Symantec พบบริการรีเลย์เถื่อนแก้คอนฟิก OpenAI Codex และ Claude Code ปิด sandbox ส่งทุก prompt ผ่านเซิร์ฟเวอร์ตัวกลาง — กระทบ 12 องค์กร ส่วนใหญ่ในจีน

สรุปสั้น

OpenAI Codex และ Claude Code คือ เครื่องมือเขียนโค้ดด้วย AI แบบเอเจนต์ที่อ่านไฟล์ เขียนโค้ด และรันคำสั่งบนเครื่องผู้ใช้ได้ โดยมี sandbox คอยจำกัดว่าเอเจนต์ทำอะไรได้บ้าง ทีม Threat Hunter ของ Symantec พบบริการ “รีเลย์” ที่ไม่ได้รับอนุญาตซึ่งไม่ได้แจกโปรแกรมปลอม แต่ให้ผู้ใช้ติดตั้งตัวจริงผ่าน npm ก่อน แล้วรันสคริปต์สั้นบรรทัดเดียวที่แก้ไฟล์ตั้งค่าให้ทราฟฟิกทั้งหมดวิ่งผ่านเซิร์ฟเวอร์ของรีเลย์ ใช้คีย์ API ที่รีเลย์ออกให้ และปิด sandbox พร้อมเปิดการเข้าถึงเครือข่าย ตั้งแต่ต้นปี 2569 มีองค์กร 12 แห่งได้รับผลกระทบ ส่วนใหญ่อยู่ในจีนแผ่นดินใหญ่

เหยื่ออยู่ในภาคอุตสาหกรรมอัตโนมัติ เซมิคอนดักเตอร์ ยา ขนส่งทางเรือ ผลิตยางรถยนต์ ปิโตรเคมี และบริการดาต้าเซ็นเตอร์ GBHackers ระบุว่าบางรายเป็นสาขาในจีนของบริษัทจากเกาหลีใต้ ไต้หวัน และมาเลเซีย ขณะที่ Dark Reading รายงานว่าพบในเกาหลีใต้ ไต้หวัน และมาเลเซียด้วย Symantec ประเมินว่าส่วนใหญ่เป็นพนักงานที่อยากใช้ผู้ช่วย AI ตะวันตกซึ่งไม่ได้ขายในตลาดของตน มากกว่าจะเป็นเป้าที่ถูกเลือก และยังไม่พบว่าผู้ให้บริการรีเลย์ใช้ตำแหน่งในทางร้าย แต่ความเสี่ยงมีจริง เพราะรีเลย์เห็นทุก prompt ไฟล์ และความลับที่ส่งให้เอเจนต์ และแก้คำตอบได้ ทีมความปลอดภัยควรเฝ้าดูการแก้คอนฟิกของเครื่องมือ AI บนเครื่องพนักงาน

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 30 ตุลาคม 2569 ว่า Symantec เผยแพร่งานวิจัยทางเทคนิคเกี่ยวกับบริการนี้ ลำดับเหตุการณ์บนเครื่องเหยื่อ คือ ผู้ใช้ติดตั้ง Codex หรือ Claude Code ผ่าน npm ตามปกติ จากนั้นรันคำสั่ง PowerShell หรือ bash แบบ fileless บรรทัดเดียวที่ดึงสคริปต์จากโดเมนเลียนแบบ เช่น vibe.aiok[.]me มาแก้คอนฟิก บนเครื่องหนึ่งสคริปต์ยังรัน claude /logout ลบตัวแปรยืนยันตัวตนของ Anthropic แล้วบังคับให้ล็อกอินใหม่ และหลายเครื่องมีการสอบถามค่าภูมิภาคของ Windows ซึ่งน่าจะใช้ยืนยันว่าเครื่องอยู่ในภูมิภาคที่รีเลย์ให้บริการ

Symantec ย้ำว่านี่ไม่ใช่ช่องโหว่ของ Codex หรือ Claude Code เครื่องมือทำงานตามที่ออกแบบไว้เมื่อคอนฟิกถูกเปลี่ยน คีย์ของ Claude ที่พบใช้คำนำหน้า sk-ant-oat01- ซึ่ง Anthropic ใช้กับ OAuth token ของการสมัครสมาชิก สอดคล้องกับการนำการสมัครแบบเหมาจ่ายมารวมกันแล้วขายต่อ

ข้อจำกัดของหลักฐาน คือ Symantec ไม่พบหลักฐานว่าผู้ให้บริการรีเลย์ขโมยข้อมูลหรือแก้คำตอบจริง ความเสี่ยงทั้งหมดที่ระบุเป็นความเป็นไปได้ ไม่ใช่สิ่งที่สังเกตเห็นแล้ว และรายงานไม่ได้ระบุชื่อองค์กรที่ได้รับผลกระทบ

