Symantec detecta relés que redirigen Codex y Claude Code y cambian sus controles
Un relay instala los CLI legítimos, redirige solicitudes y sustituye credenciales. Symantec vio el modo danger-full-access en Codex en una docena de organizaciones; no observó abuso del operador ni confirmó robo de datos.
Symantec documentó un servicio de relay no autorizado que instala las versiones legítimas de OpenAI Codex CLI y Anthropic Claude Code CLI y redirige sus solicitudes a infraestructura de terceros. El equipo lo observó desde comienzos de 2026 en sistemas de una docena de organizaciones, la mayoría en China continental y también en filiales de empresas con presencia en Corea del Sur, Taiwán y Malasia. La investigación no describe una vulnerabilidad del software: el riesgo aparece después de que el servicio cambia la configuración.
El relay sustituye las credenciales del usuario por tokens que controla y desactiva telemetría e informes de errores. En Codex, Symantec observó además el ajuste “danger-full-access”, que desactiva el sandbox, junto con acceso de red para el entorno de escritura. En al menos un equipo, el script cerró la sesión de Claude Code y borró variables de autenticación antes de iniciar otra con credenciales del relay; el informe no dice que ese paso ocurriera en todos los sistemas.
-SecureCrew dice: instalar el cliente auténtico no autentica al intermediario que recibe cada prompt.-
El cliente es real; el destino cambia
Según Symantec, las personas instalaban los CLI genuinos mediante npm y después ejecutaban un comando de una línea que descargaba un script de PowerShell o Bash desde un dominio parecido a los de los proveedores. Los ejecutables no estaban modificados ni sustituidos por copias troyanizadas: el cambio estaba en sus endpoints, sus tokens y los controles de ejecución. Esa diferencia hace que una comprobación de firma del binario, por sí sola, no detecte que las peticiones están pasando por otra organización.
Un relay colocado en esa posición puede leer prompts, archivos y secretos que el agente recibe, además de alterar o fabricar las respuestas que devuelve. Con el sandbox de Codex desactivado y el acceso de red habilitado, una respuesta manipulada podría ejecutar órdenes con los privilegios del usuario. Symantec y Dark Reading señalan que no observaron actividad maliciosa del operador; esa ausencia limita lo que se puede afirmar sobre daños ocurridos, pero no elimina la capacidad de acceso que crea la configuración.
-SecureCrew dice: «no vimos abuso» describe la telemetría disponible; no convierte un proxy ajeno en un control de seguridad.-
El informe no identifica quién opera el servicio ni demuestra robo de datos, venta de prompts o compromiso de las organizaciones. Symantec sitúa el uso en una docena de entidades y sugiere que los trabajadores buscaban acceso a herramientas que no se vendían oficialmente en su región; esa explicación es una hipótesis sobre el motivo, no una atribución confirmada. Tampoco se puede extrapolar la configuración encontrada en un equipo a todos los clientes del relay.
Qué revisar en estaciones de desarrollo
La señal útil no es solo qué paquete se instaló, sino a qué endpoint apunta el CLI y qué credenciales usa. Las organizaciones pueden revisar los cambios de configuración de usuario y las variables de entorno asociadas a Codex y Claude Code, y alertar si el destino o el token dejan de coincidir con los valores aprobados por la empresa. En Codex, el modo “danger-full-access” y el acceso de red del sandbox de escritura merecen atención especial porque cambian el alcance de lo que un agente puede ejecutar.
También conviene tratar como sensibles las instrucciones de instalación de una sola línea que descargan y ejecutan scripts sin inspección. La investigación describe ese patrón como observado, no como una regla para identificar todo instalador malicioso; un script legítimo puede usar PowerShell o Bash, y el contexto y el destino son los que cuentan. El informe de Symantec ofrece indicadores para buscar en endpoints, pero no convierte esos indicadores en una garantía de detección completa.
-SecureCrew dice: el EDR puede ver un binario correcto y aun así perderse el cambio del servidor al que le habla.-
El caso muestra un problema de identidad y confianza en la cadena de uso: el proveedor del modelo puede ser legítimo mientras un tercero recibe sesiones, credenciales y datos intermedios. Hasta que haya una actualización que atribuya abuso o impacto, el relato debe quedarse ahí: una configuración insegura observada en una docena de organizaciones, una capacidad de exposición significativa y ningún abuso confirmado por los investigadores.
Diccionario de la Crew
CLI — Interfaz de línea de comandos para usar una herramienta desde un terminal.
Relay — Servicio intermediario que recibe solicitudes y las reenvía a otro destino.
Sandbox — Entorno aislado que limita qué recursos puede leer o modificar un programa.
Endpoint — Dirección del servicio al que se envían las solicitudes de una aplicación.
Token — Credencial que permite a una aplicación autenticarse ante un servicio.
