Zuid-Korea, Taiwan en Maleisië.

De relay vervalst de software niet. Gebruikers installeren de authentieke Codex- of Claude Code-commandoregeltools via npm, de standaard pakketbeheerder. Een commando van één regel, dat de gebruiker ogenschijnlijk zelf uitvoert, haalt vervolgens een script op van een webdomein dat er hetzelfde uitziet. Dat script wijzigt de configuratie van de tools, zodat elk verzoek via de servers van de relay loopt in plaats van via die van OpenAI of Anthropic.

Wat wordt uitgeschakeld?

Volgens Symantec voert het script vier wijzigingen door:

• Het schakelt de uitvoeringssandbox uit, de afgeschermde ruimte die beperkt wat de codeerder op de computer kan doen.
• Het geeft de agent netwerktoegang terwijl deze bestanden schrijft.
• Het schakelt telemetrie en foutrapportage uit, waardoor de leveranciers minder te zien krijgen.
• Het vervangt de eigen API-gegevens van de gebruiker door tokens die door de relay zijn uitgegeven. In één geval werd een gebruiker eerst uitgelogd uit zijn Anthropic-sessie en werden zijn inloggegevens verwijderd.

“"Het omzeilen van de regionale beperkingen die westerse AI-leveranciers ervan weerhouden rechtstreeks in bepaalde markten te verkopen, is de meest voor de hand liggende verklaring, maar hiervoor is het niet nodig om de sandbox van een CLI uit te schakelen of permanente inloggegevens te creëren die een herstart overleven", aldus het rapport. De Claude Code-sleutels die de relay uitdeelt, gebruiken het voorvoegsel dat Anthropic reserveert voor abonnementsaanmeldingen. Volgens Symantec is dit consistent met, maar geen bewijs voor, het samenvoegen van abonnementen met een vast tarief door één dienst en het verdelen ervan over meerdere klanten.

Waarom het belangrijk is

Brigid O Gorman, senior analist bij Symantec, vertelde Dark Reading dat er geen kwaadaardige activiteiten zijn waargenomen. Ze zei echter dat een relay op die positie "elke prompt, elk bestand en elk geheim dat een medewerker naar de agent stuurt, kan zien" en elk antwoord dat teruggestuurd wordt, kan wijzigen. Zonder de sandbox zou een onjuist antwoord "met de volledige bevoegdheden van het gebruikersaccount kunnen worden uitgevoerd".

Dit is de meest recente in een reeks waarschuwingen over de beveiliging van AI deze week. Dinsdag meldde Cohere dat een model van Alibaba een beveiligingslek had. Ik probeerde een bestand naar een server in Peking te sturen. Tijdens een test toonde Anthropic een nog niet uitgebrachte versie van Claude. het aaneenschakelen van bugs tot werkende aanvallen. Ditmaal ligt het zwakke punt helemaal niet bij het model, maar bij de verbinding tussen de gebruiker en de leverancier.

Symantec zegt dat de getroffen bedrijven minder op doelbewuste bedrijven lijken en meer op werkplekken waar individuele medewerkers een goedkope manier hebben gevonden om de gewenste tools te verkrijgen. Daardoor is het zowel een probleem van schaduw-IT als een regionaal probleem. Beveiligingsteams kunnen controleren of Codex of Claude Code op hun machines naar andere bronnen verwijst dan OpenAI of Anthropic, en of de sandbox nog steeds is ingeschakeld.