Los infostealers se fijan en los datos de los agentes de IA: las reglas de recopilación ahora apuntan a Claude, Cursor y Codex

El 8 de septiembre de 2026, Gen Digital publicó un análisis de las reglas de recopilación de los ladrones de información y descubrió que la lista de objetivos ha incorporado una nueva línea: los datos locales de los agentes de programación con IA. A lo largo de una ventana de tres meses, su telemetría de Windows registró detecciones de Amatera y Remus entre decenas de miles de usuarios de Windows protegidos — ladrones cuyos archivos de reglas ahora llegan a los directorios de Cline, Continue, Claude de Anthropic, Cursor y OpenCode. CallbackBeaver añadió Claude y Cursor a su ámbito de recopilación y fue observado en más de 5000 muestras en un período de 30 días. Lo que se sustrae no son preferencias, sino acceso y contexto: tokens de acceso y de actualización, credenciales que residen en configuraciones del Model Context Protocol, historiales de prompts, bases de datos de conversaciones y un mapa de los proyectos en los que trabajaba un desarrollador. No hay ninguna vulnerabilidad nueva de por medio — el ladrón ya se está ejecutando cuando llega la nueva regla, y el valor se ha trasladado a archivos locales predecibles. Este relato se basa en el informe de Gen Digital, en el análisis de Okta de un volcado de registros robados publicado el mismo día y en la nota de investigación de Cloud Security Alliance, y el archivo de incidentes de IA alberga esta entrada junto a sus vecinas, cada una con sus propias fuentes, severidad y grado de confianza.

El archivo registra el hallazgo como un hallazgo de investigación en lugar de un evento de despliegue: tipo investigación, gravedad media, confianza A, disputado falso, real_harm falso, región GLOBAL, etiquetado CRED y EXFIL, con una fecha precisa al día del 8 de septiembre de 2026. Ese es el día en que Gen Digital publicó, no el día en que se infectó ninguna máquina en particular, y ninguno de los dos informes ofrece una fecha de infección para las propias reglas. Vale la pena leer despacio el campo real_harm. Nada en el registro ni en sus fuentes describe una toma de control de cuenta confirmada que se remonte a estas reglas de recopilación; lo que se documenta es capacidad y exposición, lo cual es parte de por qué la entrada está calificada como media y no alta.

Ningún fallo nuevo: el stealer ya se está ejecutando cuando llega la regla

Gen Digital deja claro que no está describiendo una vulnerabilidad. Sus hallazgos «no apuntan a una nueva forma de comprometer el dispositivo ni a una vulnerabilidad en un modelo o agente de IA», señala el informe; el ladrón de información ya está en funcionamiento, y lo que ha cambiado es «la concentración de información valiosa en ubicaciones predecibles, a veces en texto plano, y la facilidad con que esas ubicaciones pueden añadirse a una lista de recopilación existente».

Esa facilidad es el mecanismo. Muchos ladrones de información reciben reglas de recopilación administradas de forma remota que especifican directorios, nombres de archivo, extensiones, bases de datos, profundidad de búsqueda o límites de tamaño de archivo, de modo que un operador que descubra dónde guarda sus tokens un agente puede añadir otra ruta sin recompilar ni redistribuir el malware —y la regla actualizada llega a instalaciones que ya están en máquinas comprometidas. Gen Digital le añade dos advertencias: el enfoque no se aplica a todos los ladrones de información, y algunas herramientas necesitan análisis o descifrado específicos del producto en lugar de una entrada de ruta. Su advertencia práctica tiene que ver con la forma de la evidencia —si un ladrón de información importante no recopila un agente en particular hoy, esa ausencia es una instantánea, «no como evidencia de que el agente permanecerá fuera del alcance de la recopilación».

¿Qué familia llega hasta qué agente?

