Les infostealers se tournent vers les données des agents IA : les règles de collecte ciblent désormais Claude, Cursor et Codex

Le 8 septembre 2026, Gen Digital a publié une analyse des règles de collecte des voleurs d'informations et a constaté que la liste des cibles s'est enrichie d'une nouvelle ligne : les données locales des agents de codage IA. Sur une période de trois mois, sa télémétrie Windows a enregistré des détections d'Amatera et de Remus parmi des dizaines de milliers d'utilisateurs Windows protégés — des voleurs dont les fichiers de règles atteignent désormais les répertoires de Cline, Continue, Claude d'Anthropic, Cursor et OpenCode. CallbackBeaver a ajouté Claude et Cursor à son périmètre de collecte et a été observé dans plus de 5 000 échantillons sur une période de 30 jours. Ce qui est dérobé n'est pas des préférences mais des accès et du contexte : jetons d'accès et de rafraîchissement, identifiants présents dans les configurations du Model Context Protocol, historiques de prompts, bases de données de conversations et cartographie des projets sur lesquels un développeur travaillait. Aucune nouvelle faille n'est en cause — le voleur est déjà en cours d'exécution lorsque la nouvelle règle arrive, et la valeur s'est déplacée vers des fichiers locaux prévisibles. Ce compte rendu s'appuie sur le rapport de Gen Digital, sur l'analyse d'Okta d'un vidage de journaux volés publiée le même jour, et sur la note de recherche de la Cloud Security Alliance, et l'archive des incidents d'IA contient cette entrée aux côtés de ses voisines, chacune avec ses propres sources, son niveau de gravité et sa note de confiance.

L'archive classe le dossier comme une découverte de recherche plutôt que comme un événement de déploiement : type : recherche ; gravité : moyenne ; confiance : A ; contesté : faux ; real_harm : faux ; région : GLOBAL ; étiqueté CRED et EXFIL ; avec une date précise au jour près, le 8 septembre 2026. Il s'agit du jour où Gen Digital a publié, et non du jour où une machine particulière a été infectée, et aucun des deux rapports ne fournit de date d'infection pour les règles elles-mêmes. Le champ real_harm mérite une lecture attentive. Rien dans le dossier ni dans ses sources ne décrit une prise de contrôle de compte confirmée remontant à ces règles de collecte ; ce qui est documenté, c'est une capacité et une exposition, ce qui explique en partie pourquoi l'entrée est classée moyenne plutôt qu'élevée.

Aucune nouvelle faille : le stealer est déjà en cours d'exécution lorsque la règle arrive

Gen Digital affirme explicitement qu’il ne décrit pas une vulnérabilité. Ses conclusions « ne pointent pas vers une nouvelle façon de compromettre l’appareil ni vers une vulnérabilité dans un modèle ou un agent d’IA », indique le rapport ; le voleur d’informations est déjà actif, et ce qui a changé, c’est « la concentration d’informations précieuses dans des emplacements prévisibles, parfois en texte clair, et la facilité avec laquelle ces emplacements peuvent être ajoutés à une liste de collecte existante ».

Cette facilité constitue le mécanisme. De nombreux voleurs d'informations reçoivent des règles de collecte gérées à distance qui spécifient des répertoires, des noms de fichiers, des extensions, des bases de données, une profondeur de recherche ou des limites de taille de fichier, de sorte qu'un opérateur qui découvre où un agent conserve ses jetons peut ajouter un autre chemin sans reconstruire ni redistribuer le logiciel malveillant — et la règle mise à jour atteint les installations déjà présentes sur des machines compromises. Gen Digital assortit cela de deux réserves : l'approche ne s'applique pas à tous les voleurs d'informations, et certains outils nécessitent une analyse syntaxique ou un déchiffrement spécifiques au produit plutôt qu'une entrée de chemin. Son avertissement pratique porte sur la forme des preuves : si un voleur d'informations majeur ne collecte pas un agent donné aujourd'hui, cette absence est un instantané, « et non une preuve que l'agent restera hors du périmètre de collecte ».

