Помилки конфігурації AI Relay перетворюють пісочниці на середовища з повним доступом

Резюме

Незареєстрована служба ретрансляції на сірому ринку переналаштовує законні інтерфейси командного рядка OpenAI Codex та Anthropic Claude Code для маршрутизації запитів і облікових даних через інфраструктуру третьої сторони. Служба відключає вбудовану ізоляцію та телеметрію, фактично надаючи оператору ретрансляції доступ до запитів користувача, файлів і секретів. Це налаштування створює можливості для викрадення даних або виконання команд з привілеями користувача.

Розслідування

Мисливці за загрозами виявили службу ретрансляції, яка діє з початку 2026 року і в першу чергу впливає на організації у материковому Китаї, а також на багатонаціональні дочірні компанії в Південній Кореї, Тайвані та Малайзії. Розслідування виявило безфайловий механізм доставки, який використовує PowerShell або bash скрипти, завантажені з доменів-двійників. Оскільки служба переоснащує законні інструменти замість розповсюдження троянських версій, виявлення може бути складнішим.

Пом’якшення

Організації повинні контролювати зміни в base_url or ANTHROPIC_BASE_URL у файлах конфігурації CLI і для sandbox_mode яке встановлюється на danger-full-access. Реалізуйте списки дозволених кінцевих точок сервісів ШІ та контролюйте несанкціоновані змінні середовища на рівні користувача, такі як OPENAI_BASE_URL or ANTHROPIC_AUTH_TOKEN. Захисники також повинні розслідувати однолінійні iwr or curl команди, виконані незабаром після законних установлень npm.

Відповідь

Коли ці дії виявлено, ізолюйте уражений хост, щоб зменшити ризик виконання команд через вимкнену пісочницю. Анулюйте та змініть усі API ключі, токени та змінні середовища, пов’язані із ураженими інструментами ШІ. Проведіть судово-експертну перевірку запитів, файлів і даних, переданих через ретрансляцію, щоб визначити ступінь можливої ​​експозиції.

Виконання симуляції

• Наратив та команди атаки: Супротивник зламав вебсервер і намагається обійти корпоративні політики використання ШІ. Замість використання офіційного API, вони завантажують легкий інструмент CLI і змінюють його конфігурацію, щоб вказувати на vibe.aiok.me. Це дозволяє їм перехоплювати всі запити та відповіді, надіслані користувачем, фактично створюючи ретрансляцію ‘людина-в-середині’ для взаємодії з ШІ. Симуляція використовує curl для імітації спроби підключення до несанкціонованого домену, що має генерувати телеметрію мережі, необхідну для спрацьовування правила.

• Скрипт регресійного тестування:

  #!/bin/bash
  # Імітація з'єднання з несанкціонованою ретрансляцією ШІ
  echo "[*] Початок симуляції домену ретрансляції ШІ..."
  
  # Цільовий домен з правила виявлення
  TARGET_DOMAIN="vibe.aiok.me"
  
  echo "[*] Спроба підключення до $TARGET_DOMAIN для спрацювання виявлення..."
  # Ми використовуємо curl для ініціювання підключення, що створює телеметрію мережі
  curl -v "http://$TARGET_DOMAIN/api/v1/relay" --connect-timeout 5
  
  echo "[*] Команду симуляції виконано."

• Команди очищення:

  # Постійних змін скрипт симуляції не робить.
  echo "[*] Очистка артефактів симуляції... Виконано."