Unautorisierter KI-Relaydienst schaltet Sandboxes von OpenAI Codex und Claude Code ab

Nach Darstellung von Symantec ist der Dienst seit Anfang 2026 aktiv und hat die Werkzeuge auf Systemen von einem Dutzend Organisationen installiert – überwiegend in Festlandchina, daneben in Südkorea, Taiwan und Malaysia. Auf den ersten Blick wirkt das wie ein Graumarktanbieter oder ein nicht autorisierter Wiederverkäufer, der KI-Werkzeuge in Märkte bringt, in denen sie offiziell nicht verkauft werden. Das Relay scheint darauf ausgelegt zu sein, regionale Beschränkungen zu umgehen, die bestimmten Ländern und Regionen die Nutzung von KI-Diensten US-amerikanischer Anbieter verwehren.

Der Einstieg in die Untersuchung war ein verdächtiger PowerShell-Downloader. Brigid O Gorman, Senior Intelligence Analyst im Symantec Threat Hunter Team, erklärte, die Forscher hätten diesen später als „KI-Agenten-Hijack-Skript" eingestuft. Bei der weiteren Suche fanden sie vergleichbare Aktivität in anderen Netzen und führten sie auf den nicht autorisierten Relaydienst zurück.

Installiert ein Nutzer eine legitime Codex- oder Claude-Code-CLI über npm, wird laut dem Bericht ein dateiloses PowerShell- oder Bash-Skript von einer nachgeahmten Domain nachgeladen – ausgelöst durch einen Einzeiler, den der Nutzer offenbar selbst ausführt. Das erinnert an Angriffstechniken wie ClickFix und InstallFix, doch die CLI-Clients selbst werden nach Feststellung der Forscher weder verändert noch trojanisiert.

Verändert wird stattdessen die Konfiguration – und zwar in einer Weise, die das Risiko für Unternehmen deutlich erhöht. Die beobachteten Eingriffe:

• Abschalten der Ausführungs-Sandbox der CLIs, die als zentrales Sicherheitsmerkmal begrenzt, was die KI-Codierwerkzeuge tun dürfen
• Aktivieren des Netzwerkzugriffs für die Schreib-Sandbox
• Deaktivieren von Telemetrie und Fehlerberichterstattung
• Ersetzen der API-Zugangsdaten des Nutzers durch Tokens, die das Relay ausstellt

In einem vom Symantec Threat Hunter Team beobachteten Fall meldete das Skript den Nutzer aus seiner Anthropic-Sitzung ab, löschte dessen Authentifizierungsvariablen und stellte anschließend vom Relay kontrollierte Zugangsdaten aus.

„Das Umgehen regionaler Beschränkungen, die westliche KI-Anbieter am Direktvertrieb in bestimmte Märkte hindern, ist die einfachste Erklärung, aber dafür muss man weder die Sandbox einer CLI abschalten noch dauerhafte Zugangsdaten einrichten, die einen Neustart überdauern", heißt es in dem Bericht.

Warum die Betreiber des clientseitigen Relays dieses Maß an Kontrolle über die Systeme der Nutzer benötigen, ist für die Forscher offen. Schadsoftware oder bösartige Aktivität wurde bislang nicht beobachtet, ebenso wenig ein Missbrauch des Zugriffs. Die Architektur des Dienstes würde eine bösartige Ausnutzung dieses Zugriffs allerdings tragen, falls sich die Absichten des Betreibers ändern sollten.

Ein weiteres Detail: Die vom Relay ausgegebenen Claude-Code-Schlüssel tragen das Präfix, das Anthropic für abonnementbasierte OAuth-Tokens reserviert. Das sei „vereinbar damit, wenn auch kein Beweis dafür, dass ein Relay Pauschal-Abonnements bündelt und die Kapazität auf viele Kunden aufteilt", schreibt das Team. Das Abschalten von Sicherheitsfunktionen wiederum deutet auf eine mögliche Betrugsoperation mit gestohlenen Zugangsdaten oder Zahlungskarten hin – oder auf den Weiterverkauf von Prompts und Dateien, die durch die Relay-Infrastruktur laufen.

Gorman nennt es „durchaus bemerkenswert", dass der Dienst Ausführungs-Sandboxes deaktiviert und eigene dauerhafte Zugangsdaten einrichtet. „Wir haben keine bösartige Aktivität gesehen, die über diese Relaydienste ausgeführt wurde, daher ist jede Aussage über die möglichen Absichten der Betreiber spekulativ", sagt sie. „Ein Relay in dieser Position kann allerdings jeden Prompt, jede Datei und jedes Geheimnis sehen, das ein Mitarbeiter an den Agenten schickt, und es kann jede Antwort, die es zurückgibt, verändern oder erfinden. Bei abgeschalteter Sandbox und aktiviertem Netzwerkzugriff könnte eine bösartige oder kompromittierte Antwort mit den vollen Rechten des Nutzerkontos ausgeführt werden."

Symantec hat dem Bericht Kompromittierungsindikatoren beigefügt, obwohl es streng genommen bislang keine Kompromittierungen gegeben hat. „Die hier betroffenen Organisationen wirken weniger wie ausgewählte Ziele als vielmehr wie Arbeitsplätze, an denen einzelne Mitarbeiter einen solchen Dienst gefunden und genutzt haben, um an Werkzeuge zu kommen, die sie haben wollten", heißt es in dem Bericht.

Das Forschungsteam warnt dennoch, dass die Nutzung des Dienstes ein ernsthaftes Risiko für Unternehmensnetze darstellt. Zwar zielt das Relay offenbar auf Regionen, in denen Codex und Claude Code nicht offiziell angeboten werden – doch auch Organisationen auf der Suche nach günstigeren Alternativen sowie Nutzer, die Schatten-KI betreiben, könnten auf solche Angebote stoßen.