Infostealer setzen jetzt auf Daten von KI-Agenten: Sammelregeln zielen nun auf Claude, Cursor und Codex ab

Am 8. September 2026 veröffentlichte Gen Digital eine Analyse der Sammelregeln von Infostealern und stellte fest, dass die Zielliste um eine neue Zeile erweitert wurde: die lokalen Daten von KI-Coding-Agenten. In einem Zeitraum von drei Monaten verzeichnete die Windows-Telemetrie des Unternehmens Amatera- und Remus-Detektionen bei Zehntausenden geschützten Windows-Nutzern – Stealer, deren Regeldateien nun in die Verzeichnisse von Cline, Continue, Anthropics Claude, Cursor und OpenCode hineinreichen. CallbackBeaver nahm Claude und Cursor in seinen Erfassungsbereich auf und wurde innerhalb von 30 Tagen in mehr als 5.000 Samples beobachtet. Entwendet werden nicht Präferenzen, sondern Zugänge und Kontext: Zugriffs- und Refresh-Tokens, Anmeldedaten in Konfigurationen des Model Context Protocol, Prompt-Verläufe, Konversationsdatenbanken und eine Übersicht der Projekte, an denen ein Entwickler gerade arbeitete. Es geht dabei um keine neue Schwachstelle – der Stealer läuft bereits, wenn die neue Regel eintrifft, und der Wert ist in vorhersehbare lokale Dateien gewandert. Dieser Bericht stützt sich auf den Bericht von Gen Digital, auf Oktas Analyse eines am selben Tag veröffentlichten Dumps gestohlener Logs sowie auf die Forschungsnotiz der Cloud Security Alliance, und das KI-Vorfallarchiv führt diesen Eintrag neben seinen Nachbarn auf, jeweils mit eigenen Quellen, Schweregrad und Vertrauensstufe.

Die Archivdatei führt den Vorfall als Research-Erkenntnis und nicht als Deployment-Ereignis: kind research, severity medium, confidence A, disputed false, real_harm false, region GLOBAL, getaggt mit CRED und EXFIL, mit einem tagesgenauen Datum vom 8. September 2026. Das ist der Tag, an dem Gen Digital veröffentlichte, nicht der Tag, an dem eine bestimmte Maschine infiziert wurde, und keiner der beiden Berichte nennt ein Infektionsdatum für die Regeln selbst. Das Feld real_harm sollte man langsam lesen. Weder der Eintrag noch seine Quellen beschreiben eine bestätigte Kontoübernahme, die auf diese Collection-Regeln zurückgeführt wurde; dokumentiert sind Fähigkeit und Exposition, was mit dazu beiträgt, dass der Eintrag als medium statt high eingestuft ist.

Keine neue Schwachstelle: Der Stealer läuft bereits, wenn die Regel eintrifft

Gen Digital stellt ausdrücklich klar, dass es keine Schwachstelle beschreibt. Die Ergebnisse „deuten nicht auf eine neue Möglichkeit hin, das Gerät zu kompromittieren, oder auf eine Schwachstelle in einem KI-Modell oder -Agenten“, heißt es in dem Bericht; der Infostealer sei bereits aktiv, und geändert habe sich „die Konzentration wertvoller Informationen an vorhersehbaren Orten, manchmal im Klartext, und die Leichtigkeit, mit der diese Orte einer bestehenden Sammelliste hinzugefügt werden können“.

Diese Leichtigkeit ist der Mechanismus. Viele Stealer erhalten ferngesteuert verwaltete Sammelregeln, die Verzeichnisse, Dateinamen, Erweiterungen, Datenbanken, Suchtiefe oder Dateigrößenbeschränkungen festlegen, sodass ein Operator, der erfährt, wo ein Agent seine Tokens aufbewahrt, einen weiteren Pfad hinzufügen kann, ohne die Malware neu zu erstellen oder neu zu verteilen – und die aktualisierte Regel erreicht Installationen, die sich bereits auf kompromittierten Rechnern befinden. Gen Digital nennt dazu zwei Einschränkungen: Der Ansatz gilt nicht für jeden Stealer, und einige Tools benötigen produktspezifisches Parsen oder Entschlüsseln statt eines Pfadeintrags. Die praktische Warnung betrifft die Form der Beweislage – wenn ein großer Stealer heute einen bestimmten Agenten nicht sammelt, ist dieses Fehlen eine Momentaufnahme, „nicht als Beleg dafür, dass der Agent außerhalb des Sammlungsbereichs bleiben wird“.