Quelle famille atteint quel agent

Les deux familles pour lesquelles des données de télémétrie sont disponibles sont Amatera, qui cible les données associées à Cline et Continue, et Remus, qui cible Claude, Cursor et OpenCode. Gen Digital indique que les chiffres des deux « peuvent se chevaucher et décrire des détections plutôt que des infections réussies » — une distinction qui compte lorsqu’on lit ces nombres comme une mesure du nombre de développeurs ayant réellement été victimes d’un vol. Autour d’elles se trouvent les familles qui donnent à ce comportement l’allure d’une tendance plutôt que d’une expérience : BeeStealer, STG Stealer, HydraStealer, APEX Stealer et Otter Stealer, que le rapport classe comme moins prévalentes, et Djinn Stealer, qui présente le même comportement sur macOS et est associé à la collecte depuis Claude, Codex, Gemini, Cline, OpenCode et Kilo.

Le résumé de Gen Digital sur le rythme est que les données d’agents IA apparaissaient « dans les règles de collecte d’un autre stealer presque chaque jour ». Pour donner l’échelle, il replace ce ciblage dans le cadre d’un problème bien plus ancien : au cours du premier semestre 2026, sa télémétrie a enregistré des détections d’infostealers parmi plus de 3,3 millions d’utilisateurs protégés uniques, le chiffre mensuel étant systématiquement supérieur à 500 000. Ces totaux couvrent toutes les familles d’infostealers, et non celles connues pour toucher les données d’agents IA ; ils mesurent donc le vivier dans lequel les nouvelles règles se diffusent, plutôt que la portée de ces nouvelles règles.

Ce qui en ressort est un refresh token et une cartographie de la base de code.

Le rapport répartit le contenu d’un répertoire d’agent en deux catégories, et cette répartition constitue l’essence de la conclusion. La première est l’accès : certains agents mettent en cache localement des jetons d’accès ou des identifiants de connexion afin qu’un utilisateur n’ait pas à se réauthentifier à chaque session. Un jeton d’accès peut être utilisable jusqu’à son expiration ; un jeton de rafraîchissement peut parfois être échangé contre de nouveaux jetons d’accès et prolonger la fenêtre. Gen Digital se montre prudent quant aux limites — le résultat « dépend de la portée, de la durée de vie et des contrôles propres au service, de sorte que le vol d’un fichier ne garantit pas un accès durable » — tout en notant que le fichier « peut néanmoins être aussi sensible qu’un magasin de mots de passe ».

La deuxième catégorie est le contexte, et c’est pourquoi il ne s’agit pas simplement d’une histoire d’identifiants. Les prompts et les transcriptions peuvent contenir du code source propriétaire, des noms de dépôts, des noms d’hôtes internes et des secrets collés à des fins de dépannage ; une transcription peut fournir à un attaquant la structure d’une base de code, les faiblesses connues et les personnes impliquées, ce que le rapport décrit comme de la reconnaissance « qu’un attaquant aurait autrement passé des jours à recueillir ». Lorsqu’un développeur a utilisé un assistant sur une preuve de concept confidentielle, l’historique peut exposer une invention non brevetée. Le résumé de Gen Digital sur cette combinaison est qu’une seule archive peut porter « à la fois les moyens d’accéder à un compte et le contexte nécessaire pour comprendre ce qui a de la valeur derrière celui-ci ».

Les configurations du Model Context Protocol se situent entre les deux catégories. Elles peuvent contenir des points de terminaison, des en-têtes, des variables d’environnement et des clés d’API, et lorsque des secrets réutilisables sont stockés localement, la compromission peut atteindre le contrôle de code source, les plateformes de gestion des tickets, les bases de données ou les services cloud auxquels l’agent était connecté. Le rapport ne l’exagère pas : certaines intégrations utilisent des identifiants de courte durée, un stockage protégé par le système d’exploitation ou un flux d’autorisation interactif, de sorte qu’une configuration volée ne déverrouille pas automatiquement tout ce qu’elle nomme.

Okta a compté le côté acheteur du même marché.

