Symantec'in Threat Hunter ekibi, OpenAI Codex ve Anthropic Claude Code araçlarının orijinal sürümlerini kuran sonra yapılandırmasını değiştirip tüm istekleri kendi sunucularından geçiren yetkisiz bir 'AI relay' servisi tespit etti. Servis, kodlama ajanlarını koruyan yürütme sandbox'ını tamamen devre dışı bırakıyor; başta Çin olmak üzere bir düzine kuruluşta görüldü.
Symantec’in Threat Hunter ekibi, yapay zekâ kodlama araçlarına yönelik sıra dışı bir gri pazar servisi ortaya çıkardı: ‘AI relay’ adı verilen yetkisiz servis, OpenAI’nin Codex ve Anthropic’in Claude Code komut satırı araçlarının gerçek sürümlerini kurumsal sistemlere kuruyor — sonra yapılandırmalarını değiştirerek tüm istekleri OpenAI ve Anthropic ağları yerine kendi altyapısından geçiriyor. Symantec’in perşembe günü yayımladığı rapora göre servis 2026 başından bu yana aktif ve başta Çin anakarası olmak üzere Güney Kore, Tayvan ve Malezya’daki çok uluslu firmaların sistemlerinde bir düzine kuruluşta tespit edildi.
Yöntem sosyal mühendislikten çok ‘normal görünen bir adım’ üzerine kurulu: Kullanıcı, Codex veya Claude Code komut satırı aracını npm üzerinden resmî yoldan kurduktan kısa süre sonra, kendisinin çalıştırdığı görünen tek satırlık bir komutla benzer bir alan adından dosyasız (fileless) PowerShell veya bash betiği indiriliyor. Symantec’e göre indirme, saldırı değil araçla birlikte gelen doğal bir eşlik adımı gibi görünüyüyor. Betik, araçların yapılandırma dosyalarını yeniden yazıyor: Codex tarafında yürütme sandbox’ı ‘danger-full-access’ — tam tehlikeli erişim — moduna çevriliyor, yazma sandbox’ına ağ erişimi açılıyor, telemetri ve hata raporlama kapatılıyor ve kullanıcının gerçek API kimlik bilgileri relay’in kendi token’larıyla değiştiriliyor. Bir vakada betik, kullanıcıyı meşru Anthropic oturumundan çıkardı ve yeniden başlatmaya dayanıklı relay kontrollü kimlik bilgileri oluşturmadan önce kimlik doğrulama değişkenlerini sildi.
Etkilenen sektörler tabloyu netleştiriyor: Endüstriyel otomasyon, elektronik üretimi, yarı iletken, ilaç, denizcilik, lastik, petrokimya ve veri merkezi hizmetleri. Symantec, etkilenen kuruluşların ‘seçilmiş hedeflerden çok, çalışanların istedikleri araca erişmek için böyle bir servis bulup kullandığı iş yerleri’ gibi göründüğünü yazıyor — yani klasik ‘gölge yapay zekâ’ (shadow AI) davranışının kurumsal sonuçları.
Önemli nüans: Bu, Codex veya Claude Code’da bir güvenlik açığı değil — araçlar, yapılandırmaları değiştirildikten sonra tasarlandığı gibi davranıyor. Ve şimdilik istismar kanıtı da yok: Symantec, işleticinin bu erişim düzeyini kötüye kullandığına dair bulguya rastlamadığını, ancak kurulan yapılandırmanın ‘işletici niyeti değişirse’ her prompt’u, dosyayı ve gizli anahtarı okumaya ve kullanıcı yetkileriyle komut çalıştırmaya izin vereceğini belirtiyor. Servisin arka ucu gözlem döneminde en az sekiz alan adı arasında dönmüş — hepsi OpenAI veya Anthropic markalı sohbet servisi taklidi.
Uzmanlar, bölge kısıtlamalarını aşmak isteyen bir servis için sandbox kapatma ve kalıcı kimlik bilgisi oluşturmanın gereksiz olduğunu vurguluyor: Kısıt aşımının ‘en basit açıklama’ olduğunu ama bu düzeyde kontrolü gerektirmediğini belirten rapor, çalınmış kimlik bilgileri veya ödeme kartlarıyla olası bir dolandırıcılık, hatta relay altyapısından geçen prompt ve dosyaların kötücül şekilde yeniden satışı ihtimallerine dikkat çekiyor. Symantec yayında IoC göstergeleri de paylaştı.
Kurumlar için ders basit: Yapay zekâ kodlama ajanlarının gücü, tam da sandbox’ın sınırladığı şey. Onu kapatan ve tüm trafiği üçüncü taraf sunuculara yönlendiren hiçbir ‘kolay erişim’ servisi, tasarruf değil; her prompt’un, dosyanın ve gizli anahtarın yabancı bir aracıya açık olduğu bir yapı demek. Symantec’in önerisi de bu yönde: Kurumsal ağlarda AI araç trafiğinin, onaylı servis uç noktalarından oluşan bir izin listesinin dışına çıkmasının izlenmesi.