Welche Familie reicht in welchen Agenten hinein?

Die beiden Familien, für die Telemetrie vorliegt, sind Amatera – ausgerichtet auf Daten im Zusammenhang mit Cline und Continue – und Remus – ausgerichtet auf Claude, Cursor und OpenCode. Gen Digital sagt, die Zahlen für beide „könnten sich überschneiden und eher Detektionen als erfolgreiche Infektionen beschreiben“ – eine Unterscheidung, die wichtig ist, wenn man die Zahlen als Maß dafür liest, wie viele Entwickler tatsächlich bestohlen wurden. Um sie herum stehen die Familien, die das Verhalten eher wie einen Trend als wie ein Experiment aussehen lassen: BeeStealer, STG Stealer, HydraStealer, APEX Stealer und Otter Stealer, die der Bericht als weniger verbreitet einstuft, und Djinn Stealer, der dasselbe Verhalten unter macOS zeigt und mit dem Abgreifen von Daten aus Claude, Codex, Gemini, Cline, OpenCode und Kilo in Verbindung gebracht wird.

Gen Digitals eigene Zusammenfassung des Tempos lautet, dass KI-Agenten-Daten „in den Erfassungsregeln eines anderen Stealers fast jeden Tag“ auftauchten. Zur Einordnung bettet es die Zielauswahl in ein viel älteres Problem ein: In der ersten Hälfte des Jahres 2026 verzeichnete seine Telemetrie Infostealer-Erkennungen bei mehr als 3,3 Millionen eindeutigen geschützten Nutzern, wobei die monatliche Zahl durchgängig über 500.000 lag. Diese Gesamtzahlen umfassen jede Infostealer-Familie, nicht diejenigen, von denen bekannt ist, dass sie KI-Agenten-Daten betreffen, sodass sie den Pool messen, durch den sich die neuen Regeln verbreiten, und nicht die Reichweite der neuen Regeln.

Was dabei herauskommt, ist ein Refresh-Token und eine Karte der Codebasis.

Der Bericht unterteilt die Inhalte eines Agentenverzeichnisses in zwei Kategorien, und diese Unterteilung ist der Kern der Erkenntnis. Die erste ist Zugriff: Manche Agenten speichern Zugriffstoken oder Anmeldedaten lokal zwischen, damit sich ein Nutzer nicht bei jeder Sitzung erneut authentifizieren muss. Ein Zugriffstoken kann bis zu seinem Ablauf gültig sein; ein Refresh-Token kann manchmal gegen neue Zugriffstoken eingetauscht werden und das Zeitfenster verlängern. Gen Digital ist bei den Grenzen sorgfältig – das Ergebnis „hängt vom Umfang und der Lebensdauer des Tokens sowie von den eigenen Kontrollen des Dienstes ab, sodass das Stehlen einer Datei keinen dauerhaften Zugriff garantiert“ – und merkt zugleich an, dass die Datei „dennoch so sensibel wie ein Passwortspeicher sein kann“.