L'équipe de renseignement sur les menaces d'Okta a abordé le même problème par l'autre bout, et son rapport porte également une date de publication au 8 septembre 2026. Elle a analysé un vidage de journaux gratuit de 7 Go publié sur un canal Telegram le 2 août 2026 — 5 871 dossiers, un par machine infectée, répartis dans 162 pays — à l'aide d'expressions régulières personnalisées et de l'outil open source d'analyse de secrets TruffleHog. Sur 44 791 jetons Web JSON uniques dans le vidage, 555 ont été identifiés comme probablement liés à l'authentification de services d'IA. Une recherche distincte a trouvé 2 937 objets de chiffrement Web JSON liés à l'authentification, dont la plupart définis par OpenAI à l'aide de NextAuth.js, et 1 843 JWT et JWE de toutes sortes étaient encore non expirés le jour de la publication.

Les décomptes par fournisseur sont la partie qui se transforme en un chiffre sur lequel une équipe de sécurité peut agir. Anthropic représentait 561 jetons de session uniques répartis sur 404 machines distinctes, dont 164 n’avaient pas expiré ; Cursor en représentait 32 sur 26 machines, dont 16 n’avaient pas expiré. Google et Microsoft dominent le tableau avec 9 829 et 2 491 jetons, mais Okta note que ces totaux passent par des passerelles d’authentification unique et couvrent l’ensemble de la base de comptes de chaque fournisseur ; ils ne constituent donc pas une mesure de l’exposition spécifique à l’IA. TruffleHog a également renvoyé 24 clés API encore valides sur quatre services de modèles liés à l’IA — la catégorie qu’Okta décrit comme un identifiant qu’un acheteur peut utiliser pour exécuter une inférence sur la facture de quelqu’un d’autre. Jeremy Kirk, directeur du renseignement sur les menaces chez Okta, a expliqué le mécanisme sans détour : les jetons de session et les clés API sont recherchés « parce qu’il est souvent possible de rejouer ces secrets et de contourner l’authentification fondée sur les identifiants ».

Okta se montre prudent quant à ce que ce dump prouve. Il déclare « n'avoir observé aucune preuve de sessions Okta volées dans ce dump de données », et un jeton volé échoue de toute façon là où une organisation applique une liste d'adresses IP autorisées. Les chiffres financiers de son introduction — une facture de près de 1 million de dollars pour une organisation, 600 000 dollars de crédits d'IA perdus par une organisation de test d'IA à cause d'une clé API volée — sont cités comme des cas distincts, déjà rapportés, et non comme des dommages issus de ce jeu de données. La note de recherche de la Cloud Security Alliance du 11 septembre 2026 formule explicitement la même remarque : l'analyse d'Okta décrit les jetons présents dans un dump criminel et leur rejouabilité théorique, ne prétend pas avoir mesuré combien ont réellement été exploités, et n'attribue pas de violation spécifique au dump.

La demande est également corroborée par des sources extérieures à Okta. The Hacker News a rapporté le 9 septembre 2026 qu’Okta avait signalé des annonces Telegram vendant un accès à tarif réduit à des comptes Claude, Cursor, ChatGPT et Gemini avec une assistance 24 h/24 et 7 j/7 et des garanties de remboursement, et qu’un service se présentant sous le nom de Poison Claude faisait la promotion de l’accès à Opus 4.6, 4.7 et 4.8 ainsi qu’à Sonnet 4.6 d’Anthropic. Gizmodo a couvert le même marché le 10 septembre 2026. The Hacker News a également relayé l’évaluation du Google Threat Intelligence Group selon laquelle le coût de l’accès aux modèles premium alimente « le ciblage, l’exfiltration et la vente accrus de comptes d’IA au sein des communautés cybercriminelles », et a décrit une mission de réponse à incident de Mandiant dans laquelle un acteur malveillant a utilisé un jeton d’accès personnel GitHub exposé pour déployer une infrastructure d’IA non autorisée.

Ce que le dossier établit bel et bien, et ce qu’aucune source citée ne tranche

Établi, et affirmé comme tel par les sources : les voleurs d’informations courants ont ajouté des chemins d’agents de codage IA aux règles de collecte gérées à distance dans plusieurs familles et deux systèmes d’exploitation ; les répertoires locaux peuvent contenir des jetons, des identifiants MCP, des historiques et des métadonnées de projet ; et un important dump gratuit contenait bien des éléments d’authentification non expirés pour des services d’IA, notamment 164 jetons de session Anthropic non expirés et 24 clés API valides.

