Infostealer beralih ke data agen AI: aturan pengumpulan kini menyasar Claude, Cursor, dan Codex

Pada 8 September 2026, Gen Digital menerbitkan analisis atas aturan pengumpulan infostealer dan menemukan bahwa daftar target kini bertambah satu baris baru: data lokal agen coding AI. Dalam rentang tiga bulan, telemetri Windows-nya mencatat deteksi Amatera dan Remus di antara puluhan ribu pengguna Windows yang terlindungi — infostealer yang file aturannya kini menjangkau direktori Cline, Continue, Claude milik Anthropic, Cursor, dan OpenCode. CallbackBeaver menambahkan Claude dan Cursor ke cakupan pengumpulannya dan teramati pada lebih dari 5.000 sampel dalam periode 30 hari. Yang diambil bukan preferensi, melainkan akses dan konteks: token akses dan refresh, kredensial yang tersimpan dalam konfigurasi Model Context Protocol, riwayat prompt, basis data percakapan, dan peta proyek yang sedang dikerjakan seorang pengembang. Tidak ada kerentanan baru yang terlibat — infostealer sudah berjalan saat aturan baru tiba, dan nilainya telah berpindah ke file lokal yang dapat diprediksi. Uraian ini bertumpu pada laporan Gen Digital, analisis Okta atas dump log yang dicuri yang diterbitkan pada hari yang sama, dan catatan riset Cloud Security Alliance, dan arsip insiden AI memuat entri ini bersama entri-entri di sekitarnya, masing-masing dengan sumber, tingkat keparahan, dan tingkat keyakinan sendiri.

Arsip mencatat rekaman ini sebagai temuan riset, bukan peristiwa penerapan: kind research, severity medium, confidence A, disputed false, real_harm false, region GLOBAL, bertag CRED dan EXFIL, dengan tanggal yang presisi hingga hari, 8 September 2026. Itu adalah hari Gen Digital memublikasikan, bukan hari mesin tertentu terinfeksi, dan tidak ada dari kedua laporan itu yang memberikan tanggal infeksi untuk aturan tersebut. Field real_harm layak dibaca dengan perlahan. Tidak ada dalam catatan atau sumbernya yang menjelaskan pengambilalihan akun terkonfirmasi yang ditelusuri kembali ke aturan pengumpulan ini; yang didokumentasikan adalah kapabilitas dan eksposur, yang menjadi sebagian alasan entri ini dinilai medium, bukan high.

Tidak ada celah baru: stealer sudah berjalan saat aturan itu tiba

Gen Digital menegaskan secara eksplisit bahwa pihaknya tidak sedang menjelaskan sebuah kerentanan. Temuannya "tidak menunjukkan cara baru untuk membobol perangkat atau kerentanan dalam model AI atau agen," demikian menurut laporan tersebut; infostealer sudah berjalan, dan yang berubah adalah "terkonsentrasinya informasi berharga di lokasi yang dapat diprediksi, kadang-kadang dalam plaintext, serta mudahnya lokasi-lokasi tersebut ditambahkan ke daftar pengumpulan yang sudah ada."

Kemudahan itulah mekanismenya. Banyak stealer menerima aturan pengumpulan yang dikelola dari jarak jauh yang menentukan direktori, nama file, ekstensi, basis data, kedalaman pencarian, atau batas ukuran file, sehingga operator yang mengetahui tempat agen menyimpan tokennya dapat menambahkan jalur lain tanpa membangun ulang atau mendistribusikan ulang malware — dan aturan yang diperbarui menjangkau instalasi yang sudah berada di mesin yang terkompromi. Gen Digital melampirkan dua peringatan pada hal itu: pendekatan tersebut tidak berlaku untuk setiap stealer, dan beberapa alat memerlukan penguraian atau dekripsi khusus produk, bukan entri jalur. Peringatan praktisnya adalah tentang bentuk buktinya — jika stealer besar tidak mengumpulkan agen tertentu saat ini, ketiadaan itu adalah cuplikan, "bukan sebagai bukti bahwa agen tersebut akan tetap berada di luar cakupan pengumpulan."

