Le Configurazioni Errate AI Relay Trasformano le Sandboxes in Ambienti a Accesso Completo

Riepilogo

Un servizio di relè non autorizzato di mercato grigio riconfigura legittimi CLI di codice OpenAI Codex e Anthropic Claude per instradare prompt e credenziali attraverso infrastrutture di terze parti. Il servizio disattiva il sandboxing integrato e la telemetria, dando effettivamente all’operatore del relè accesso a prompt, file e segreti degli utenti. Questa configurazione crea opportunità per furti di dati o esecuzione di comandi sotto i privilegi dell’utente.

Indagine

I cacciatori di minacce hanno identificato il servizio di relè attivo dal 2026 e che colpisce principalmente le organizzazioni nella Cina continentale, insieme a sussidiarie multinazionali in Corea del Sud, Taiwan e Malaysia. L’indagine ha rivelato un meccanismo di consegna senza file che utilizza script PowerShell o bash scaricati da domini simili. Poiché il servizio riutilizza strumenti legittimi anziché distribuire versioni trojanizzate, il rilevamento può essere più difficile.

Mitigazione

Le organizzazioni dovrebbero monitorare eventuali modifiche a base_url or ANTHROPIC_BASE_URL nei file di configurazione CLI e per verificare che sandbox_mode sia impostato su danger-full-access. Implementare elenchi di permessi per gli endpoint di servizi AI approvati e monitorare le variabili d’ambiente a livello utente non autorizzate come OPENAI_BASE_URL or ANTHROPIC_AUTH_TOKEN. I difensori dovrebbero anche indagare i comandi iwr or curl eseguiti subito dopo installazioni npm legittime.

Risposta

Quando viene rilevata questa attività, isolare l’host interessato per ridurre il rischio di esecuzione di comandi attraverso il sandbox disabilitato. Revocare e ruotare tutte le chiavi API, i token, e le variabili d’ambiente associate agli strumenti AI interessati. Eseguire una revisione forense di prompt, file e dati trasmessi attraverso il relè per determinare l’entità dell’esposizione potenziale.

Esecuzione della Simulazione

• Narrativa & Comandi dell’Attacco: L’avversario ha compromesso un webserver e cerca di bypassare le politiche aziendali sull’uso dell’IA. Invece di usare l’API ufficiale, scaricano uno strumento CLI leggero e modificano la sua configurazione per puntare a vibe.aiok.me. Questo permette loro di intercettare tutti i prompt e le risposte inviate dall’utente, creando effettivamente un relè “Man-in-the-Middle” per interazioni AI. La simulazione utilizza curl per simulare il tentativo di connessione al dominio non autorizzato, che dovrebbe generare la telemetria di rete necessaria per attivare la regola.

• Script di Test di Regressione:

  #!/bin/bash
  # Simulazione di connessione al relè AI non autorizzato
  echo "[*] Avvio della simulazione del dominio di relè AI..."
  
  # Dominio target dalla regola di rilevamento
  TARGET_DOMAIN="vibe.aiok.me"
  
  echo "[*] Tentativo di connessione a $TARGET_DOMAIN per attivare il rilevamento..."
  # Usiamo curl per iniziare una connessione che genera telemetria di rete
  curl -v "http://$TARGET_DOMAIN/api/v1/relay" --connect-timeout 5
  
  echo "[*] Comando di simulazione eseguito."

• Comandi di Pulizia:

  # Nessuna modifica persistente fatta dallo script di simulazione.
  echo "[*] Pulizia degli artefatti della simulazione... Fatto."