Die zweite Kategorie ist Kontext – und deshalb ist dies nicht einfach nur eine Geschichte über Zugangsdaten. Prompts und Transkripte können proprietären Quellcode, Repository-Namen, interne Hostnamen und zur Fehlerbehebung eingefügte Secrets enthalten; ein Transkript kann einem Angreifer die Struktur einer Codebasis, bekannte Schwachstellen und die beteiligten Personen in die Hand geben, was der Bericht als Aufklärung beschreibt, „die ein Angreifer sonst tagelang sammeln müsste“. Wenn ein Entwickler einen Assistenten für einen vertraulichen Proof of Concept verwendet hat, kann der Verlauf eine nicht patentierte Erfindung offenlegen. Gen Digitals Zusammenfassung dieser Kombination lautet, dass ein einziges Archiv „sowohl die Mittel zum Zugriff auf ein Konto als auch den Kontext enthalten kann, der nötig ist, um zu verstehen, was dahinter wertvoll ist“.

Konfigurationen des Model Context Protocol liegen zwischen den beiden Kategorien. Sie können Endpunkte, Header, Umgebungsvariablen und API-Schlüssel enthalten, und wenn wiederverwendbare Secrets lokal gespeichert sind, kann sich die Kompromittierung auf Versionskontrolle, Ticketing-Plattformen, Datenbanken oder Cloud-Dienste erstrecken, mit denen der Agent verbunden war. Der Bericht stellt es nicht überzogen dar: Einige Integrationen verwenden kurzlebige Anmeldedaten, vom Betriebssystem geschützten Speicher oder einen interaktiven Autorisierungsablauf, sodass eine gestohlene Konfiguration nicht automatisch alles entsperrt, was darin genannt wird.

Okta zählte die Käuferseite desselben Marktes.

Oktas Threat-Intelligence-Team ging dasselbe Problem von der anderen Seite an, und auch sein Bericht trägt einen Veröffentlichungszeitstempel vom 8. September 2026. Es analysierte einen kostenlosen 7-GB-Log-Dump, der am 2. August 2026 in einem Telegram-Kanal veröffentlicht wurde – 5.871 Ordner, einer pro infizierter Maschine, verteilt über 162 Länder – mithilfe benutzerdefinierter regulärer Ausdrücke und des Open-Source-Secret-Scanners TruffleHog. Von 44.791 eindeutigen JSON Web Tokens im Dump wurden 555 als wahrscheinlich mit der Authentifizierung von KI-Diensten verbunden identifiziert. Eine separate Suche ergab 2.937 authentifizierungsbezogene JSON-Web-Encryption-Objekte, die meisten davon von OpenAI unter Verwendung von NextAuth.js eingerichtet, und 1.843 JWTs und JWEs aller Art waren am Tag der Veröffentlichung noch nicht abgelaufen.

Die Zählungen pro Anbieter sind der Teil, aus dem ein Sicherheitsteam eine handlungsfähige Zahl machen kann. Auf Anthropic entfielen 561 eindeutige Sitzungstoken auf 404 verschiedene Rechner; von den 561 Token waren 164 noch nicht abgelaufen. Auf Cursor entfielen 32 auf 26 Rechner; 16 davon waren noch nicht abgelaufen. Google und Microsoft dominieren die Tabelle mit 9.829 bzw. 2.491 Token, doch Okta merkt an, dass diese Summen über Single-Sign-on-Gateways laufen und den gesamten Kontobestand des jeweiligen Anbieters umfassen; sie sind daher kein Maß für die KI-spezifische Exposition. TruffleHog lieferte außerdem 24 noch gültige API-Schlüssel über vier KI-bezogene Modell-Dienste hinweg – die Kategorie, die Okta als Anmeldedaten beschreibt, mit denen ein Käufer Inferenz auf fremde Rechnung ausführen kann. Jeremy Kirk, Director of Threat Intelligence bei Okta, brachte den Mechanismus auf den Punkt: Sitzungstoken und API-Schlüssel würden gesucht, „weil es oft möglich ist, diese Secrets erneut abzuspielen und die anmeldedatenbasierte Authentifizierung zu umgehen.“

