情報窃取型マルウェアがAIエージェントのデータに狙いを定める：収集ルールがClaude、Cursor、Codexを標的に

2026年9月8日、Gen Digitalは情報窃取型マルウェアの収集ルールに関する分析を公開し、対象リストに新たな行が加わったことを明らかにした。それはAIコーディングエージェントのローカルデータである。3か月間の観測期間で、同社のWindowsテレメトリは数万人の保護対象Windowsユーザーの間でAmateraとRemusの検出を記録した。これらの窃取型マルウェアのルールファイルは現在、Cline、Continue、AnthropicのClaude、Cursor、OpenCodeのディレクトリにまで及んでいる。CallbackBeaverは収集範囲にClaudeとCursorを追加し、30日間で5,000件超のサンプルで確認された。奪われるのは設定ではなく、アクセス権とコンテキストである。アクセストークンとリフレッシュトークン、Model Context Protocolの設定内にある認証情報、プロンプト履歴、会話データベース、そして開発者が作業していたプロジェクトの一覧である。新たな脆弱性が関与しているわけではない。新しいルールが届く時点で窃取型マルウェアはすでに動作しており、価値ある情報は予測可能なローカルファイルへ移っている。本稿は、Gen Digitalの報告書、同日に公開された窃取ログダンプに関するOktaの分析、およびCloud Security Allianceのリサーチノートに基づいており、AIインシデントアーカイブはこの項目を隣接する項目と並べて収録しており、それぞれに独自の情報源、重大度、信頼度グレードがある。

アーカイブはこの記録を、展開イベントではなく研究上の知見として分類している。kind research、severity medium、confidence A、disputed false、real_harm false、region GLOBAL、タグは CRED と EXFIL、日付は2026年9月8日という日単位の精度である。これはGen Digitalが公開した日であり、特定のマシンが感染した日ではなく、どちらのレポートもルール自体の感染日を示していない。real_harmフィールドはゆっくり読む価値がある。記録にもその情報源にも、これらの収集ルールに遡って確認されたアカウント乗っ取りを記述したものはない。文書化されているのは能力と露出であり、それがこの項目がhighではなくmediumと評価されている理由の一部である。

新たな脆弱性はなし——ルールが届く時点で、窃取ツールはすでに稼働している

Gen Digitalは、自社が脆弱性を説明しているわけではないと明言している。報告書は、その調査結果は「デバイスを侵害する新たな方法や、AIモデルまたはエージェントにおける脆弱性を示すものではない」と述べている。情報窃取型マルウェアはすでに稼働しており、変化したのは「価値ある情報が予測可能な場所に、時に平文で集中していること、そしてそれらの場所を既存の収集リストに容易に追加できること」である。

その容易さこそが仕組みだ。多くのスティーラーは、ディレクトリ、ファイル名、拡張子、データベース、検索深度、ファイルサイズ制限などを指定するリモート管理の収集ルールを受け取る。したがって、エージェントがトークンをどこに保管しているかを知ったオペレーターは、マルウェアを再構築したり再配布したりせずに別のパスを追加でき、更新されたルールはすでに侵害されたマシン上のインストール環境にも届く。Gen Digitalはこれに2つの注意点を付け加えている。この手法はすべてのスティーラーに当てはまるわけではなく、一部のツールではパスの指定ではなく製品固有の解析や復号が必要だ。同社の実用的な警告は証拠の形に関するものだ。大手スティーラーが今日ある特定のエージェントを収集していないとしても、その不在はある時点のスナップショットであり、「そのエージェントが収集範囲外にとどまり続ける証拠ではない」。

