Gli infostealer puntano ai dati degli agenti AI: le regole di raccolta ora prendono di mira Claude, Cursor e Codex

L'8 settembre 2026 Gen Digital ha pubblicato un'analisi delle regole di raccolta degli information-stealer e ha rilevato che l'elenco degli obiettivi si è arricchito di una nuova voce: i dati locali degli agenti di coding basati sull'IA. In una finestra di tre mesi la sua telemetria Windows ha registrato rilevamenti di Amatera e Remus tra decine di migliaia di utenti Windows protetti — stealer i cui file di regole ora raggiungono le directory di Cline, Continue, Claude di Anthropic, Cursor e OpenCode. CallbackBeaver ha aggiunto Claude e Cursor al proprio ambito di raccolta ed è stato osservato in oltre 5.000 campioni in un periodo di 30 giorni. Ciò che viene sottratto non sono le preferenze, ma l'accesso e il contesto: token di accesso e di refresh, credenziali contenute nelle configurazioni del Model Context Protocol, cronologie dei prompt, database delle conversazioni e una mappa dei progetti su cui stava lavorando uno sviluppatore. Non è coinvolta alcuna nuova vulnerabilità — lo stealer è già in esecuzione quando arriva la nuova regola, e il valore si è spostato in file locali prevedibili. Questo resoconto si basa sul rapporto di Gen Digital, sull'analisi di Okta relativa a un dump di log rubati pubblicato lo stesso giorno e sulla nota di ricerca della Cloud Security Alliance, e l'archivio degli incidenti IA contiene questa voce accanto alle sue vicine, ciascuna con le proprie fonti, il proprio livello di gravità e il proprio grado di affidabilità.

L'archivio registra la voce come una scoperta di ricerca anziché come un evento di deployment: kind research, severity medium, confidence A, disputed false, real_harm false, region GLOBAL, con tag CRED ed EXFIL, e una data precisa al giorno dell'8 settembre 2026. Quello è il giorno in cui Gen Digital ha pubblicato, non il giorno in cui è stata infettata una particolare macchina, e nessuno dei due report fornisce una data di infezione per le regole stesse. Vale la pena leggere con attenzione il campo real_harm. Nulla nella voce o nelle sue fonti descrive una compromissione dell'account confermata e ricondotta a queste regole di raccolta; ciò che è documentato è capacità ed esposizione, il che contribuisce a spiegare perché la voce è classificata media anziché alta.

Nessuna nuova falla: lo stealer è già in esecuzione quando arriva la regola

Gen Digital è esplicita nel precisare che non sta descrivendo una vulnerabilità. Le sue conclusioni «non indicano un nuovo modo di compromettere il dispositivo né una vulnerabilità in un modello o in un agente di IA», si legge nel rapporto; l'information stealer è già in esecuzione, e ciò che è cambiato è «la concentrazione di informazioni preziose in posizioni prevedibili, talvolta in chiaro, e la facilità con cui tali posizioni possono essere aggiunte a un elenco di raccolta esistente».

Quella facilità è il meccanismo. Molti stealer ricevono regole di raccolta gestite da remoto che specificano directory, nomi di file, estensioni, database, profondità di ricerca o limiti di dimensione dei file, così un operatore che scopre dove un agente conserva i suoi token può aggiungere un altro percorso senza ricostruire o ridistribuire il malware — e la regola aggiornata raggiunge installazioni già presenti su macchine compromesse. Gen Digital aggiunge due avvertenze: l'approccio non si applica a ogni stealer, e alcuni strumenti richiedono parsing o decifratura specifici del prodotto anziché una voce di percorso. Il suo avvertimento pratico riguarda la forma delle prove: se oggi un importante stealer non raccoglie un particolare agente, tale assenza è un'istantanea, «non una prova che l'agente rimarrà fuori dall'ambito di raccolta».

