AI中继配置错误使沙盒变为全访问环境

摘要

一个未经授权的灰色市场中继服务重新配置合法的OpenAI Codex和Anthropic Claude代码CLI，以通过第三方基础设施路由提示和凭据。该服务禁用内置的沙箱和遥测，有效地让中继操作员访问用户的提示、文件和秘密。此配置为数据盗窃或在用户权限下命令执行创造了机会。

调查

威胁猎人发现该中继服务自2026年初以来一直在运行，主要影响中国大陆的组织，以及在韩国、台湾和马来西亚的跨国子公司。调查发现了一种无文件的交付机制，使用从相似域名下载的PowerShell或bash脚本。由于该服务改用合法工具而不是分发木马版，因此检测可能更加困难。

缓解措施

组织应监控CLI配置文件中对 base_url or ANTHROPIC_BASE_URL 的更改，以及 sandbox_mode 设置为 danger-full-access。为批准的AI服务端点实施白名单，并监控未经授权的用户级环境变量，如 OPENAI_BASE_URL or ANTHROPIC_AUTH_TOKEN。防御者还应调查在合法npm安装后不久执行的单行 iwr or curl 命令。

响应

检测到此活动时，隔离受影响的主机以降低通过禁用的沙箱进行命令执行的风险。撤销并旋转所有API密钥、令牌和与受影响AI工具相关的环境变量。对通过中继传输的提示、文件和数据进行法医审查，以确定潜在暴露的范围。

模拟执行

• 攻击叙述和命令： 攻击者已经妥协了一个网络服务器并试图绕过公司AI使用政策。他们没有使用官方API，而是下载了一个轻量级CLI工具并修改其配置指向 vibe.aiok.me。这使他们能够拦截用户发送的所有提示和响应，实际上为AI交互创建了一个“中间人”中继。模拟使用 curl 模拟到未经授权域的连接尝试，这应该会生成触发规则所需的网络遥测。

• 回归测试脚本：

  #!/bin/bash
  # 未授权AI中继连接模拟
  echo "[*] 启动AI中继域模拟..."
  
  # 检测规则中的目标域
  TARGET_DOMAIN="vibe.aiok.me"
  
  echo "[*] 尝试连接到 $TARGET_DOMAIN 以触发检测..."
  # 我们使用curl发起连接，生成网络遥测
  curl -v "http://$TARGET_DOMAIN/api/v1/relay" --connect-timeout 5
  
  echo "[*] 模拟命令已执行。"

• 清理命令：

  # 模拟脚本未进行持久性更改。
  echo "[*] 清理模拟工件... 完成。"