どのファミリーがどのエージェントにまで及ぶのか

テレメトリに裏付けられた2つのファミリーは、ClineとContinueに関連するデータを標的とするAmateraと、Claude、Cursor、OpenCodeを標的とするRemusだ。Gen Digitalによれば、両者の数値は「重複する可能性があり、感染成功ではなく検出を示すものだ」としており、この区別は、実際に何人の開発者が被害に遭ったかの指標として数字を読む際に重要になる。その周囲には、この行為を実験ではなく傾向に見せるファミリーが並ぶ。報告書が低流行と分類するBeeStealer、STG Stealer、HydraStealer、APEX Stealer、Otter Stealer、そしてmacOSでも同じ行為を示し、Claude、Codex、Gemini、Cline、OpenCode、Kiloからの収集に関連付けられているDjinn Stealerである。

Gen Digital自身によるそのペースの要約は、AIエージェントのデータが「ほぼ毎日、別のスティーラーの収集ルールに現れていた」というものだ。規模を示すため、同社はこの標的化をはるかに古い問題の一部に位置づけている。2026年上半期、同社のテレメトリーは330万人超の重複を除いた保護対象ユーザーの間でインフォスティーラー検知を記録し、月次件数は一貫して50万件を超えていた。これらの合計はすべてのインフォスティーラーファミリーを対象としており、AIエージェントのデータに触れることが知られているものだけではない。したがって、これらは新しいルールが広がりつつある母集団を測るものであり、新しいルールの到達範囲を測るものではない。

出力されるのは、リフレッシュトークンとコードベースのマップです。

レポートは、エージェントディレクトリに含まれるものを2つのカテゴリに分類しており、その区分自体が調査結果の核心です。1つ目はアクセスです。一部のエージェントは、ユーザーがセッションごとに再認証しなくて済むよう、アクセストークンやログイン情報をローカルにキャッシュします。アクセストークンは有効期限が切れるまで使用できる場合があり、リフレッシュトークンは場合によって新しいアクセストークンと交換でき、その期間を延ばせます。Gen Digitalは限界について慎重で、結果は「トークンのスコープ、有効期間、サービス側の制御によって決まるため、ファイルを盗んでも持続的なアクセスが保証されるわけではない」としつつ、そのファイルは「依然としてパスワードストアと同じ程度に機密性が高い可能性がある」と指摘しています。

2つ目のカテゴリはコンテキストであり、これが単なる認証情報の話ではない理由です。プロンプトやトランスクリプトには、独自のソースコード、リポジトリ名、内部ホスト名、トラブルシューティングのために貼り付けられた秘密情報が含まれている可能性があります。トランスクリプトは攻撃者にコードベースの構造、既知の弱点、関係者を手渡すことがあり、報告書はこれを、攻撃者が「本来なら何日もかけて収集する」偵察と表現しています。開発者が機密の概念実証でアシスタントを使った場合、その履歴は未特許の発明を露呈させる可能性があります。Gen Digitalはこの組み合わせを要約して、1つのアーカイブが「アカウントにアクセスする手段と、その背後で何が価値あるのかを理解するために必要なコンテキストの両方」を運ぶ可能性があると述べています。

Model Context Protocol の設定は、この2つのカテゴリの中間に位置します。設定にはエンドポイント、ヘッダー、環境変数、API キーが含まれることがあり、再利用可能なシークレットがローカルに保存されている場合、その侵害は、エージェントが接続していたソース管理、チケット管理プラットフォーム、データベース、クラウドサービスにまで到達し得ます。報告書はこれを誇張していません。一部の統合では、有効期間の短い資格情報、OS で保護されたストレージ、または対話型の認可フローが使用されているため、設定が盗まれても、そこに記載されているすべてに自動的にアクセスできるようになるわけではありません。

Oktaは同じ市場の買い手側を数えた

Oktaの脅威インテリジェンスチームは同じ問題を反対側から取り組み、その報告書にも2026年9月8日という公開タイムスタンプが付いている。同チームは、2026年8月2日にTelegramチャネルへ投稿された無料の7 GBのログダンプ——感染したマシンごとに1つずつ、162か国にまたがる5,871個のフォルダー——を、カスタム正規表現とオープンソースのシークレットスキャナーTruffleHogを使って分析した。ダンプ内の44,791個の一意なJSON Web Tokensのうち、555個がAIサービス認証に関連している可能性が高いと特定された。別の検索では、認証関連のJSON Web Encryptionオブジェクトが2,937個見つかり、そのほとんどはOpenAIがNextAuth.jsを使って設定したもので、あらゆる種類のJWTsとJWEsのうち1,843個は公開当日時点でもまだ有効期限が切れていなかった。