Quale famiglia raggiunge quale agente

Le due famiglie con telemetria a supporto sono Amatera, che prende di mira i dati associati a Cline e Continue, e Remus, che prende di mira Claude, Cursor e OpenCode. Gen Digital afferma che le cifre per entrambe «potrebbero sovrapporsi e descrivere rilevamenti anziché infezioni riuscite» — una distinzione che conta quando si leggono i numeri come misura di quanti sviluppatori siano stati effettivamente derubati. Attorno a loro si collocano le famiglie che fanno apparire il comportamento come una tendenza anziché un esperimento: BeeStealer, STG Stealer, HydraStealer, APEX Stealer e Otter Stealer, che il rapporto classifica come a bassa prevalenza, e Djinn Stealer, che mostra lo stesso comportamento su macOS ed è associato alla raccolta di dati da Claude, Codex, Gemini, Cline, OpenCode e Kilo.

La sintesi di Gen Digital stessa sul ritmo è che i dati degli agenti AI comparivano «nelle regole di raccolta di un altro stealer quasi ogni giorno». Per dare la misura, colloca il targeting all'interno di un problema molto più vecchio: nel primo semestre del 2026 la sua telemetria ha registrato rilevamenti di infostealer tra oltre 3,3 milioni di utenti protetti unici, con il dato mensile costantemente superiore a 500.000. Questi totali coprono tutte le famiglie di infostealer, non quelle note per toccare i dati degli agenti AI, quindi misurano il bacino in cui si stanno diffondendo le nuove regole più che la portata delle nuove regole.

Quello che viene fuori è un refresh token e una mappa della codebase

Il report suddivide ciò che contiene una directory dell'agente in due categorie, e questa suddivisione è il punto essenziale della conclusione. La prima è l'accesso: alcuni agenti memorizzano localmente nella cache token di accesso o credenziali di login, così che l'utente non debba autenticarsi di nuovo a ogni sessione. Un token di accesso può essere utilizzabile fino alla scadenza; un refresh token può talvolta essere scambiato con nuovi token di accesso e prolungare la finestra. Gen Digital è prudente sui limiti — l'esito «dipende dall'ambito, dalla durata e dai controlli propri del servizio, per cui rubare un file non garantisce un accesso duraturo» — pur rilevando che il file «può comunque essere sensibile quanto un archivio di password».

La seconda categoria è il contesto, ed è per questo che non si tratta semplicemente di una storia di credenziali. I prompt e le trascrizioni possono contenere codice sorgente proprietario, nomi di repository, hostname interni e segreti incollati per la risoluzione dei problemi; una trascrizione può fornire a un attaccante la struttura di una base di codice, le debolezze note e le persone coinvolte, che il rapporto descrive come attività di ricognizione "che un attaccante altrimenti impiegherebbe giorni a raccogliere". Quando uno sviluppatore ha utilizzato un assistente su una proof of concept riservata, la cronologia può esporre un'invenzione non brevettata. La sintesi di Gen Digital della combinazione è che un singolo archivio può contenere "sia i mezzi per accedere a un account sia il contesto necessario per capire cosa c'è di valore dietro di esso".

Le configurazioni del Model Context Protocol si collocano tra le due categorie. Possono contenere endpoint, header, variabili d'ambiente e chiavi API e, quando i segreti riutilizzabili sono archiviati localmente, la compromissione può raggiungere i sistemi di controllo del codice sorgente, le piattaforme di ticketing, i database o i servizi cloud a cui l'agente era connesso. Il rapporto non esagera: alcune integrazioni utilizzano credenziali a breve scadenza, archiviazione protetta dal sistema operativo o un flusso di autorizzazione interattivo, perciò una configurazione rubata non sblocca automaticamente tutto ciò che menziona.

Okta ha conteggiato il lato acquirente dello stesso mercato

Il team di threat intelligence di Okta ha affrontato lo stesso problema dall'altro lato, e anche il suo rapporto riporta un timestamp di pubblicazione dell'8 settembre 2026. Ha analizzato un dump di log gratuito da 7 GB pubblicato su un canale Telegram il 2 agosto 2026 — 5.871 cartelle, una per macchina infetta, distribuite in 162 paesi — usando espressioni regolari personalizzate e lo scanner di segreti open source TruffleHog. Dei 44.791 JSON Web Token univoci nel dump, 555 sono stati identificati come probabilmente legati all'autenticazione dei servizi AI. Una ricerca separata ha trovato 2.937 oggetti JSON Web Encryption relativi all'autenticazione, la maggior parte impostati da OpenAI tramite NextAuth.js, e 1.843 tra JWT e JWE di ogni tipo erano ancora non scaduti il giorno del rilascio.