Keluarga mana yang menjangkau agen mana

Dua keluarga yang memiliki telemetri di baliknya adalah Amatera, yang menyasar data terkait Cline dan Continue, dan Remus, yang menyasar Claude, Cursor, dan OpenCode. Gen Digital mengatakan angka untuk keduanya "mungkin tumpang tindih dan menggambarkan deteksi, bukan infeksi yang berhasil" — sebuah perbedaan yang penting ketika membaca angka tersebut sebagai ukuran berapa banyak pengembang yang benar-benar menjadi korban pencurian. Di sekitar mereka terdapat keluarga yang membuat perilaku ini tampak seperti tren, bukan eksperimen: BeeStealer, STG Stealer, HydraStealer, APEX Stealer, dan Otter Stealer, yang oleh laporan diklasifikasikan sebagai prevalensi lebih rendah, serta Djinn Stealer, yang menunjukkan perilaku sama di macOS dan dikaitkan dengan pengumpulan data dari Claude, Codex, Gemini, Cline, OpenCode, dan Kilo.

Ringkasan Gen Digital sendiri tentang laju tersebut adalah bahwa data agen AI muncul "dalam aturan pengumpulan stealer lain hampir setiap hari." Untuk memberi gambaran skala, mereka menempatkan penyasaran itu dalam masalah yang jauh lebih lama: selama paruh pertama 2026, telemetrinya mencatat deteksi infostealer di antara lebih dari 3,3 juta pengguna terlindungi yang unik, dengan angka bulanan secara konsisten di atas 500.000. Total tersebut mencakup semua keluarga infostealer, bukan hanya yang diketahui menyentuh data agen AI, sehingga angka itu mengukur kumpulan yang menjadi tempat penyebaran aturan baru, bukan jangkauan aturan baru tersebut.

Yang dihasilkan adalah token refresh dan peta basis kode.

Laporan itu membagi apa yang disimpan direktori agen ke dalam dua kategori, dan pembagian itulah inti temuannya. Yang pertama adalah akses: sebagian agen menyimpan cache token akses atau detail login secara lokal agar pengguna tidak perlu melakukan autentikasi ulang setiap sesi. Token akses dapat digunakan hingga kedaluwarsa; token refresh terkadang dapat ditukar dengan token akses baru dan memperpanjang jendela waktu. Gen Digital berhati-hati soal batasannya — hasilnya "bergantung pada cakupan token, masa aktifnya, dan kontrol layanan itu sendiri, sehingga mencuri sebuah file tidak menjamin akses yang bertahan lama" — sambil mencatat bahwa file tersebut "tetap bisa sama sensitifnya dengan penyimpan kata sandi."

Kategori kedua adalah konteks, dan itulah sebabnya ini bukan sekadar kisah kredensial. Prompt dan transkrip dapat menyimpan kode sumber eksklusif, nama repositori, nama host internal, dan rahasia yang ditempelkan untuk pemecahan masalah; sebuah transkrip dapat memberi penyerang struktur basis kode, kelemahan yang diketahui, dan orang-orang yang terlibat, yang oleh laporan digambarkan sebagai pengintaian "yang biasanya memerlukan waktu berhari-hari untuk dikumpulkan penyerang." Ketika seorang pengembang menggunakan asisten pada proof of concept yang bersifat rahasia, riwayatnya dapat mengungkap invensi yang belum dipatenkan. Ringkasan Gen Digital tentang kombinasi tersebut adalah bahwa satu arsip dapat membawa "baik sarana untuk mengakses akun maupun konteks yang diperlukan untuk memahami apa yang bernilai di baliknya."

Konfigurasi Model Context Protocol berada di antara kedua kategori tersebut. Konfigurasi ini dapat berisi endpoint, header, variabel lingkungan, dan kunci API, dan ketika rahasia yang dapat digunakan kembali disimpan secara lokal, kompromi tersebut dapat menjangkau kontrol sumber, platform tiket, basis data, atau layanan cloud yang terhubung dengan agen. Laporan tersebut tidak melebih-lebihkan hal ini: beberapa integrasi menggunakan kredensial berumur pendek, penyimpanan yang dilindungi OS, atau alur otorisasi interaktif, sehingga konfigurasi yang dicuri tidak serta-merta membuka akses ke semua yang tercantum di dalamnya.

Okta menghitung sisi pembeli dari pasar yang sama

Tim intelijen ancaman Okta menggarap masalah yang sama dari sisi sebaliknya, dan laporannya juga mencantumkan stempel waktu terbit 8 September 2026. Tim ini menganalisis dump log gratis berukuran 7 GB yang diposting ke kanal Telegram pada 2 Agustus 2026 — 5.871 folder, satu per mesin terinfeksi, tersebar di 162 negara — menggunakan ekspresi reguler khusus dan pemindai rahasia sumber terbuka TruffleHog. Dari 44.791 JSON Web Token unik dalam dump tersebut, 555 diidentifikasi kemungkinan terkait dengan autentikasi layanan AI. Pencarian terpisah menemukan 2.937 objek JSON Web Encryption terkait autentikasi, yang sebagian besar ditetapkan oleh OpenAI menggunakan NextAuth.js, dan 1.843 JWT serta JWE dari semua jenis masih belum kedaluwarsa pada hari rilis.