• Non établi : qu’une quelconque de ces règles ait produit une prise de contrôle de compte confirmée. Ni Gen Digital ni Okta ne signalent de victime dont le compte aurait été pénétré au moyen d’un jeton volé issu de ces collections précises, et le real_harm false de l’archive reflète cette lacune plutôt qu’un déni de la possibilité d’un préjudice.

• Non établi : combien de développeurs ont été affectés. Les chiffres d’Amatera et de Remus de Gen Digital correspondent à des détections parmi les utilisateurs protégés, peuvent se chevaucher et ne constituent pas des infections ; les chiffres d’Okta décrivent un seul dump de 7 Go, et non le marché dans son ensemble.

• Non établi : quels agents stockent quoi, par défaut. Les deux rapports soulignent que les chemins, les fichiers et les protections diffèrent selon le produit, le système d’exploitation et la configuration de l’utilisateur, de sorte qu’aucun agent ne peut être disculpé sur la base de ce constat — la réponse de Gen Digital consiste à inventorier ce qui est stocké localement avant de supposer qu’un produit est sûr.

• Non établi : ce que chaque fournisseur d’agents a modifié. Aucun des deux rapports ne décrit de modification produit apportée en réponse, et aucun ne dit qu’un fournisseur a été notifié. Les seules mesures d’atténuation côté produit évoquées sont génériques — des magasins d’identifiants du système d’exploitation, des jetons à portée limitée et de courte durée de vie, ainsi que des contrôles de conservation que Gen Digital estime devoir provenir des outils eux-mêmes.

Corrigé après publication : la note de la Cloud Security Alliance comporte une révision en version 1.1 datée du 11 septembre 2026, qui, selon elle, corrige un problème de gonflement d'échelle dans lequel les décomptes de jetons de connexion à l'échelle de l'écosystème de Google et de Microsoft avaient été présentés comme une exposition propre à l'IA sans la réserve formulée par Okta elle-même, ainsi qu'une citation mal rattachée et deux références dont l'activité n'a pas pu être confirmée.

Ce qui a changé par la suite : des rotations, pas des réinitialisations de mots de passe

La réponse sur laquelle convergent les deux rapports est un changement de réponse aux incidents plutôt qu’un correctif. Les recommandations de Gen Digital sont de traiter un fichier d’authentification local comme un mot de passe, de privilégier le trousseau ou le porte-clés du système d’exploitation lorsque le produit propose ce choix, de garder les secrets hors des invites, de n’accorder aux intégrations MCP que les autorisations dont elles ont besoin et, après une infection par un infostealer, de travailler depuis un appareil propre pour révoquer les sessions des services d’IA et renouveler les clés API et les identifiants MCP. Sa formulation la plus directe est que « changer uniquement les mots de passe du navigateur ne suffit plus » et que l’authentification multifacteur peut ne pas empêcher l’abus d’un jeton de session déjà volé.

Les contrôles d’Okta sont le complément côté identité : plafonds d’utilisation et listes d’autorisation d’IP sur les clés API, flux OAuth 2.0 qui émettent des jetons d’accès de courte durée à partir d’un jeton de rafraîchissement conservé dans un trousseau de clés, surveillance de la réutilisation des jetons de session, et Device-Bound Session Credentials, qui lient cryptographiquement une session à un appareil. Okta note que DBSC n’en est qu’à ses débuts — les services doivent l’implémenter côté serveur — et que Chrome 145 pour Windows, publié en mars 2026, peut le prendre en charge. Il consigne également que l’App-Bound Encryption de Google, introduite en 2024 pour chiffrer les données du navigateur, a été contournée assez rapidement par les développeurs de logiciels de vol de données. La Cloud Security Alliance tire la conclusion opérationnelle que c’est la révocation des jetons, et non la réinitialisation du mot de passe, qui ferme une session active volée.

L’enregistrement reste là où ses champs le placent : une découverte de recherche de gravité moyenne, de confiance A, incontestée, sans préjudice réel consigné et avec un seul jour de publication derrière elle. Ce qui justifie de le conserver, c’est l’asymétrie qu’il documente — le coût d’ajouter un autre agent à une liste de collecte est une mise à jour de configuration, tandis que le coût de savoir quels agents, sur quelles machines, détiennent des identifiants réutilisables est un inventaire que la plupart des organisations n’ont pas réalisé.