Okta ist vorsichtig bei der Frage, was der Dump beweist. Das Unternehmen erklärt, es habe „keine Hinweise auf gestohlene Okta-Sitzungen in diesem Daten-Dump beobachtet“, und ein gestohlenes Token scheitert weiterhin, wenn eine Organisation IP-Allowlisting erzwingt. Die Finanzzahlen in seiner Einleitung – eine Rechnung von fast 1 Million US-Dollar für eine Organisation, 600.000 US-Dollar an KI-Guthaben, die eine KI-Testorganisation durch einen gestohlenen API-Schlüssel verlor – werden als separate, bereits zuvor gemeldete Fälle angeführt, nicht als Schaden aus diesem Datensatz. Die Forschungsnotiz der Cloud Security Alliance vom 11. September 2026 macht denselben Punkt ausdrücklich: Okta beschreibt in seiner Analyse Tokens, die in einem kriminellen Dump vorhanden sind, und ihre theoretische Wiederverwendbarkeit, erhebt nicht den Anspruch, gemessen zu haben, wie viele tatsächlich ausgenutzt wurden, und führt keinen konkreten Sicherheitsvorfall auf den Dump zurück.

Die Nachfrageseite wird auch von außerhalb von Okta bestätigt. The Hacker News berichtete am 9. September 2026, dass Okta Telegram-Angebote gemeldet habe, bei denen rabattierter Zugang zu Claude-, Cursor-, ChatGPT- und Gemini-Konten mit 24/7-Support und Geld-zurück-Garantien verkauft wurde, und dass ein Dienst, der sich selbst Poison Claude nennt, Zugang zu Anthropics Opus 4.6, 4.7 und 4.8 sowie Sonnet 4.6 bewarb. Gizmodo berichtete am 10. September 2026 über denselben Markt. The Hacker News gab außerdem die Einschätzung der Google Threat Intelligence Group wieder, wonach die Kosten für den Zugang zu Premiummodellen „verstärkte Zielauswahl, Exfiltration und Verkauf von KI-Konten in Cyberkriminalitäts-Communities“ vorantreiben, und beschrieb ein Mandiant-Engagement zur Incident Response, bei dem ein Bedrohungsakteur ein offengelegtes persönliches GitHub-Zugriffstoken nutzte, um unbefugte KI-Infrastruktur bereitzustellen.

Was die Aktenlage durchaus belegt und was keine zitierte Quelle klärt

Belegt – und von den Quellen als solches angegeben: Massenware-Stealer haben KI-Coding-Agent-Pfade zu remote verwalteten Sammelregeln in mehreren Familien und zwei Betriebssystemen hinzugefügt; die lokalen Verzeichnisse können Tokens, MCP-Anmeldedaten, Verläufe und Projektmetadaten enthalten; und ein großer frei verfügbarer Datendump enthielt tatsächlich nicht abgelaufenes Authentifizierungsmaterial für KI-Dienste, darunter 164 nicht abgelaufene Anthropic-Session-Tokens und 24 gültige API-Schlüssel.

• Nicht belegt: dass eine dieser Regeln eine bestätigte Accountübernahme hervorgebracht hat. Weder Gen Digital noch Okta melden ein Opfer, dessen Konto mit einem gestohlenen Token aus diesen spezifischen Sammlungen betreten wurde, und das real_harm false des Archivs spiegelt diese Lücke wider und nicht eine Bestreitung, dass Schaden möglich ist.

• Nicht geklärt: wie viele Entwickler betroffen waren. Die Zahlen von Gen Digital zu Amatera und Remus sind Erkennungen unter geschützten Nutzern, können sich überschneiden und sind keine Infektionen; Oktas Zählungen beschreiben einen einzigen 7-GB-Dump, nicht den Markt.

• Nicht geklärt: Welche Agenten standardmäßig was speichern. Beide Berichte betonen, dass sich Pfade, Dateien und Schutzmechanismen je nach Produkt, Betriebssystem und Nutzerkonfiguration unterscheiden, sodass kein einzelner Agent anhand dieser Aufzeichnung freigesprochen werden kann — Gen Digitals Antwort darauf ist, zunächst zu erfassen, was lokal gespeichert wird, bevor man davon ausgeht, dass ein Produkt sicher ist.