プロバイダーごとの件数は、セキュリティチームが行動に移せる数字になる部分だ。Anthropic は404台の異なるマシンにまたがる561個の一意のセッショントークンを占め、そのうち164個は有効期限が切れていなかった。Cursor は26台のマシンにまたがる32個で、そのうち16個は有効期限が切れていなかった。Google と Microsoft は9,829個と2,491個のトークンで表の大部分を占めているが、Okta はこれらの合計がシングルサインオンゲートウェイを通過し、各ベンダーの全アカウントベースにまたがるため、AI 固有の露出を測る指標ではないと指摘している。TruffleHog はまた、AI 関連のモデルサービス4件にまたがる、依然有効な API キー24個を返した。これは Okta が、購入者が他人の請求で推論を実行するために使える認証情報と表現するカテゴリーだ。Okta の脅威インテリジェンス担当ディレクターである Jeremy Kirk は、その仕組みを端的にこう説明した。セッショントークンと API キーが狙われるのは「それらのシークレットをリプレイし、認証情報ベースの認証を回避できることがしばしばあるからだ」。

Oktaは、このダンプが何を証明するかについて慎重だ。同社は「このデータダンプの中に、盗まれたOktaセッションの証拠は確認しなかった」と述べており、また、組織がIP許可リストを適用している場合、盗まれたトークンは依然として機能しない。その導入部に示される金額 — ある組織に対する約100万ドルの請求、AIテスト組織が盗まれたAPIキーを通じて失った60万ドルのAIクレジット — は、このデータセットによる被害ではなく、別個に以前報告された事例として引用されている。Cloud Security Allianceの2026年9月11日のリサーチノートも同じ点を明示している。Oktaの分析は、犯罪関連のダンプに存在するトークンとその理論上のリプレイ可能性を説明しており、実際にいくつが悪用されたかを測定したとは主張しておらず、特定の侵害をこのダンプに帰属させてもいない。

需要側の状況はOktaの外部からも裏付けられている。The Hacker Newsは2026年9月9日、Oktaが、24時間365日のサポートと返金保証付きでClaude、Cursor、ChatGPT、Geminiのアカウントへの割引アクセスを販売するTelegramの出品を指摘したこと、およびPoison Claudeと名乗るサービスがAnthropicのOpus 4.6、4.7、4.8とSonnet 4.6へのアクセスを宣伝していたことを報じた。Gizmodoは2026年9月10日に同じ市場を報じた。The Hacker Newsはまた、プレミアムモデルへのアクセス費用が「サイバー犯罪コミュニティ全体におけるAIアカウントの標的化、窃取、販売の増加」を促しているというGoogle Threat Intelligence Groupの評価を伝え、脅威アクターが露出したGitHubの個人アクセストークンを使って無許可のAIインフラを展開したMandiantのインシデント対応案件についても説明した。

記録が確かに立証していること、そして引用されたどの資料も解決していないこと

確立されており、情報源もそのように述べている。汎用型の情報窃取マルウェアは、複数のファミリーと2つのオペレーティングシステムにまたがって、リモート管理された収集ルールにAIコーディングエージェントのパスを追加している。ローカルディレクトリには、トークン、MCP認証情報、履歴、プロジェクトメタデータが保存され得る。また、大規模な無料公開ダンプには、AIサービス向けの有効期限が切れていない認証情報が実際に含まれており、164個の有効なAnthropicセッショントークンと24個の有効なAPIキーが含まれていた。