Las dos familias con telemetría que las respalda son Amatera, que se dirige a datos asociados con Cline y Continue, y Remus, que se dirige a Claude, Cursor y OpenCode. Gen Digital afirma que las cifras de ambas «pueden solaparse y describir detecciones en lugar de infecciones exitosas», una distinción que importa al leer las cifras como medida de cuántos desarrolladores sufrieron realmente un robo. Alrededor de ellas están las familias que hacen que el comportamiento parezca una tendencia y no un experimento: BeeStealer, STG Stealer, HydraStealer, APEX Stealer y Otter Stealer, que el informe clasifica como de menor prevalencia, y Djinn Stealer, que muestra el mismo comportamiento en macOS y está asociado con la recopilación de datos de Claude, Codex, Gemini, Cline, OpenCode y Kilo.

El propio resumen de Gen Digital sobre el ritmo es que los datos de agentes de IA aparecían "en las reglas de recolección de otro stealer casi todos los días". Para dimensionarlo, enmarca el objetivo dentro de un problema mucho más antiguo: durante la primera mitad de 2026, su telemetría registró detecciones de infostealer entre más de 3,3 millones de usuarios protegidos únicos, con la cifra mensual siempre por encima de 500.000. Esos totales abarcan todas las familias de infostealer, no las que se sabe que tocan datos de agentes de IA, por lo que miden el conjunto en el que se están propagando las nuevas reglas, no el alcance de estas.

Lo que sale es un token de actualización y un mapa del código base.

El informe divide lo que contiene un directorio de agentes en dos categorías, y esa división es la esencia del hallazgo. La primera es el acceso: algunos agentes almacenan en caché tokens de acceso o datos de inicio de sesión de forma local para que el usuario no tenga que autenticarse en cada sesión. Un token de acceso puede ser utilizable hasta que caduque; un token de actualización a veces puede canjearse por nuevos tokens de acceso y ampliar la ventana. Gen Digital es prudente con los límites —el resultado "depende del alcance y la vida útil del token, así como de los controles propios del servicio, por lo que robar un archivo no garantiza un acceso duradero"— y señala que el archivo "aun así puede ser tan sensible como un almacén de contraseñas".

La segunda categoría es el contexto, y es la razón por la que esto no es simplemente una historia de credenciales. Los prompts y las transcripciones pueden contener código fuente propietario, nombres de repositorios, nombres de host internos y secretos pegados para la solución de problemas; una transcripción puede entregar a un atacante la estructura de una base de código, debilidades conocidas y las personas involucradas, lo que el informe describe como reconocimiento que "un atacante de otro modo tardaría días en recopilar". Cuando un desarrollador ha usado un asistente en una prueba de concepto confidencial, el historial puede exponer una invención no patentada. El resumen de Gen Digital de la combinación es que un solo archivo puede llevar "tanto los medios para acceder a una cuenta como el contexto necesario para entender qué es valioso detrás de ella".

Las configuraciones de Model Context Protocol se sitúan entre las dos categorías. Pueden contener endpoints, cabeceras, variables de entorno y claves de API, y cuando los secretos reutilizables se almacenan localmente, el compromiso puede alcanzar el control de código fuente, las plataformas de tickets, las bases de datos o los servicios en la nube a los que estaba conectado el agente. El informe no lo exagera: algunas integraciones utilizan credenciales de corta duración, almacenamiento protegido por el sistema operativo o un flujo de autorización interactivo, por lo que una configuración robada no desbloquea automáticamente todo lo que menciona.

Okta contabilizó el lado del comprador del mismo mercado

El equipo de inteligencia de amenazas de Okta abordó el mismo problema desde el otro extremo, y su informe también lleva una marca de tiempo de publicación del 8 de septiembre de 2026. Analizó un volcado de registros gratuito de 7 GB publicado en un canal de Telegram el 2 de agosto de 2026 —5.871 carpetas, una por máquina infectada, repartidas por 162 países— usando expresiones regulares personalizadas y el escáner de secretos de código abierto TruffleHog. De los 44.791 tokens web JSON únicos del volcado, 555 se identificaron como probablemente vinculados a la autenticación de servicios de IA. Una búsqueda separada encontró 2.937 objetos de cifrado web JSON relacionados con la autenticación, la mayoría de ellos establecidos por OpenAI usando NextAuth.js, y 1.843 JWT y JWE de todo tipo seguían sin caducar el día de su publicación.