Jumlah per penyedia adalah bagian yang menjadi angka yang dapat ditindaklanjuti oleh tim keamanan. Anthropic mencakup 561 token sesi unik di 404 mesin berbeda, yang 164 di antaranya belum kedaluwarsa; Cursor mencakup 32 token di 26 mesin, yang 16 di antaranya belum kedaluwarsa. Google dan Microsoft mendominasi tabel dengan 9.829 dan 2.491 token, tetapi Okta mencatat bahwa total tersebut melewati gateway single sign-on dan mencakup seluruh basis akun masing-masing vendor, sehingga bukan ukuran eksposur khusus AI. TruffleHog juga mengembalikan 24 kunci API yang masih valid di empat layanan model terkait AI — kategori yang Okta gambarkan sebagai kredensial yang dapat digunakan pembeli untuk menjalankan inferensi dengan tagihan orang lain. Jeremy Kirk, direktur intelijen ancaman Okta, menjelaskan mekanismenya secara gamblang: token sesi dan kunci API dicari "karena sering kali memungkinkan untuk memutar ulang rahasia tersebut dan melewati autentikasi berbasis kredensial."

Okta berhati-hati tentang apa yang dibuktikan oleh dump data tersebut. Okta menyatakan bahwa pihaknya "tidak menemukan bukti adanya sesi Okta yang dicuri dalam dump data ini", dan token yang dicuri tetap gagal di organisasi yang menerapkan allowlisting IP. Angka-angka keuangan dalam pendahuluannya — tagihan hampir $1 million untuk satu organisasi, $600,000 kredit AI yang hilang oleh organisasi pengujian AI melalui kunci API yang dicuri — dikutip sebagai kasus terpisah yang telah dilaporkan sebelumnya, bukan sebagai kerugian dari kumpulan data ini. Catatan riset Cloud Security Alliance tanggal 11 September 2026 menyatakan hal yang sama secara eksplisit: analisis Okta menjelaskan token yang ada dalam dump kriminal dan kemampuan teoretisnya untuk diputar ulang, tidak mengklaim telah mengukur berapa banyak yang benar-benar dieksploitasi, dan tidak mengaitkan pelanggaran keamanan tertentu dengan dump tersebut.

Sisi permintaan juga dikuatkan dari luar Okta. The Hacker News melaporkan pada 9 September 2026 bahwa Okta telah menandai listing Telegram yang menjual akses diskon ke akun Claude, Cursor, ChatGPT, dan Gemini dengan dukungan 24/7 dan jaminan uang kembali, serta bahwa layanan yang menamai dirinya Poison Claude mengiklankan akses ke Opus 4.6, 4.7, dan 4.8 serta Sonnet 4.6 milik Anthropic. Gizmodo meliput pasar yang sama pada 10 September 2026. The Hacker News juga memuat penilaian Google Threat Intelligence Group bahwa biaya akses model premium mendorong "peningkatan penargetan, eksfiltrasi, dan penjualan akun AI di komunitas kejahatan siber," dan menggambarkan keterlibatan respons insiden Mandiant di mana aktor ancaman menggunakan token akses pribadi GitHub yang terekspos untuk menerapkan infrastruktur AI tanpa otorisasi.

Apa yang memang ditetapkan oleh catatan, dan apa yang tidak diselesaikan oleh sumber mana pun yang dikutip

Terdokumentasi, dan dinyatakan demikian oleh sumber-sumber: stealer komoditas telah menambahkan jalur agen coding AI ke aturan pengumpulan yang dikelola secara remote di beberapa keluarga dan dua sistem operasi; direktori lokal dapat menyimpan token, kredensial MCP, riwayat, dan metadata proyek; dan dump gratis berukuran besar memang berisi materi autentikasi yang belum kedaluwarsa untuk layanan AI, termasuk 164 token sesi Anthropic yang belum kedaluwarsa dan 24 kunci API yang valid.