• Nicht geklärt: was irgendein Agenten-Anbieter geändert hat. Keiner der beiden Berichte beschreibt eine als Reaktion vorgenommene Produktänderung, und keiner sagt, dass ein Anbieter benachrichtigt wurde. Die einzigen diskutierten produktseitigen Maßnahmen sind generisch – Credential Stores des Betriebssystems, kurzlebige Token mit begrenztem Geltungsbereich und Aufbewahrungskontrollen, die laut Gen Digital von den Tools selbst kommen sollten.

Nach der Veröffentlichung korrigiert: Die Mitteilung der Cloud Security Alliance trägt eine Revision Version 1.1 vom 11. September 2026, mit der nach eigenen Angaben ein Problem der Maßstabsinflation behoben wurde, bei dem die ökosystemweiten Sign-on-Token-Zahlen von Google und Microsoft als KI-spezifische Exposition ohne den eigenen Vorbehalt von Okta dargestellt worden waren, zusammen mit einer falsch zugeordneten Quellenangabe und zwei Referenzen, die nicht als noch aktiv bestätigt werden konnten.

Was sich danach geändert hat: Rotationen, keine Passwort-Zurücksetzungen

Die Antwort, auf die sich beide Berichte einigen, ist eine Änderung der Incident-Response statt eines Patches. Die Empfehlung von Gen Digital lautet, eine lokale Authentifizierungsdatei wie ein Passwort zu behandeln, wo das Produkt die Wahl bietet, den Schlüsselbund bzw. Keyring des Betriebssystems zu bevorzugen, Geheimnisse aus Prompts herauszuhalten, MCP-Integrationen nur die Berechtigungen zu geben, die sie benötigen, und – nach einer Stealer-Infektion – von einem sauberen Gerät aus AI-Service-Sitzungen zu widerrufen sowie API-Schlüssel und MCP-Zugangsdaten zu rotieren. Die deutlichste Aussage ist, dass „allein das Ändern von Browser-Passwörtern nicht mehr ausreicht“ und dass Multi-Faktor-Authentifizierung den Missbrauch eines bereits gestohlenen Sitzungstokens möglicherweise nicht verhindern kann.

Oktas Kontrollen sind die Ergänzung auf der Identitätsseite: Nutzungsobergrenzen und IP-Allowlisting für API-Schlüssel, OAuth-2.0-Flows, die kurzlebige Zugriffstoken aus einem in einem Schlüsselbund gehaltenen Refresh-Token ausstellen, die Überwachung der Wiederverwendung von Sitzungstoken sowie Device-Bound Session Credentials, die eine Sitzung kryptografisch an ein Gerät binden. Okta merkt an, dass DBSC noch am Anfang steht – Dienste müssen es serverseitig implementieren – und dass Chrome 145 für Windows, veröffentlicht im März 2026, es unterstützen kann. Außerdem wird festgehalten, dass Googles App-Bound Encryption, 2024 eingeführt, um Browserdaten zu verschlüsseln, von Stealer-Entwicklern recht schnell umgangen wurde. Die Cloud Security Alliance zieht die operative Schlussfolgerung, dass die Token-Widerrufung und nicht das Zurücksetzen des Passworts das ist, was eine gestohlene aktive Sitzung beendet.

Der Eintrag bleibt dort, wohin seine Felder ihn setzen: ein Forschungsbefund mittlerer Schwere, Konfidenz A, unbestritten, ohne dokumentierten realen Schaden und mit nur einem Tag seit der Veröffentlichung. Was ihn aufbewahrenswert macht, ist die Asymmetrie, die er dokumentiert — die Kosten, einen weiteren Agenten zu einer Sammelliste hinzuzufügen, sind eine einzige Konfigurationsaktualisierung, während die Kosten dafür, zu wissen, welche Agenten auf welchen Maschinen wiederverwendbare Anmeldedaten besitzen, ein Inventar sind, das die meisten Organisationen nicht erstellt haben.