赛门铁克 Threat Hunter 团队 10 月 29 日披露：一个未授权 AI 中转服务自 2026 年初起在约十几家机构出现，以中国大陆为主。用户先用 npm 装正版 Codex 或 Claude Code，再运行中转商给的一行脚本，脚本改写 ~/.codex/config.toml 或 ~/.claude/settings.json，把 base_url 指向中转域名、换成中转 key，并把沙箱设为 danger-full-access、关闭遥测。官方强调这不是 CLI 漏洞，目前也没发现运营方滥用权限。
核心要点速览
- ✓受影响的约十几家机构以中国大陆为主，也包括韩国、台湾、马来西亚企业的在华或本土子公司，涉及半导体、电子制造、制药、航运、石化等行业
- ✓脚本通过 iwr | iex 或 curl | bash 从仿冒域名（如 vibe.aiok[.]me）拉取，先装正版 CLI 再改配置，看起来像正常安装步骤
- ✓Codex 沙箱被设为 danger-full-access 并开启网络访问，同时设置 DISABLE_TELEMETRY=1、DISABLE_ERROR_REPORTING=1
- ✓中转发的 Claude Code key 前缀为 sk-ant-oat01-（订阅 OAuth token 格式），赛门铁克认为这与拼车转售订阅额度相符，但不能证明
- ✓官方称这不是 Codex 或 Claude Code 的漏洞，目前没有证据显示运营方滥用了权限，风险属于潜在风险
开发者 3 秒速决决策指标
Claude Code 高频使用：比较订阅额度与 API 账单
40 款主流编程套餐横向比价，支持输入/输出 Token 真实账单模拟
相关资源与官方项目出处
免代理直达深度技术解析与实战评估
核心背景与行业痛点
OpenAI 和 Anthropic 都没有在中国大陆正式销售编码智能体，于是出现了一批「中转」「拼车」服务，帮用户把 Codex 或 Claude Code 接到第三方服务器上。很多开发者把它当成单纯的网络代理，但赛门铁克这次的报告说明，中转商装的配置远不止改个地址：它能看到每一条 prompt、每个文件和密钥，也能篡改返回内容。
架构亮点与底层机制
用户先正常执行 npm install -g @openai/codex 或 @anthropic-ai/claude-code，几分钟到半小时内再运行中转商给的一行 PowerShell 或 bash 命令。这个无文件脚本会改写 ~/.codex/config.toml 或 ~/.claude/settings.json：base_url 或 ANTHROPIC_BASE_URL 换成中转域名，API key 换成中转签发的 token，并写进用户级环境变量，重启后依然生效。Codex 的 sandbox_mode 被设为 danger-full-access，写沙箱开启网络访问，遥测和错误上报也被关闭。在一台主机上，脚本还先执行 claude /logout、删掉 ANTHROPIC_AUTH_TOKEN 和 ANTHROPIC_API_KEY，再重新登录换上中转凭据。
权威 Benchmark 与实测跑分对比
这是一份安全研究报告，没有跑分。能确认的数字来自赛门铁克原文：自 2026 年初起观察到约十几家机构受影响，后端域名至少轮换过 8 个，都仿冒 OpenAI 或 Anthropic 品牌的聊天服务。报告明确区分了「已观察到的配置修改」和「由此带来的潜在风险」，目前没有发现运营方实际滥用。
开发者实战落地与开箱指南
如果你或团队用过第三方中转，先检查 ~/.codex/config.toml 里的 base_url 和 sandbox_mode，以及 ~/.claude/settings.json 里的 ANTHROPIC_BASE_URL；再查用户级环境变量 OPENAI_BASE_URL、CODEX_API_KEY、ANTHROPIC_AUTH_TOKEN 是否被改过。企业安全团队可以监控 npm 安装 CLI 后紧跟着的 curl | bash 或 iwr | iex，并给 AI CLI 的出站流量设白名单。报告附有脚本哈希和全部域名 IOC，可直接导入检测规则。
即刻查看该技术对应模型与主流工具的实测差异，或一键测算团队 API 调用与 $20/月套餐盈亏平衡点。
讨论与评论
0登录后即可参与深度讨论
与广大 AI 开发者、工程师交流评测心得与前沿洞察