赛门铁克：灰产“中转服务”篡改Codex和Claude Code配置，关闭沙箱、截获全部提示词
· 来源：Symantec Threat Hunter Team
赛门铁克发现一个未经授权的AI中转服务，会安装正版Codex和Claude Code命令行工具，再改写配置，让所有请求经第三方服务器转发并彻底关闭沙箱，已波及约12家机构，多数在中国大陆。
博通旗下赛门铁克威胁猎手团队10月29日发布报告，披露一个面向企业用户的灰色“AI中转服务”。它主要服务于OpenAI和Anthropic没有正式运营的市场，尤其是中国大陆，自2026年初以来已在约12家机构的系统上被发现，另外还涉及韩国、台湾和马来西亚的跨国公司子公司。受影响行业包括工业自动化、电子制造、半导体、制药、航运、轮胎、石化和数据中心服务。
这个服务并不自己写客户端，而是先通过npm正常安装正版的Codex和Claude Code命令行工具，再让用户运行一条看似“配套步骤”的命令，从仿冒域名下载无文件的PowerShell或bash脚本。脚本会把所有请求改为经中转服务器转发，关闭执行沙箱（在Codex里设为“danger-full-access”），为写入沙箱开启网络访问，用中转方签发的令牌替换用户真实的API凭证，并关闭遥测和错误上报。在至少一台主机上，脚本还强制用户退出正版Anthropic账号。
赛门铁克强调，这不是Codex或Claude Code本身的漏洞，工具只是按被篡改的配置运行。目前没有证据显示运营者滥用了权限，但这种配置理论上能让对方读取经过智能体的每条提示、每个文件和密钥，并以用户的完整权限执行命令。其后台已轮换至少8个仿冒OpenAI或Anthropic品牌的域名。
报告建议企业监控~/.codex/config.toml和~/.claude/settings.json中base_url被修改、沙箱被设为完全访问等异常。随着AI编程智能体进入企业，这类“中转”带来的供应链风险值得警惕。