I conteggi per provider sono la parte che diventa un numero su cui un team di sicurezza può agire. Anthropic totalizzava 561 token di sessione univoci su 404 macchine distinte, di cui 164 non erano scaduti; Cursor ne totalizzava 32 su 26 macchine, di cui 16 non erano scaduti. Google e Microsoft dominano la tabella con 9.829 e 2.491 token, ma Okta osserva che tali totali passano attraverso gateway di single sign-on e coprono l'intera base di account di ciascun vendor, quindi non sono una misura dell'esposizione specifica all'IA. TruffleHog ha inoltre restituito 24 chiavi API ancora valide su quattro servizi di modelli legati all'IA — la categoria che Okta descrive come una credenziale che un acquirente può usare per eseguire inferenza a spese di qualcun altro. Jeremy Kirk, director of threat intelligence di Okta, ha spiegato il meccanismo senza giri di parole: i token di sessione e le chiavi API sono ricercati «perché spesso è possibile eseguire il replay di questi segreti e aggirare l'autenticazione basata sulle credenziali».

Okta è prudente su ciò che il dump dimostra. Afferma di "non aver osservato prove di sessioni Okta rubate in questo dump di dati", e un token rubato non funziona comunque laddove un'organizzazione applica l'allowlisting IP. Le cifre finanziarie nella sua introduzione — una fattura di quasi 1 milione di dollari per un'organizzazione, 600.000 dollari in crediti AI persi da un'organizzazione di test AI a causa di una chiave API rubata — sono citate come casi separati, già segnalati in precedenza, non come danni riconducibili a questo dataset. La nota di ricerca del Cloud Security Alliance dell'11 settembre 2026 sottolinea esplicitamente lo stesso punto: l'analisi di Okta descrive i token presenti in un dump criminale e la loro riproducibilità teorica, non afferma di aver misurato quanti siano stati effettivamente sfruttati e non attribuisce al dump una violazione specifica.

Anche dall'esterno di Okta il lato della domanda trova conferma. The Hacker News ha riportato il 9 settembre 2026 che Okta aveva segnalato annunci su Telegram che vendevano accesso a prezzo scontato ad account Claude, Cursor, ChatGPT e Gemini con supporto 24/7 e garanzie di rimborso, e che un servizio che si presentava con il nome Poison Claude pubblicizzava l'accesso a Opus 4.6, 4.7 e 4.8 e a Sonnet 4.6 di Anthropic. Gizmodo ha trattato lo stesso mercato il 10 settembre 2026. The Hacker News ha anche riportato la valutazione di Google Threat Intelligence Group secondo cui il costo dell'accesso ai modelli premium sta alimentando «un aumento delle attività di targeting, dell'esfiltrazione e della vendita di account AI nelle comunità cybercriminali», e ha descritto un intervento di risposta agli incidenti di Mandiant in cui un attore delle minacce ha utilizzato un token di accesso personale GitHub esposto per implementare un'infrastruttura AI non autorizzata.

Ciò che il fascicolo stabilisce, e ciò che nessuna fonte citata chiarisce

Stabilito, e dichiarato come tale dalle fonti: gli stealer commodity hanno aggiunto percorsi degli agenti di codifica AI alle regole di raccolta gestite remotamente in diverse famiglie e due sistemi operativi; le directory locali possono contenere token, credenziali MCP, cronologie e metadati di progetto; e un grande dump gratuito conteneva materiale di autenticazione non scaduto per servizi AI, inclusi 164 token di sessione Anthropic non scaduti e 24 chiavi API valide.

