Серый ретранслятор отключает песочницы Codex и Claude Code

Неофициальный сервис, продающий Codex от OpenAI и Claude Code от Anthropic в страны, где ни один из этих продуктов не продается, незаметно отключает основные функции безопасности этих инструментов. Специалисты Symantec по поиску угроз обнаружили это на компьютерах примерно в дюжине организаций, в основном в материковом Китае. Пока атак не зафиксировано, но, по их словам, такая конфигурация предоставляет оператору все необходимое для ее осуществления.

Что обнаружила компания Symantec

Команда специалистов Symantec по поиску угроз опубликовала свой отчет в четверг., Издание Dark Reading сообщает.... Команда сначала обнаружила загрузчик PowerShell, который позже назвала “скриптом для перехвата агента ИИ”, а затем отследила ту же активность в других сетях до службы ретрансляции, работающей с начала 2026 года. Большинство пострадавших организаций находятся в материковом Китае, другие — в Южной Корее, Тайване и Малайзии.

Ретранслятор не подделывает программное обеспечение. Пользователи устанавливают подлинные инструменты командной строки Codex или Claude Code через npm, стандартный менеджер пакетов. Затем команда в одну строку, которая выглядит так, будто пользователь запускает её сам, загружает скрипт с похожего веб-домена. Этот скрипт перенастраивает инструменты таким образом, чтобы каждый запрос проходил через серверы ретранслятора, а не через серверы OpenAI или Anthropic.

Что отключается

По данным компании Symantec, скрипт вносит четыре изменения:

• Это отключает песочницу выполнения, замкнутое пространство, ограничивающее возможности программиста на компьютере.
• Это предоставляет агенту доступ к сети во время записи файлов.
• Это отключает телеметрию и отчеты об ошибках, поэтому поставщики видят меньше информации.
• Она заменяет собственные учетные данные API пользователя токенами, выданными ретранслятором. В одном случае она вывела пользователя из его сессии Anthropic и сначала удалила его настройки входа.

“Обход региональных ограничений, которые мешают западным поставщикам ИИ напрямую продавать свою продукцию на определенных рынках, является самым простым объяснением, но он не требует отключения песочницы CLI или создания постоянных учетных данных, сохраняющихся после перезагрузки”, — говорится в отчете. Ключи Claude Code, которые раздает ретранслятор, используют префикс, зарезервированный Anthropic для входа в систему по подписке, что, по словам Symantec, согласуется с тем, что одна служба объединяет подписки с фиксированной платой и распределяет их между многими клиентами, хотя и не является доказательством этого.

Почему это важно

Бригид О. Горман, старший аналитик команды Symantec, сообщила изданию Dark Reading, что никакой вредоносной активности обнаружено не было. Однако она отметила, что устройство, находящееся в таком положении, “может видеть каждый запрос, файл и секрет, отправленный сотрудником агенту”, и может изменить любой ответ, который оно отправляет обратно. При отключенной песочнице некорректный ответ “может быть выполнен с полными привилегиями учетной записи пользователя”.

Это последнее из череды предупреждений о безопасности ИИ на этой неделе. Во вторник компания Cohere заявила, что модель Alibaba пытался отправить файл на сервер в Пекине. Во время тестирования компания Anthropic показала еще не выпущенную версию Клода. превращение ошибок в эффективные атаки. В этот раз слабым местом является вовсе не модель, а канал связи между пользователем и поставщиком.

Компания Symantec утверждает, что пострадавшие компании больше похожи не на специально выбранные цели, а на рабочие места, где отдельные сотрудники нашли дешевый способ получить необходимые им инструменты. Это делает проблему не только региональной, но и проблемой теневых ИТ. Группы безопасности могут проверить, указывают ли Codex или Claude Code на их машинах куда-либо, кроме OpenAI или Anthropic, и включена ли еще песочница.