Sandbox teljes hozzáféréssel
A Symantec Threat Hunter Team kutatása szerint egy nem hivatalos AI-szolgáltatásközvetítő az OpenAI Codex és az Anthropic Claude Code agenteket úgy konfigurálta át, hogy azok kikapcsolt biztonsági korlátozásokkal, harmadik fél szerverein keresztül működjenek.
A szolgáltatást 2026 eleje óta mintegy tizenkét szervezetnél azonosították, elsősorban Kínában, de dél-koreai, tajvani és malajziai vállalatoknál is. Az érintett ágazatok között a félvezetőgyártás, az ipari automatizálás, a gyógyszeripar, a hajózás és az adatközponti szolgáltatások szerepeltek.
A felhasználók az eredeti Codex vagy Claude Code parancssori eszközöket telepítették, majd egy PowerShell- vagy Bash-szkriptet futtattak, feltehetően a szolgáltató útmutatása alapján. A szkript átírta a konfigurációs állományokat, és az MI-kéréseket az OpenAI, illetve az Anthropic helyett a közvetítő infrastruktúrájára irányította.
A Codex esetében a beállítások között megjelent a sandbox_mode = danger-full-access, amely megszünteti a parancsvégrehajtás elkülönítését. A szkript hálózati hozzáférést is engedélyezett, kikapcsolta a telemetriát és a hibajelentéseket, valamint saját hozzáférési tokenekkel helyettesítette a hivatalos hitelesítő adatokat. Egy gépen a felhasználót az Anthropic-fiókjából is kijelentkeztette.
A kutatók legalább nyolc, OpenAI- vagy Anthropic-szolgáltatásnak látszó domaint azonosítottak a közvetítő infrastruktúrájában. A működés egyik lehetséges célja a regionális hozzáférési korlátozások megkerülése, illetve az AI-előfizetések viszonteladása lehetett.
A kockázat azonban túlmutat az engedély nélküli szolgáltatáshasználaton. A közvetítő hozzáférhet az általa továbbított promptokhoz, fájlokhoz és titkos adatokhoz, valamint módosíthatja az MI válaszait. Kikapcsolt sandbox mellett egy rosszindulatú válasz a felhasználó jogosultságaival hajthat végre műveleteket. A Symantec nem talált bizonyítékot arra, hogy az üzemeltető ténylegesen visszaélt volna ezekkel a lehetőségekkel.
