Fehlkonfigurationen von AI-Relais verwandeln Sandboxes in Umgebungen mit vollem Zugriff

Zusammenfassung

Ein nicht autorisierter Graumarkt-Relay-Dienst konfiguriert legitime OpenAI Codex und Anthropic Claude Code CLIs neu, um Anfragen und Anmeldedaten über eine Drittsystem-Infrastruktur zu leiten. Der Dienst deaktiviert das integrierte Sandboxing und die Telemetrie, wodurch der Relay-Betreiber Zugriff auf die Anfragen, Dateien und Geheimnisse der Benutzer erhält. Diese Konfiguration schafft Möglichkeiten für Datendiebstahl oder Befehlsausführung unter den Privilegien des Benutzers.

Untersuchung

Bedrohungsjäger identifizierten den Relay-Dienst, der seit Anfang 2026 aktiv ist und hauptsächlich Organisationen in Festlandchina sowie multinationale Tochtergesellschaften in Südkorea, Taiwan und Malaysia betrifft. Die Untersuchung deckte einen dateilosen Zustellmechanismus auf, der PowerShell- oder Bash-Skripte von ähnlich aussehenden Domains herunterlädt. Da der Dienst legitime Werkzeuge umfunktioniert, anstatt trojanisierte Versionen zu verbreiten, kann die Erkennung schwieriger sein.

Minderung

Organisationen sollten Änderungen an base_url or ANTHROPIC_BASE_URL in CLI-Konfigurationsdateien und an sandbox_mode überwachen, die auf danger-full-accessgesetzt sind. Implementieren Sie Zulassungsliste für genehmigte AI-Service-Endpunkte und überwachen Sie nicht autorisierte benutzerspezifische Umgebungsvariablen wie OPENAI_BASE_URL or ANTHROPIC_AUTH_TOKEN. Verteidiger sollten auch Ein-Zeilen iwr or curl Befehle untersuchen, die kurz nach legitimen npm-Installationen ausgeführt werden.

Reaktion

Wenn diese Aktivität erkannt wird, isolieren Sie den betroffenen Host, um das Risiko einer Befehlsausführung durch das deaktivierte Sandbox-Umgebung zu reduzieren. Widerrufen und erneuern Sie alle API-Schlüssel, Tokens und Umgebungsvariablen, die mit den betroffenen AI-Werkzeugen verbunden sind. Führen Sie eine forensische Überprüfung der Anfragen, Dateien und Daten durch, die über das Relay übertragen wurden, um das Ausmaß der potenziellen Exposition zu bestimmen.

Simulationsexecution

• Angriffsnarrativ & Befehle: Der Angreifer hat einen Webserver kompromittiert und versucht, die unternehmenseigenen AI-Nutzungsrichtlinien zu umgehen. Anstatt die offizielle API zu verwenden, laden sie ein leichtgewichtiges CLI-Tool herunter und ändern dessen Konfiguration, um auf vibe.aiok.mezu verweisen. Dies ermöglicht es ihnen, alle Anfragen und Antworten des Benutzers abzufangen und effektiv ein „Man-in-the-Middle“-Relay für AI-Interaktionen zu erstellen. Die Simulation verwendet curl , um den Verbindungsversuch zur nicht autorisierten Domain zu simulieren, der die erforderliche Netzwerktelemetrie erzeugen sollte, um die Regel auszulösen.

• Regressionstest-Skript:

  #!/bin/bash
  # Simulation einer unautorisierten AI-Relay-Verbindung
  echo "[*] Starten der AI-Relay-Domain-Simulation..."
  
  # Ziel-Domain aus der Erkennungsregel
  TARGET_DOMAIN="vibe.aiok.me"
  
  echo "[*] Verbindung zu $TARGET_DOMAIN wird versucht, um die Erkennung auszulösen..."
  # Wir verwenden curl, um eine Verbindung zu initiieren, die Netzwerktelemetrie erzeugt
  curl -v "http://$TARGET_DOMAIN/api/v1/relay" --connect-timeout 5
  
  echo "[*] Simulationsbefehl ausgeführt."

• Bereinigungsbefehle:

  # Keine dauerhaften Änderungen durch das Simulationsskript vorgenommen.
  echo "[*] Simulationsergebnisse werden bereinigt... Fertig."