• Non stabilito: che una qualsiasi di queste regole abbia prodotto una compromissione dell'account confermata. Né Gen Digital né Okta segnalano una vittima il cui account sia stato accesso con un token rubato da queste specifiche raccolte, e il valore false di real_harm nell'archivio riflette tale lacuna anziché una negazione che il danno sia possibile.

• Non stabilito: quanti sviluppatori siano stati colpiti. I numeri di Amatera e Remus di Gen Digital sono rilevamenti tra gli utenti protetti, possono sovrapporsi e non rappresentano infezioni; i conteggi di Okta descrivono un singolo dump da 7 GB, non il mercato.

• Non stabilito: quali agenti memorizzano cosa, per impostazione predefinita. Entrambi i rapporti sottolineano che percorsi, file e protezioni variano in base al prodotto, al sistema operativo e alla configurazione dell'utente, quindi nessun singolo agente può essere scagionato da questo documento — la risposta di Gen Digital è inventariare ciò che è memorizzato localmente prima di dare per scontato che un prodotto sia sicuro.

• Non stabilito: quali modifiche abbia apportato qualsiasi fornitore di agenti. Nessuno dei due rapporti descrive una modifica del prodotto apportata in risposta e nessuno dei due afferma che un fornitore sia stato notificato. Le uniche mitigazioni lato prodotto discusse sono generiche: archivi di credenziali del sistema operativo, token con ambito e durata breve e controlli di conservazione che Gen Digital sostiene dovrebbero provenire dagli strumenti stessi.

• Corretto dopo la pubblicazione: la nota della Cloud Security Alliance riporta una revisione, la versione 1.1, datata 11 settembre 2026, con la quale — si afferma — è stato risolto un problema di gonfiaggio della scala, per cui i conteggi dei token di sign-on a livello dell'intero ecosistema di Google e Microsoft erano stati presentati come esposizione specifica all'AI senza l'avvertenza della stessa Okta, insieme a una citazione attribuita erroneamente e a due riferimenti che non è stato possibile confermare come attivi.

Cosa è cambiato dopo: rotazioni, non reimpostazioni delle password

La conclusione su cui convergono entrambi i rapporti è un cambiamento nella risposta agli incidenti, non una patch. La guida di Gen Digital è trattare un file di autenticazione locale come una password, preferire il portachiavi o il keyring del sistema operativo quando il prodotto offre la scelta, tenere i segreti fuori dai prompt, concedere alle integrazioni MCP solo le autorizzazioni necessarie e, dopo un'infezione da stealer, operare da un dispositivo pulito per revocare le sessioni dei servizi AI e ruotare le chiavi API e le credenziali MCP. L'affermazione più diretta è che "cambiare solo le password del browser non basta più" e che l'autenticazione a più fattori potrebbe non impedire l'abuso di un token di sessione già rubato.

I controlli di Okta sono il complemento sul fronte identità: limiti di utilizzo e allowlisting IP sulle chiavi API, flussi OAuth 2.0 che emettono token di accesso di breve durata a partire da un refresh token custodito in un portachiavi, monitoraggio del riutilizzo dei token di sessione e Device-Bound Session Credentials, che legano crittograficamente una sessione a un dispositivo. Okta osserva che DBSC è in una fase iniziale — i servizi devono implementarlo lato server — e che Chrome 145 for Windows, rilasciato a marzo 2026, può supportarlo. Registra inoltre che Google's App-Bound Encryption, introdotta nel 2024 per crittografare i dati del browser, è stata aggirata abbastanza rapidamente dagli sviluppatori di stealer. Il Cloud Security Alliance trae la conclusione operativa che è la revoca dei token, non il reset della password, a chiudere una sessione attiva rubata.

Il record resta dove lo collocano i suoi campi: un risultato di ricerca di gravità media, confidenza A, indiscusso, senza alcun danno reale registrato e con un solo giorno di pubblicazione alle spalle. Ciò che lo rende degno di essere conservato è l'asimmetria che documenta: il costo di aggiungere un altro agente a un elenco di raccolta è un singolo aggiornamento di configurazione, mentre il costo di sapere quali agenti su quali macchine detengono credenziali riutilizzabili è un inventario che la maggior parte delle organizzazioni non ha redatto.