Los recuentos por proveedor son la parte que se convierte en una cifra sobre la que un equipo de seguridad puede actuar. Anthropic representó 561 tokens de sesión únicos en 404 máquinas distintas, de los cuales 164 no habían caducado; Cursor representó 32 en 26 máquinas, de los cuales 16 no habían caducado. Google y Microsoft dominan la tabla con 9.829 y 2.491 tokens, pero Okta señala que esos totales pasan por puertas de enlace de inicio de sesión único y abarcan la base completa de cuentas de cada proveedor, por lo que no son una medida de la exposición específica de IA. TruffleHog también devolvió 24 claves de API aún válidas en cuatro servicios de modelos relacionados con IA —la categoría que Okta describe como una credencial que un comprador puede usar para ejecutar inferencia a cargo de la factura de otra persona. Jeremy Kirk, director de inteligencia de amenazas de Okta, explicó el mecanismo con claridad: los tokens de sesión y las claves de API se buscan "porque a menudo es posible reutilizar esos secretos y eludir la autenticación basada en credenciales".

Okta es cautelosa respecto a lo que el volcado demuestra. Afirma que «no observó pruebas de sesiones de Okta robadas en este volcado de datos», y un token robado sigue siendo ineficaz allí donde una organización aplica listas de IP permitidas. Las cifras financieras de su introducción —una factura de casi 1 millón de dólares para una organización, y 600.000 dólares en créditos de IA perdidos por una organización de pruebas de IA a causa de una clave de API robada— se citan como casos separados ya reportados anteriormente, no como daños derivados de este conjunto de datos. La nota de investigación de Cloud Security Alliance del 11 de septiembre de 2026 señala lo mismo de forma explícita: el análisis de Okta describe los tokens presentes en un volcado criminal y su reutilización teórica, no afirma haber medido cuántos se explotaron realmente y no atribuye ninguna brecha de seguridad específica al volcado.

El lado de la demanda también está corroborado desde fuera de Okta. The Hacker News informó el 9 de septiembre de 2026 que Okta había señalado listados en Telegram que vendían acceso con descuento a cuentas de Claude, Cursor, ChatGPT y Gemini con soporte 24/7 y garantías de devolución del dinero, y que un servicio que se autodenominaba Poison Claude anunciaba acceso a Opus 4.6, 4.7 y 4.8 de Anthropic y a Sonnet 4.6. Gizmodo cubrió el mismo mercado el 10 de septiembre de 2026. The Hacker News también recogió la evaluación de Google Threat Intelligence Group de que el coste del acceso a modelos premium está impulsando "un aumento del direccionamiento, la exfiltración y la venta de cuentas de IA en las comunidades de ciberdelincuencia", y describió un compromiso de respuesta a incidentes de Mandiant en el que un actor de amenazas utilizó un token de acceso personal de GitHub expuesto para desplegar infraestructura de IA no autorizada.

Lo que el expediente sí establece, y lo que ninguna fuente citada resuelve

Establecido, y así lo afirman las fuentes: los stealers de uso común han añadido rutas de agentes de codificación con IA a las reglas de recolección gestionadas remotamente en varias familias y dos sistemas operativos; los directorios locales pueden contener tokens, credenciales de MCP, historiales y metadatos de proyectos; y un gran volcado gratuito sí contenía material de autenticación no caducado para servicios de IA, incluidos 164 tokens de sesión de Anthropic no caducados y 24 claves de API válidas.