• Tidak terbukti: bahwa salah satu aturan ini menghasilkan pengambilalihan akun yang terkonfirmasi. Baik Gen Digital maupun Okta tidak melaporkan korban yang akunnya dimasuki dengan token curian dari koleksi spesifik ini, dan nilai real_harm false pada arsip mencerminkan celah tersebut, bukan penyangkalan bahwa kerugian mungkin terjadi.

• Belum dapat dipastikan: berapa banyak pengembang yang terdampak. Angka Amatera dan Remus dari Gen Digital adalah deteksi di antara pengguna yang dilindungi, dapat tumpang tindih, dan bukan infeksi; jumlah Okta menggambarkan satu dump 7 GB, bukan keseluruhan pasar.

• Belum dapat dipastikan: agen mana menyimpan apa, secara bawaan. Kedua laporan menekankan bahwa jalur, file, dan perlindungan berbeda menurut produk, sistem operasi, dan konfigurasi pengguna, sehingga tidak ada satu agen pun yang dapat dinyatakan bersih dari catatan ini — jawaban Gen Digital adalah menginventarisasi apa yang tersimpan secara lokal sebelum menganggap produk apa pun aman.

• Tidak terbukti: apa yang diubah oleh vendor agen mana pun. Tidak ada laporan yang menjelaskan perubahan produk yang dilakukan sebagai respons, dan tidak ada pula yang menyatakan bahwa vendor telah diberi tahu. Satu-satunya mitigasi di sisi produk yang dibahas bersifat generik — penyimpanan kredensial OS, token berlingkup berumur pendek, dan kontrol retensi yang menurut Gen Digital seharusnya berasal dari alat itu sendiri.

• Dikoreksi setelah publikasi: catatan Cloud Security Alliance memuat revisi versi 1.1 bertanggal 11 September 2026, yang menurutnya memperbaiki masalah penggelembungan skala ketika jumlah token sign-on seluruh ekosistem Google dan Microsoft disajikan sebagai eksposur khusus AI tanpa peringatan dari Okta sendiri, bersama dengan sitasi yang salah dipasang dan dua referensi yang tidak dapat dipastikan masih aktif.

Apa yang berubah setelahnya: rotasi, bukan reset kata sandi

Respons yang menjadi titik temu kedua laporan adalah perubahan dalam penanganan insiden, bukan patch. Panduan Gen Digital adalah memperlakukan file autentikasi lokal sebagai kata sandi, memilih keychain atau keyring sistem operasi jika produk menawarkan pilihan tersebut, menjaga rahasia tetap di luar prompt, memberikan integrasi MCP hanya izin yang diperlukan, dan — setelah infeksi stealer — bekerja dari perangkat bersih untuk mencabut sesi layanan AI serta merotasi kunci API dan kredensial MCP. Pernyataan paling blak-blakannya adalah bahwa "mengganti kata sandi browser saja tidak lagi cukup," dan bahwa autentikasi multifaktor mungkin tidak menghentikan penyalahgunaan token sesi yang telah dicuri.

Kontrol Okta adalah pelengkap di sisi identitas: batas penggunaan dan daftar izin IP pada kunci API, alur OAuth 2.0 yang menerbitkan token akses berumur pendek dari token refresh yang disimpan di keychain, pemantauan penggunaan ulang token sesi, dan Device-Bound Session Credentials, yang mengikat sesi ke perangkat secara kriptografis. Okta mencatat bahwa DBSC masih tahap awal — layanan harus mengimplementasikannya di sisi server — dan bahwa Chrome 145 for Windows, yang dirilis pada Maret 2026, dapat mendukungnya. Okta juga mencatat bahwa App-Bound Encryption dari Google, yang diperkenalkan pada 2024 untuk mengenkripsi data browser, dapat diakali oleh pengembang stealer dengan cukup cepat. Cloud Security Alliance menarik kesimpulan operasional bahwa pencabutan token, bukan reset kata sandi, yang menutup sesi aktif yang telah dicuri.

Catatan itu tetap pada posisinya sesuai field-nya: temuan riset dengan tingkat keparahan sedang, keyakinan A, tidak diperdebatkan, tanpa dampak nyata yang tercatat, dan baru sehari sejak dipublikasikan. Yang membuatnya layak dipertahankan adalah asimetri yang didokumentasikannya — biaya menambahkan agen lain ke daftar koleksi adalah satu pembaruan konfigurasi, sedangkan biaya untuk mengetahui agen mana di mesin mana yang menyimpan kredensial yang dapat digunakan kembali adalah inventaris yang belum pernah dibuat oleh sebagian besar organisasi.