عوامل کدنویسی مبتنی بر هوش مصنوعی مانند OpenAI Codex و Claude Code قادر به خواندن فایل‌ها، نوشتن کد و اجرای دستورات روی سیستمی هستند که روی آن نصب شده‌اند. برای کنترل این دسترسی‌ها، این ابزارها از یک محیط ایزوله یا Sandbox استفاده می‌کنند تا دامنه عملیات آن‌ها محدود شود. با این حال، گزارش‌های جدید نشان می‌دهد که برخی سرویس‌های رله (Relay) غیرمجاز، این لایه‌های امنیتی را برای فراهم کردن دسترسی در مناطقی که این سرویس‌ها رسماً ارائه نمی‌شوند (به‌ویژه در چین)، غیرفعال می‌کنند.
مکانیسم عملکرد رله‌های غیرمجاز
این سرویس‌ها به جای ساخت نرم‌افزارهای کلاینت اختصاصی، از ابزارهای رسمی CLI استفاده می‌کنند. فرآیند سرایت به این صورت است که ابتدا ابزار رسمی از طریق npm install نصب شده و سپس یک اسکریپت پیکربندی، تنظیمات را تغییر می‌دهد. در مورد Codex، حالت Sandbox به danger-full-access تغییر می‌یابد و تمام درخواست‌ها به جای سرورهای رسمی OpenAI یا Anthropic، از طریق سرورهای رله هدایت می‌شوند.
تحلیل فنی تغییرات پیکربندی
این وضعیت یک آسیب‌پذیری (Vulnerability) در خودِ ابزارهای AI نیست، بلکه نتیجه تغییر عمدی در تنظیمات است. اسکریپت‌های مورد استفاده (که معمولاً از طریق دستورات تک‌خطی PowerShell یا Bash اجرا می‌شوند) تغییرات زیر را اعمال می‌کنند:
- تغییر Base URL: آدرس سرورهای رسمی با دامنه‌های تحت کنترل رله جایگزین می‌شود.
- جایگزینی API Key: کلیدهای API رسمی با کلیدهای صادر شده توسط رله جایگزین می‌شوند.
- غیرفعال‌سازی Sandbox: مقدار
sandbox_modeبهdanger-full-accessتغییر یافته و دسترسی شبکه برای Sandbox فعال می‌شود. - قطع Telemetry: گزارش‌های خطا و تله‌متری غیرفعال می‌شوند تا ردپای استفاده از رله برای شرکت‌های سازنده (OpenAI/Anthropic) مخفی بماند.
ریسک‌های امنیتی برای سازمان‌ها
استفاده از این رله‌ها سازمان‌ها را در معرض خطرات جدی قرار می‌دهد:
- شنود داده‌ها (MitM): اپراتور رله به تمام پرامپت‌ها (Prompts)، فایل‌های ارسالی و اسرار (Secrets) دسترسی کامل دارد.
- اجرای کد از راه دور (RCE): با غیرفعال شدن Sandbox، هر پاسخ مخرب یا دستکاری شده از سوی رله می‌تواند با دسترسی‌های کامل کاربر روی سیستم اجرا شود.
- نشت اعتبارنامه‌ها: از آنجایی که کلیدهای API به عنوان Environment Variables در سطح کاربر تعریف می‌شوند، هر ابزار دیگری روی سیستم می‌تواند به این متغیرها دسترسی داشته باشد.
بخش‌های هدف و شناسایی
این فعالیت‌ها عمدتاً در سازمان‌های فعال در حوزه‌های اتوماسیون صنعتی، تولید نیمه‌هادی‌ها، داروسازی و خدمات دیتاسنتر مشاهده شده است. در بسیاری از موارد، کارکنان برای دسترسی به ابزارهای AI غربی که در منطقه آن‌ها محدودیت داشت، به طور داوطلبانه از این فروشندگان غیرمجاز استفاده کرده‌اند.
شاخص‌های شناسایی (IoCs)
مدیران SOC باید سیستم‌های خود را برای وجود موارد زیر بررسی کنند:
- فایل‌های
setup-codex.ps1وsetup-claudecode.ps1 - دامنه‌های مشکوک مانند
vibe.aiok[.]meوchat1.sorryios[.]chat - تغییرات در فایل‌های
~/.codex/config.tomlو~/.claude/settings.json