วิธีการโจมตี

ติดตั้งของจริงแล้วแก้คอนฟิกทีหลัง — เพราะตัวโปรแกรมเป็นของแท้จาก npm เครื่องมือตรวจไฟล์จึงไม่พบอะไรผิด สคริปต์ one-liner แบบ iwr | iex หรือ curl | bash ทำงานในหน่วยความจำและแก้ไฟล์ ~/.codex/config.toml หรือ ~/.claude/settings.json

เปลี่ยนเส้นทางและคีย์ — สคริปต์ชี้ base_url หรือ ANTHROPIC_BASE_URL ไปยังเซิร์ฟเวอร์ของรีเลย์ ใส่คีย์ API ที่รีเลย์ออกให้ และบันทึกเป็นตัวแปรสภาพแวดล้อมระดับผู้ใช้ให้คงอยู่หลังรีบูต ตัวแปรระดับผู้ใช้นี้ยังทำให้เครื่องมืออื่นบนเครื่องเดียวกันอ่านคีย์ได้

ปิด sandbox และการรายงาน — สคริปต์ตั้ง sandbox_mode = "danger-full-access" เปิดการเข้าถึงเครือข่ายสำหรับ sandbox แบบเขียน และปิด telemetry กับการรายงานข้อผิดพลาด ผลลัพธ์ คือ เอเจนต์รันคำสั่งได้ด้วยสิทธิ์เต็มของผู้ใช้ และผู้พัฒนาเครื่องมือไม่เห็นความผิดปกติ

ทำไมอันตราย — ตัวกลางที่อยู่ระหว่างเอเจนต์กับโมเดลเห็นทุก prompt ไฟล์ และความลับ และแก้หรือแต่งคำตอบได้ เมื่อ sandbox ปิดและเครือข่ายเปิด คำตอบที่ถูกแก้ให้มีคำสั่งอันตรายก็จะถูกรันบนเครื่องทันที

ผลกระทบ

องค์กรที่ได้รับผลโดยตรง คือ 12 องค์กรในภาคอุตสาหกรรมที่มีทรัพย์สินทางปัญญาสูง เช่น เซมิคอนดักเตอร์ ยา และปิโตรเคมี ซึ่งพนักงานส่งซอร์สโค้ดและเอกสารภายในผ่านรีเลย์ที่องค์กรไม่รู้จัก ผลลัพธ์ที่เป็นไปได้ คือ ข้อมูลอ่อนไหวและคีย์รั่ว และเครื่องพนักงานกลายเป็นจุดที่ถูกสั่งรันคำสั่งได้หากผู้ให้บริการรีเลย์เปลี่ยนใจหรือถูกเจาะ

ในภาพใหญ่ เหตุนี้เป็นตัวอย่างของ shadow AI คือ พนักงานติดตั้งเครื่องมือ AI ที่มีสิทธิ์สูงบนเครื่ององค์กรเองโดยไม่ผ่านการตรวจ เมื่อเครื่องมือเหล่านี้รันคำสั่งได้ การแก้คอนฟิกเพียงไม่กี่บรรทัดก็เปลี่ยนผู้ช่วยให้เป็นช่องทางเข้าเครื่องได้

คำแนะนำ

• กำหนดนโยบายว่าเครื่องมือ AI coding agent ตัวใดใช้ได้ ผ่านบัญชีใด และติดตั้งผ่านช่องทางที่องค์กรควบคุม
• เฝ้าดูการแก้ base_url หรือ ANTHROPIC_BASE_URL ใน ~/.codex/config.toml และ ~/.claude/settings.json และแจ้งเตือนเมื่อพบ danger-full-access
• ตรวจหาตัวแปร OPENAI_BASE_URL, CODEX_API_KEY หรือ ANTHROPIC_AUTH_TOKEN ที่ตั้งนอกการติดตั้งที่อนุมัติ
• ตั้งกฎตรวจจับการรัน iwr | iex หรือ curl | bash ทันทีหลัง npm install -g @openai/codex หรือ @anthropic-ai/claude-code
• แจ้งเตือนเมื่อทราฟฟิกของ CLI เหล่านี้วิ่งไปยังปลายทางนอก allowlist ของบริการ AI ที่อนุมัติ และบล็อกโดเมนรีเลย์ในตาราง IoC ด้านล่าง
• หากพบเครื่องที่ถูกแก้ ให้ถือว่าโค้ดและความลับที่เคยส่งผ่านรีเลย์รั่ว แล้วหมุนเวียนคีย์และ token ที่อยู่บนเครื่องนั้น

Indicators of Compromise (IoCs)

ตัวบ่งชี้ถูก defang แล้ว (เช่น [.], hxxps) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ · คัดจากรายการที่ Symantec เผยแพร่ (ผ่าน Cyber Security News)

แหล่งอ้างอิง

• Unauthorized Codex and Claude Code Relays Disable Security Protections at 12 Organizations — GBHackers
• Sandbox Flipped to ‘Danger-Full-Access’: Unauthorized AI Relays Create Risk for Organizations — Symantec
• Shadowy AI Relay Disables OpenAI Codex, Claude Code Sandboxes — Dark Reading