• 立証されていない：これらのルールのいずれかが、確認されたアカウント乗っ取りを引き起こしたということ。Gen DigitalもOktaも、これら特定のコレクションから盗まれたトークンを用いてアカウントに侵入された被害者を報告しておらず、アーカイブの real_harm false は、危害が生じ得ることを否定するものではなく、この欠落を反映したものである。

• 未確認：影響を受けた開発者の数。Gen DigitalのAmateraとRemusの数字は保護されたユーザーにおける検知数であり、重複している可能性があり、感染数ではない。Oktaの数値は1回の7 GBのダンプを表すものであり、市場全体を表すものではない。

• 未確定：どのエージェントがデフォルトで何を保存するのか。両報告書は、パス、ファイル、保護策が製品、オペレーティングシステム、ユーザー設定によって異なると強調しているため、この記録だけではどのエージェントも問題なしと断定できない — Gen Digitalの回答は、どの製品も安全だとみなす前に、ローカルに保存されている内容を棚卸しすることです。

• 立証されていない：エージェントベンダーが何を変更したのか。どちらの報告書も、それに応じて行われた製品変更について述べておらず、ベンダーに通知されたとも述べていない。検討されている製品側の緩和策は一般的なものだけである — OSの認証情報ストア、短寿命のスコープ付きトークン、およびGen Digitalがツール自体から提供されるべきだと主張する保持制御。

• 公開後に訂正：Cloud Security Allianceの文書には2026年9月11日付のバージョン1.1改訂が含まれており、これによれば、GoogleとMicrosoftのエコシステム全体のサインオントークン数が、Okta自身の但し書きなしにAI固有の露出として提示されていたという規模の誇張問題を修正したほか、誤って添付された引用と、稼働中であることを確認できなかった2件の参照も修正したという。

変更点: パスワードリセットではなくローテーション

両報告が一致して示しているのは、パッチではなくインシデント対応の変更である。Gen Digitalのガイダンスは、ローカル認証ファイルをパスワードとして扱うこと、製品が選択肢を提供する場合はオペレーティングシステムのキーチェーンまたはキーリングを優先すること、プロンプトに機密情報を含めないこと、MCP連携には必要な権限だけを与えること、そして情報窃取型マルウェア（stealer）感染後はクリーンなデバイスから作業してAIサービスのセッションを取り消し、APIキーとMCP認証情報をローテーションすることである。その最も率直な表現は、「ブラウザのパスワードを変更するだけではもはや十分ではない」というものであり、多要素認証ではすでに盗まれたセッショントークンの悪用を阻止できない可能性がある、というものだ。

Oktaの制御はID側の補完要素です。APIキーの使用量上限とIP許可リスト、キーチェーンに保持されたリフレッシュトークンから短命のアクセストークンを発行するOAuth 2.0フロー、セッショントークンの再利用の監視、そしてセッションを暗号学的にデバイスへ結び付けるDevice-Bound Session Credentials（DBSC）があります。Oktaは、DBSCは初期段階であり、サービスがサーバー側で実装する必要があると指摘し、2026年3月にリリースされたWindows向けChrome 145がそれをサポートできると記しています。また、2024年にブラウザデータを暗号化するために導入されたGoogleのApp-Bound Encryptionが、情報窃取型マルウェアの開発者によってかなり早く回避されたことも記録しています。Cloud Security Allianceは、盗まれたライブセッションを遮断するのはパスワードリセットではなくトークン失効であるという運用上の結論を導いています。

記録は、そのフィールドが示す通りの位置づけに留まる。中程度の重大度の調査結果、信頼度A、異論なし、実際の被害の記録はなく、公表からまだ1日しか経っていない。この記録を残す価値があるのは、それが示す非対称性のためだ。収集リストにエージェントをもう1つ追加するコストは設定更新1回分だが、どのマシン上のどのエージェントが再利用可能な認証情報を保持しているかを知るコストは、ほとんどの組織がまだ整備していないインベントリに相当する。