Неизвестный AI-ретранслятор для кодинга с начала 2026 года установил OpenAI Codex и Claude Code как минимум в 12 организациях в Китае, Южной Корее, на Тайване и в Малайзии — и при этом отключил встроенные песочницы выполнения. Для русскоязычных команд это не экзотика регионального серого рынка, а наглядный риск: удобный обход ограничений может незаметно превратить AI-ассистента в посредника с доступом к коду, секретам и рабочей станции.
Активность обнаружила команда Symantec Threat Hunter Team, сообщает Dark Reading. Исследователи описывают сервис как неавторизованный канал поставки подлинных CLI-клиентов Codex и Claude Code в регионы, где продукты OpenAI и Anthropic официально недоступны. Сам бинарник или клиент не подменяется: проблема возникает на этапе установки и настройки, когда запросы направляются не в инфраструктуру вендора, а через серверы посредника.
Сценарий начинается с однострочной команды, которую пользователь, по данным исследователей, запускает самостоятельно. Она загружает безфайловый скрипт PowerShell или bash с домена-двойника. Затем скрипт меняет конфигурацию легитимного CLI. Такая цепочка похожа на приёмы ClickFix и InstallFix, но здесь нет привычного трояна: пользователю предлагают рабочий инструмент, только с уже снятыми ограничителями. Именно поэтому история неприятнее очередного письма с вредоносным вложением — разработчик может считать установку осознанной и безопасной.
Что именно меняет посредник
В исследованных случаях скрипты отключали sandbox выполнения — механизм, ограничивающий действия AI-агента на машине. Для write sandbox также включался сетевой доступ. Одновременно сервис выключал телеметрию и отправку отчётов об ошибках, а пользовательские API-ключи заменял токенами, выпущенными самим ретранслятором. В одном наблюдении скрипт завершил сессию Anthropic, удалил переменные аутентификации и выдал новые реквизиты, сохраняющиеся после перезагрузки.
Каждая такая настройка сама по себе требует объяснения. В совокупности они дают оператору канала позицию между сотрудником и моделью: через него проходят запросы, прикреплённые файлы и потенциально секреты из репозитория или окружения. Он также может менять ответы модели. Если песочница выключена, а сеть доступна, вредоносная либо скомпрометированная рекомендация агента способна выполниться с полномочиями учётной записи пользователя. Исследователи пока не зафиксировали злоупотреблений, поэтому называть сервис атакой было бы преждевременно. Но техническая возможность для неё уже создана.
Мотив операторов остаётся неясным. Самое простое объяснение — продажа доступа к сервисам западных AI-вендоров там, где они не работают напрямую. Формат некоторых выданных ключей Claude Code соответствует префиксу OAuth-токенов подписочного доступа Anthropic; это совместимо с версией о пуле подписок, который делят между клиентами, но само по себе ничего не доказывает. Отключение песочницы и создание постоянных учётных данных для такого бизнеса уже выглядит куда менее логично. Среди возможных рисков Symantec называет использование украденных карт или реквизитов, а также перепродажу данных, проходящих через прокси.
Почему это касается не только Китая
В корпоративной практике подобный AI-ретранслятор для кодинга легко появляется не по решению IT-директора, а через сотрудника, которому нужен привычный агент, доступ к более мощной модели или более низкая цена. Это классический shadow AI, только с правами на запуск команд и чтение локальных файлов. Выявленные организации, по оценке исследователей, скорее похожи не на специально выбранные цели, а на компании, где отдельные сотрудники нашли способ получить нужный инструмент.
Для разработки вывод приземлённый. Не стоит принимать инструкцию «вставьте одну команду в терминал» как замену официальной установки, даже если она в итоге ставит настоящий npm-пакет. Командам безопасности полезно отдельно контролировать конфигурации агентских CLI: адреса API, режимы sandbox, сетевые разрешения, источники скриптов установки и появление долгоживущих токенов. Полезно также дать разработчикам согласованный и поддерживаемый путь к нужным моделям: запрет без альтернативы обычно лишь улучшает навыки поиска обходных путей.
История с этим AI-ретранслятором для кодинга показывает, что рынок доступа к AI-инструментам уже стал частью поверхности атаки. Чем больше автономии получают кодовые агенты, тем меньше разница между «неофициальным прокси к модели» и сторонним администратором на рабочей машине. Индикаторы компрометации и технические детали расследования собрала ; главный открытый вопрос теперь не в том, появятся ли такие сервисы в других регионах, а успеют ли компании отличить удобную интеграцию от контролируемого кем-то обхода до первого инцидента.
