AIリレーミスコンフィギュレーションがサンドボックスを完全アクセス環境に変える

概要

許可されていないグレーマーケットのリレーサービスが、正当なOpenAI CodexとAnthropic Claude Code CLIを再構成してプロンプトと資格情報をサードパーティのインフラストラクチャを通じてルーティングします。このサービスは、組み込みのサンドボックスとテレメトリを無効にし、リレーオペレーターがユーザープロンプト、ファイル、およびシークレットにアクセスできるようにします。この構成は、データ窃取やユーザーの権限下でのコマンド実行の機会を生み出します。

調査

脅威ハンターは、2026年初頭から運営されていたリレーサービスが中国本土の組織や、韓国、台湾、マレーシアの多国籍企業の子会社に主に影響を及ぼしていることを特定しました。調査により、類似したドメインからダウンロードされるPowerShellまたはbashスクリプトを使用した、ファイルレス配信メカニズムが明らかになりました。このサービスはトロイの木馬化されたバージョンを配布するのではなく、正当なツールを再利用するため、検出がより困難です。

緩和策

組織は、 base_url or ANTHROPIC_BASE_URL CLI構成ファイルでの変更を監視し、 sandbox_mode が danger-full-accessに設定されているかどうかを確認するべきです。承認されたAIサービスエンドポイントの許可リストを実装し、 OPENAI_BASE_URL or ANTHROPIC_AUTH_TOKENなどの許可されていないユーザーレベルの環境変数を監視します。ディフェンダーはまた、正当なnpmインストールの直後に実行されたワンラインの iwr or curl コマンドを調査すべきです。

対応策

この活動が検出された場合、無効にされたサンドボックスを通じたコマンド実行のリスクを減少させるために、影響を受けたホストを隔離します。影響を受けたAIツールに関連付けられたすべてのAPIキー、トークン、および環境変数を取り消し、回転させます。リレーを介して転送されたプロンプト、ファイル、データの法医学レビューを実施して、潜在的な曝露の範囲を決定します。

シミュレーション実行

• 攻撃の流れとコマンド： 攻撃者はウェブサーバーを侵害し、企業のAI使用ポリシーを回避しようとしています。公式APIを使用する代わりに、軽量のCLIツールをダウンロードし、その構成を vibe.aiok.meに向けるように変更します。これにより、ユーザーによって送信されたすべてのプロンプトと応答を傍受し、AIインタラクションのための「中間者」リレーを効果的に作成します。シミュレーションでは、非許可ドメインへの接続試行をシミュレートするために curl を使用して、ルールをトリガーするために必要なネットワークテレメトリを生成します。

• 回帰テストスクリプト：

  #!/bin/bash
  # 許可されていないAIリレー接続のシミュレーション
  echo "[*] AIリレードメインシミュレーションを開始しています..."
  
  # 検出ルールからの対象ドメイン
  TARGET_DOMAIN="vibe.aiok.me"
  
  echo "[*] 検出をトリガーするために$TARGET_DOMAINへの接続を試みています..."
  # 接続を開始し、ネットワークテレメトリを生成するためにcurlを使用します
  curl -v "http://$TARGET_DOMAIN/api/v1/relay" --connect-timeout 5
  
  echo "[*] シミュレーションコマンドを実行しました。"

• クリーンアップコマンド：

  # シミュレーションスクリプトによって永続的な変更は行われていません。
  echo "[*] シミュレーションアーティファクトを清掃中... 完了。"