Em 29 de outubro de 2026, a equipe de caça a ameaças da Symantec divulgou um relatório sobre um relay malicioso Claude Code e Codex que opera em silêncio dentro de redes corporativas. A descoberta levanta um alerta para qualquer empresa que usa ferramentas de programação com IA: o perigo não está nos produtos em si, mas em quem controla o canal entre o desenvolvedor e o servidor de IA.

A pesquisa, reportada pelo NeoTeo, identificou atividade suspeita em cerca de uma dúzia de organizações desde pelo menos o início de 2026. A maioria dos casos está na China continental, com registros também na Coreia do Sul, em Taiwan e na Malásia. A infraestrutura do atacante rotaciona entre pelo menos 8 domínios que imitam serviços de chat com IA.

Como o relay malicioso Claude Code e Codex funciona na prática

O ataque começa com um script fileless, executado via PowerShell (Windows) ou bash (Linux/Mac), geralmente minutos a meia hora após uma instalação legítima do CLI via npm install. Em alguns casos, o script roda no lugar da instalação oficial.

O relay não toca os binários do Claude Code nem do Codex. Ele altera as configurações locais para redirecionar o tráfego:

  • Codex (OpenAI): o arquivo ~/.codex/config.toml recebe sandbox_mode = "danger-full-access", que desativa o ambiente de execução isolado, habilita acesso à rede e desliga telemetria e relatórios de erro.
  • Claude Code (Anthropic): as mudanças afetam ~/.claude/settings.json e a variável ANTHROPIC_BASE_URL, redirecionando requisições para o servidor do atacante.

Em pelo menos uma máquina monitorada, o script foi além: encerrou a sessão da Anthropic ativa, removeu ANTHROPIC_AUTH_TOKEN e ANTHROPIC_API_KEY do ambiente e fez login com credenciais controladas pelo relay. Essas credenciais persistem após reinicialização e ficam expostas a outros processos do sistema.

Na época em que a fraude com instalador falso do Claude Code foi registrada, o vetor era um pacote npm falsificado. Aqui o mecanismo é diferente: os pacotes são legítimos, e o relay age depois, por script separado.

Por que isso importa para o seu negócio

Qualquer empresa que usa o Claude Code ou o Codex internamente está exposta se um desenvolvedor executar um script não verificado. Com o relay malicioso Claude Code e Codex ativo, um terceiro pode:

  • Ler os prompts enviados e os arquivos compartilhados nas sessões de desenvolvimento
  • Alterar as respostas recebidas, inserindo código malicioso nas sugestões da IA
  • Agir com os privilégios de conta do desenvolvedor, pois o sandbox está desativado

Os setores afetados até agora incluem automação industrial, eletrônicos e semicondutores, farmacêutica, transporte marítimo, fabricação de pneus, petroquímica e data centers. Qualquer segmento que use essas ferramentas para codificação de software ou automação de processos está na lista de risco.

O Android Studio passou a aceitar Claude e Codex como ferramentas internas em outubro de 2026, o que amplia a superfície de ataque em ambientes de desenvolvimento corporativo.

O que fazer para proteger a sua equipe

A Symantec listou indicadores que equipes de TI e segurança devem monitorar:

  • Mudanças inesperadas em base_url no ~/.codex/config.toml ou em ANTHROPIC_BASE_URL no ~/.claude/settings.json
  • Presença de sandbox_mode = "danger-full-access" no Codex
  • Variáveis de ambiente de escopo de usuário como OPENAI_BASE_URL, CODEX_API_KEY e ANTHROPIC_AUTH_TOKEN criadas sem autorização
  • Comandos iwr | iex ou curl | bash próximos a instalações de CLI de IA
  • Tráfego das ferramentas de IA para destinos não aprovados pela organização

Até a data do relatório da Symantec, nenhuma exploração ativa ou roubo de dados havia sido confirmado. O risco está nas configurações alteradas: uma vez instalado, o relay malicioso Claude Code e Codex está posicionado para agir a qualquer momento sem deixar rastros visíveis ao desenvolvedor.

Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.

Fontes: