Es sieht aus wie ein praktisches Open-Source-Tool — und ist eine Falle: Das npm-Paket codexui-android, beworben als Remote-Web-UI für OpenAI Codex, stiehlt laut der Sicherheitsfirma Aikido Security seit rund einem Monat die Authentifizierungs-Tokens seiner Nutzer. Pikant: Das Paket bringt es auf über 29.000 Downloads pro Woche — und war zum Zeitpunkt der Analyse weiter verfügbar.
PERFIDE: Erst Vertrauen aufbauen, dann zuschlagen
Das ist kein plumpes Tippfehler-Paket. codexui-android ist ein funktionierendes, aktiv entwickeltes Tool — der zugehörige GitHub-Code ist sauber. Der Schadcode steckt nur im npm-Build und kam erst etwa einen Monat nach Veröffentlichung dazu, als sich das Paket bereits Vertrauen erarbeitet hatte. Seit Version 0.1.82 liest es bei jedem Aufruf die Datei ~/.codex/auth.json aus — dort cached Codex Access-Token, Refresh-Token, ID-Token und Account-ID im Klartext — und schickt alles an sentry.anyclaw.store, einen Server, der sich als legitimes Sentry-Monitoring tarnt.
GEFAHR: Der Refresh-Token läuft NIE ab
Warum das so brisant ist, bringt Aikido-Forscher Charlie Eriksen auf den Punkt: Der Refresh-Token verfällt nicht. Wer ihn besitzt, kann dauerhaft und unbemerkt im Namen des Opfers agieren — mit allem, was der Account darf. Das ist kein gekaperter Chat, das ist ein Generalschlüssel zum Codex-Konto samt API-Zugriff.
DOPPELTER VERTRIEB: Auch Android-Apps verseucht
Die npm-Schiene ist nur ein Kanal. Aikido fand zusätzlich die Android-App „OpenClaw Codex Claude AI Agent“ (über 50.000 Downloads) und eine zweite App namens „Codex“ (über 10.000 Downloads) des Anbieters BrutalStrike. Die Apps starten das npm-Paket in einer PRoot-Sandbox — und weil die Version nicht gepinnt ist, ziehen sie automatisch die jeweils aktuelle, verseuchte Fassung. Meldet sich der Nutzer in der App bei Codex an, wandern die Zugangsdaten an denselben Angreifer-Server.
SO PRÜFST DU DICH JETZT
Erstens: npm ls codexui-android ausführen beziehungsweise die genannten Android-Apps deinstallieren. Zweitens: In den OpenAI-Account-Einstellungen alle Sitzungen abmelden und API-Keys rotieren — der alte Refresh-Token muss serverseitig entwertet werden. Drittens: API-Abrechnungen auf ungewöhnliche Nutzung prüfen. Und grundsätzlich gilt: ~/.codex/auth.json ist ein Passwort-Äquivalent — OpenAI selbst warnt davor, die Datei zu teilen oder zu committen.
FAZIT: KI-Tooling ist das neue Lieblingsziel
Nach Würmern in npm-Registries und vergifteten VS-Code-Erweiterungen zeigt dieser Fall: Angreifer zielen gezielt auf KI-Entwickler-Workflows — da liegen wertvolle, langlebige Tokens. Prüfe Drittanbieter-UIs für Codex, Claude und Co. doppelt, bevor du ihnen deine Zugänge anvertraust.
Häufige Fragen
Bin ich betroffen, wenn ich codexui-android genutzt habe?
Was genau wurde gestohlen?
Wie konnte das Paket so lange unentdeckt bleiben?
Wie schütze ich meine KI-Tokens generell?
Quellen: The Hacker News, Aikido Security