Configurações Incorretas de AI Relay Transformam Sandboxes em Ambientes de Acesso Completo

Sumário

Um serviço de relé não autorizado, no mercado cinza, reconfigura legitimamente os CLIs do OpenAI Codex e Anthropic Claude Code para rotear prompts e credenciais por meio de infraestrutura de terceiros. O serviço desativa a sandbox e a telemetria incorporadas, efetivamente dando ao operador do relé acesso aos prompts, arquivos e segredos do usuário. Essa configuração cria oportunidades para roubo de dados ou execução de comandos sob as permissões do usuário.

Investigação

Caçadores de ameaças identificaram o serviço de relé operando desde o início de 2026, afetando principalmente organizações na China continental, junto com subsidiárias multinacionais na Coreia do Sul, Taiwan e Malásia. A investigação revelou um mecanismo de entrega sem arquivos usando scripts PowerShell ou bash baixados de domínios parecidos. Como o serviço reutiliza ferramentas legítimas em vez de distribuir versões trojanizadas, a detecção pode ser mais difícil.

Mitigação

As organizações devem monitorar alterações em base_url or ANTHROPIC_BASE_URL nos arquivos de configuração do CLI e para sandbox_mode sendo definido como danger-full-access. Implemente listas de permissão para endpoints de serviço de IA aprovados e monitore variáveis de ambiente no nível do usuário não autorizadas, tais como OPENAI_BASE_URL or ANTHROPIC_AUTH_TOKEN. Os defensores também devem investigar comandos iwr or curl executados logo após instalações legítimas do npm.

Resposta

Quando essa atividade for detectada, isole o host afetado para reduzir o risco de execução de comandos por meio da sandbox desativada. Revogue e gire todas as chaves de API, tokens e variáveis de ambiente associadas às ferramentas de IA afetadas. Realize uma análise forense de prompts, arquivos e dados transmitidos por meio do relé para determinar a extensão da possível exposição.

Execução de Simulação

• Narrativa de Ataque & Comandos: O adversário comprometeu um servidor web e busca contornar políticas corporativas de uso de IA. Em vez de usar a API oficial, eles baixam uma ferramenta CLI leve e modificam sua configuração para apontar para vibe.aiok.me. Isso permite que eles interceptem todos os prompts e respostas enviados pelo usuário, criando efetivamente um relé “Man-in-the-Middle” para interações de IA. A simulação usa curl para simular a tentativa de conexão ao domínio não autorizado, o que deve gerar a telemetria de rede necessária para acionar a regra.

• Script de Teste de Regressão:

  #!/bin/bash
  # Simulação de conexão de relé de IA não autorizado
  echo "[*] Iniciando Simulação de Domínio de Relé de IA..."
  
  # Domínio alvo da regra de detecção
  TARGET_DOMAIN="vibe.aiok.me"
  
  echo "[*] Tentando conexão com $TARGET_DOMAIN para acionar detecção..."
  # Usamos curl para iniciar uma conexão que gera telemetria de rede
  curl -v "http://$TARGET_DOMAIN/api/v1/relay" --connect-timeout 5
  
  echo "[*] Comando de simulação executado."

• Comandos de Limpeza:

  # Nenhuma mudança persistente feita pelo script de simulação.
  echo "[*] Limpando artefatos de simulação... Concluído."