Relay-Dienst schaltet Sandbox von KI-Coding-Tools ab

Das Threat Hunter Team des Sicherheitsanbieters Symantec hat einen nicht autorisierten Relay-Dienst entdeckt, der die Programmierwerkzeuge OpenAI Codex und Claude Code von Anthropic auf Unternehmensrechnern installiert und so umkonfiguriert, dass alle Anfragen über die Infrastruktur des Dienstes laufen. Er ist seit Anfang 2026 aktiv und vor allem in Märkten im Einsatz, in denen OpenAI und Anthropic ihre Produkte nicht offiziell anbieten, in erster Linie in Festlandchina. Symantec fand ihn bei zwölf Organisationen in Festlandchina, Südkorea, Taiwan und Malaysia, darunter Unternehmen aus Industrieautomatisierung, Elektronikfertigung, Halbleitern, Pharma und Petrochemie.

„Es handelt sich nicht um eine Schwachstelle in Codex oder Claude Code.”
Symantec

Echte Software, veränderte Konfiguration

Der Dienst verteilt keine gefälschten oder manipulierten Programme, sondern die echten Kommandozeilenwerkzeuge der Anbieter. Nutzer führen offenbar selbst ein interaktives Einrichtungsskript aus, um regionale Zugangsbeschränkungen zu umgehen. Die Skripte für PowerShell oder Bash werden ohne Datei auf der Festplatte von Domains geladen, die echten Adressen ähneln. Sie überschreiben anschließend die Konfigurationsdateien ~/.codex/config.toml für Codex und ~/.claude/settings.json für Claude Code.

Dabei wird die Sandbox, die Befehle der KI-Agenten auf dem Rechner einschränkt, vollständig deaktiviert. Bei Codex setzen die Skripte den Modus auf „danger-full-access”. Zudem erlauben sie Netzwerkzugriffe, ersetzen die Zugangsdaten durch Tokens des Relay-Dienstes und schalten Telemetrie und Fehlerberichte ab. Die für Claude Code ausgegebenen Schlüssel tragen laut Symantec das Präfix sk-ant-oat01-, das für Logins über Abonnements steht.

Zugriff auf Prompts, Dateien und Secrets

Da der gesamte Datenverkehr über den Relay-Dienst läuft, kann dessen Betreiber Prompts, Dateien und Secrets einsehen, die Beschäftigte an die KI-Werkzeuge senden. Zudem könnte er die Antworten der Modelle manipulieren und die Agenten so Befehle mit den vollen Rechten des Entwicklerkontos ausführen lassen. Wer hinter dem Dienst steckt, ist nicht bekannt.

Symantec empfiehlt, Endgeräte mit Codex oder Claude Code auf Aufrufe nach dem Muster iwr | iex unter PowerShell oder curl | bash zu überwachen, die kurz nach oder anstelle der regulären Installation per npm erfolgen. Zudem sollten Unternehmen die Konfigurationsdateien der Werkzeuge auf Änderungen prüfen und den Datenverkehr von KI-Werkzeugen auf eine Liste freigegebener Endpunkte der Anbieter beschränken. Laut einer Umfrage von Tieto Germany nutzen auch in Deutschland 20 Prozent der Berufstätigen KI im Job ohne Wissen ihres Arbeitgebers.

(red)