Les mauvaises configurations de relais IA transforment les bacs à sable en environnements à accès complet

Résumé

Un service de relais non autorisé du marché gris reconfigure de manière illégitime les CLI de Code d’OpenAI Codex et Anthropic Claude pour acheminer les invites et les identifiants via une infrastructure tierce. Le service désactive le sandboxing et la télémétrie intégrés, donnant effectivement au opérateur de relais l’accès aux invites, fichiers et secrets des utilisateurs. Cette configuration crée des opportunités de vol de données ou d’exécution de commandes sous les privilèges de l’utilisateur.

Enquête

Les chasseurs de menaces ont identifié que le service de relais opère depuis début 2026 et affecte principalement les organisations en Chine continentale, ainsi que les filiales multinationales en Corée du Sud, à Taiwan et en Malaisie. L’enquête a révélé un mécanisme de livraison sans fichier utilisant des scripts PowerShell ou bash téléchargés depuis des domaines d’apparence similaire. Parce que le service réutilise des outils légitimes au lieu de distribuer des versions trojanisées, la détection peut être plus difficile.

Atténuation

Les organisations doivent surveiller les changements apportés au base_url or ANTHROPIC_BASE_URL dans les fichiers de configuration CLI et pour sandbox_mode étant défini sur danger-full-access. Implémentez des listes d’autorisation pour les points de terminaison de service AI approuvés et surveillez les variables d’environnement au niveau utilisateur non autorisées telles que OPENAI_BASE_URL or ANTHROPIC_AUTH_TOKEN. Les défenseurs doivent également enquêter sur les commandes iwr or curl exécutées peu après les installations npm légitimes.

Réponse

Lorsque cette activité est détectée, isolez le système affecté pour réduire le risque d’exécution de commande via le sandbox désactivé. Révoquez et faites tourner toutes les clés API, jetons et variables d’environnement associés aux outils AI affectés. Effectuez un examen médico-légal des invites, fichiers et données transmises via le relais pour déterminer l’étendue de l’exposition potentielle.

Exécution de Simulation

• Narration et Commandes d’Attaque : L’adversaire a compromis un serveur web et cherche à contourner les politiques d’utilisation d’AI de l’entreprise. Au lieu d’utiliser l’API officielle, ils téléchargent un outil CLI léger et modifient sa configuration pour pointer vers vibe.aiok.me. Cela leur permet d’intercepter toutes les invites et réponses envoyées par l’utilisateur, créant effectivement un relais « Man-in-the-Middle » pour les interactions AI. La simulation utilise curl pour simuler la tentative de connexion vers le domaine non autorisé, ce qui devrait générer la télémétrie réseau nécessaire pour déclencher la règle.

• Script de Test de Régression :

  #!/bin/bash
  # Simulation de connexion à un relais AI non autorisé
  echo "[*] Démarrage de la simulation de domaine de relais AI..."
  
  # Domaine cible de la règle de détection
  TARGET_DOMAIN="vibe.aiok.me"
  
  echo "[*] Tentative de connexion à $TARGET_DOMAIN pour déclencher la détection..."
  # Nous utilisons curl pour initier une connexion qui génère de la télémétrie réseau
  curl -v "http://$TARGET_DOMAIN/api/v1/relay" --connect-timeout 5
  
  echo "[*] Commande de simulation exécutée."

• Commandes de nettoyage :

  # Aucune modification persistante effectuée par le script de simulation.
  echo "[*] Nettoyage des artefacts de simulation... Terminé."