• No establecido: que cualquiera de estas reglas haya producido una toma de control de cuenta confirmada. Ni Gen Digital ni Okta informan de una víctima cuya cuenta se haya accedido con un token robado de estas colecciones específicas, y el valor false de real_harm en el archivo refleja esa laguna en lugar de una negación de que el daño sea posible.

• No se ha establecido: cuántos desarrolladores se vieron afectados. Las cifras de Amatera y Remus de Gen Digital son detecciones entre usuarios protegidos, pueden superponerse y no son infecciones; los recuentos de Okta describen un único volcado de 7 GB, no el mercado.

• No establecido: qué agentes almacenan qué, de forma predeterminada. Ambos informes subrayan que las rutas, los archivos y las protecciones varían según el producto, el sistema operativo y la configuración del usuario, por lo que no se puede descartar a ningún agente a partir de este registro — la respuesta de Gen Digital es inventariar lo que se almacena localmente antes de asumir que cualquier producto es seguro.

• No se ha establecido: qué cambió cualquier proveedor de agentes. Ninguno de los dos informes describe un cambio en el producto realizado como respuesta, y ninguno indica que se haya notificado a un proveedor. Las únicas mitigaciones del lado del producto que se analizan son genéricas — almacenes de credenciales del sistema operativo, tokens con alcance de corta duración y controles de retención que Gen Digital sostiene que deberían provenir de las propias herramientas.

• Corregido después de la publicación: la nota de Cloud Security Alliance incluye una revisión de la versión 1.1 fechada el 11 de septiembre de 2026, en la que, según indica, se corrigió un problema de inflación de escala por el cual los recuentos de tokens de inicio de sesión de todo el ecosistema de Google y Microsoft se habían presentado como exposición específica de IA sin la advertencia propia de Okta, junto con una cita mal atribuida y dos referencias que no pudieron confirmarse como activas.

Qué cambió después: rotaciones, no restablecimientos de contraseña

La respuesta en la que coinciden ambos informes es un cambio en la respuesta a incidentes, no un parche. La recomendación de Gen Digital es tratar un archivo de autenticación local como una contraseña, preferir el llavero del sistema operativo cuando el producto ofrezca la opción, mantener los secretos fuera de los prompts, dar a las integraciones MCP solo los permisos que necesitan y, tras una infección por un stealer, trabajar desde un dispositivo limpio para revocar sesiones de servicios de IA y rotar claves de API y credenciales de MCP. Su afirmación más contundente es que «cambiar solo las contraseñas del navegador ya no es suficiente» y que la autenticación multifactor puede no impedir el abuso de un token de sesión que ya ha sido robado.

Los controles de Okta son el complemento del lado de la identidad: límites de uso y listas de IP permitidas en las claves de API, flujos OAuth 2.0 que emiten tokens de acceso de corta duración a partir de un token de actualización guardado en un llavero, monitorización de la reutilización de tokens de sesión y credenciales de sesión vinculadas al dispositivo (Device-Bound Session Credentials), que vinculan criptográficamente una sesión a un dispositivo. Okta señala que DBSC es incipiente —los servicios deben implementarlo en el lado del servidor— y que Chrome 145 para Windows, lanzado en marzo de 2026, puede admitirlo. También recoge que los desarrolladores de stealers sortearon con bastante rapidez el cifrado App-Bound Encryption de Google, introducido en 2024 para cifrar los datos del navegador. La Cloud Security Alliance llega a la conclusión operativa de que la revocación de tokens, y no el restablecimiento de contraseñas, es lo que cierra una sesión activa robada.

El registro permanece donde lo sitúan sus campos: un hallazgo de investigación de gravedad media, confianza A, indiscutido, sin daños reales registrados y con un solo día de publicación a sus espaldas. Lo que lo hace digno de conservarse es la asimetría que documenta: el coste de añadir otro agente a una lista de recopilación es una actualización de configuración, mientras que el coste de saber qué agentes en qué máquinas poseen credenciales reutilizables es un inventario que la mayoría de las organizaciones no ha realizado.