El relé de IA con Codex y Claude Code instala programas auténticos, pero deja el entorno aislado apagado. Esa es la alerta que dejó el equipo Threat Hunter de Symantec en su informe del jueves: un servicio intermediario, activo desde principios de 2026, coloca las herramientas de programación de OpenAI y Anthropic en empresas de regiones donde no se venden de forma oficial, y a cambio se queda con el control del camino que recorren cada consulta, cada archivo y cada credencial.
Dark Reading publicó los detalles el 29 de octubre. El relé de IA con Codex y Claude Code apareció en sistemas de una docena de organizaciones, la mayoría en China continental, con casos también en Corea del Sur, Taiwán y Malasia. No hay programa falso en la historia. Las interfaces de línea de comandos, conocidas como CLI, son las verdaderas, descargadas por npm, el gestor de paquetes de los programadores.
Un instalador breve y un dominio que imita
Todo arranca con una orden de una sola línea. La persona usuaria la ejecuta y esa orden trae una secuencia de comandos de PowerShell o de bash desde un dominio parecido al oficial. Symantec describió esa pieza como una secuencia de secuestro de agente de IA, sin archivos permanentes en esa primera fase, un patrón que recuerda a las trampas de instalación contra programadores.
El matiz importa. El equipo de Symantec aclaró que los clientes de Codex y Claude Code no llegan modificados ni con un troyano escondido. La alteración ocurre en la configuración: las peticiones dejan de viajar a las redes de OpenAI o de Anthropic y pasan por la infraestructura del intermediario. Desde ese momento, el operador del relé queda sentado en el medio de la conversación entre el empleado y el modelo.
Brigid O Gorman, analista sénior de inteligencia del equipo Threat Hunter, contó a Dark Reading que el rastro inicial fue un descargador sospechoso de PowerShell. Al seguir esa pista aparecieron redes parecidas en otras empresas, y todas llevaban al mismo servicio no autorizado. El patrón encaja con un mercado gris de reventa, aunque la configuración va bastante más lejos.
Credenciales propias y entorno aislado apagado
El relé apaga el entorno aislado de ejecución, la barrera que limita lo que una herramienta de código puede tocar en la computadora. También activa el acceso a red para ese entorno, apaga la telemetría y los informes de error, y reemplaza las credenciales de la persona usuaria por fichas emitidas por el propio servicio. En un caso observado, la secuencia cerró la sesión de Anthropic de la persona, borró sus variables de autenticación y dejó credenciales nuevas controladas por el intermediario, persistentes tras reiniciar el equipo.
Otro detalle llamó la atención del equipo investigador. Las llaves para Claude Code llevan el prefijo que Anthropic reserva para las fichas OAuth, el mecanismo de autorización vinculado a suscripciones. Symantec anotó que ese formato coincide con suscripciones de tarifa plana agrupadas y repartidas entre muchos clientes, aunque el dato, por sí solo, no lo prueba.
Ese riesgo se suma al ya descrito con los archivos de instrucciones que los agentes de código leen al abrir una carpeta, porque en ambos casos el problema no es el modelo en sí, sino todo lo que el agente puede ejecutar a su alrededor. Con el entorno aislado apagado y la red abierta, una respuesta alterada o comprometida podría ejecutarse con los privilegios completos de la cuenta de la persona usuaria, advirtió O Gorman en declaraciones recogidas por Dark Reading.
Qué puede ver un intermediario en esa posición
La posición del relé le da visibilidad total. O Gorman lo dijo sin rodeos: un intermediario así puede ver cada instrucción, cada archivo y cada secreto que un empleado envía al agente, y puede alterar o inventar cada respuesta que devuelve. Para una empresa, eso incluye código propio sin publicar, llaves de acceso pegadas por error en una consulta y documentos internos que el programador adjunta para pedir ayuda.
Con todo, Symantec no observó actividad maliciosa ejecutada con ese acceso ni programas dañinos en los equipos revisados. El informe incluye indicadores de compromiso, las señales técnicas para buscar el servicio en una red, aunque todavía no hay compromisos confirmados. Las organizaciones afectadas, añade el informe, parecen menos blancos escogidos y más lugares donde empleados buscaron por su cuenta una vía para usar herramientas que querían.
La explicación más simple es el bloqueo regional: hay países donde OpenAI y Anthropic no venden directo, y alguien montó un puente. Pero ese puente no necesitaba apagar el entorno aislado ni dejar credenciales persistentes que sobreviven a un reinicio, anotó el informe de Symantec citado por Dark Reading. Esa diferencia entre lo necesario para revender acceso y lo que la configuración realmente hace es la parte que el equipo investigador no logra explicar todavía.
Para los equipos de seguridad en América Latina el caso toca una práctica cercana: la IA en la sombra, empleados que adoptan servicios no aprobados porque la herramienta oficial no llega o tarda en autorizarse. La revisión práctica pasa por inventario de agentes instalados, origen de cada instalador, dominio al que apuntan las peticiones y estado del entorno aislado en cada máquina. Symantec dejó los indicadores publicados el 29 de octubre, con el servicio activo desde principios de 2026.
Fuente: Dark Reading
Foto: Aree Sarak / Getty Images vía Dark Reading
