인포스틸러, AI 에이전트 데이터로 표적 전환: 수집 규칙이 이제 Claude, Cursor, Codex를 겨냥

2026년 9월 8일 Gen Digital은 정보 탈취기의 수집 규칙 분석을 발표하고 대상 목록에 새 줄이 추가되었음을 발견했다: AI 코딩 에이전트의 로컬 데이터다. 3개월 동안 자사의 Windows 텔레메트리에서는 보호 대상 Windows 사용자 수만 명 가운데 Amatera 및 Remus 탐지가 기록되었으며, 이들 탈취기의 규칙 파일은 이제 Cline, Continue, Anthropic의 Claude, Cursor, OpenCode 디렉터리까지 접근한다. CallbackBeaver는 Claude와 Cursor를 수집 범위에 추가했고 30일 동안 5,000개 이상의 샘플에서 관측되었다. 탈취되는 것은 환경설정이 아니라 접근 권한과 컨텍스트다: 액세스 및 리프레시 토큰, Model Context Protocol 구성에 있는 자격 증명, 프롬프트 기록, 대화 데이터베이스, 그리고 개발자가 작업 중이던 프로젝트의 지도다. 새로운 결함은 관여하지 않는다 — 새 규칙이 도착할 때 탈취기는 이미 실행 중이며, 가치는 예측 가능한 로컬 파일로 옮겨갔다. 이 설명은 Gen Digital의 보고서, 같은 날 공개된 탈취 로그 덤프에 대한 Okta의 분석, Cloud Security Alliance의 연구 노트에 근거하며, AI 사고 아카이브는 이 항목을 인접 항목들과 함께 수록하며, 각 항목에는 자체 출처, 심각도, 신뢰도 등급이 있다.

아카이브는 이 기록을 배포 이벤트가 아니라 연구 결과물로 분류합니다: kind research, severity medium, confidence A, disputed false, real_harm false, region GLOBAL, 태그 CRED 및 EXFIL, 날짜는 2026년 9월 8일로 일 단위까지 정확합니다. 이는 Gen Digital이 게시한 날짜이지 특정 머신이 감염된 날짜가 아니며, 두 보고서 모두 해당 규칙 자체의 감염 날짜를 제공하지 않습니다. real_harm 필드는 천천히 읽어볼 가치가 있습니다. 기록이나 그 출처 어디에도 이 수집 규칙으로 추적된 확인된 계정 탈취 사례는 설명되어 있지 않습니다. 문서화된 것은 능력과 노출이며, 이는 해당 항목이 높음이 아니라 중간으로 평가된 이유 중 일부입니다.

새로운 결함은 없습니다: 규칙이 도착할 때 스틸러는 이미 실행 중입니다

Gen Digital은 이것이 취약점을 설명하는 것이 아니라고 분명히 밝힌다. 보고서에 따르면 그 발견은 "기기를 침해하는 새로운 방법이나 AI 모델 또는 에이전트의 취약점을 가리키지 않는다"; 정보 탈취 프로그램은 이미 실행 중이며, 달라진 것은 "가치 있는 정보가 예측 가능한 위치, 때로는 평문으로 집중되어 있고, 그러한 위치를 기존 수집 목록에 쉽게 추가할 수 있다는 점"이다.

그 용이함이 바로 메커니즘이다. 많은 스틸러는 디렉터리, 파일명, 확장자, 데이터베이스, 검색 깊이 또는 파일 크기 제한을 지정하는 원격 관리 수집 규칙을 받기 때문에, 에이전트가 토큰을 보관하는 위치를 알게 된 운영자는 악성코드를 다시 빌드하거나 재배포하지 않고도 또 하나의 경로를 추가할 수 있으며, 업데이트된 규칙은 이미 침해된 머신에 있는 설치본에도 도달한다. Gen Digital은 여기에 두 가지 단서를 붙인다. 이 접근법이 모든 스틸러에 적용되는 것은 아니며, 일부 도구는 경로 항목이 아니라 제품별 파싱이나 복호화가 필요하다는 것이다. Gen Digital의 실질적 경고는 증거의 형태에 관한 것이다. 오늘날 주요 스틸러가 특정 에이전트를 수집하지 않는다면, 그 부재는 스냅샷일 뿐이며 "해당 에이전트가 수집 범위 밖에 남을 것이라는 증거가 아니다."

어느 패밀리가 어느 에이전트까지 이르나요?

텔레메트리로 뒷받침되는 두 계열은 Cline 및 Continue와 관련된 데이터를 노리는 Amatera와 Claude, Cursor, OpenCode를 노리는 Remus입니다. Gen Digital은 두 계열의 수치가 "중복될 수 있으며 성공적인 감염이 아니라 탐지를 설명하는 것일 수 있다"고 말합니다. 이는 해당 수치를 실제로 얼마나 많은 개발자가 도난당했는지의 척도로 읽을 때 중요한 구분입니다. 그 주변에는 이 행태가 실험이 아니라 추세처럼 보이게 하는 계열들이 있습니다. 보고서가 발생 빈도가 낮은 것으로 분류한 BeeStealer, STG Stealer, HydraStealer, APEX Stealer, Otter Stealer와, macOS에서 동일한 행태를 보이며 Claude, Codex, Gemini, Cline, OpenCode, Kilo에서 수집하는 것과 연관된 Djinn Stealer입니다.

Gen Digital이 속도에 대해 자체적으로 요약한 바에 따르면, AI 에이전트 데이터가 "거의 매일 또 다른 스틸러의 수집 규칙에" 나타나고 있었습니다. 규모를 보여주기 위해 이는 훨씬 오래된 문제 안에 위치시킵니다. 2026년 상반기 동안 자사 텔레메트리에는 330만 명이 넘는 고유 보호 사용자 중 인포스틸러 탐지가 기록되었으며, 월간 수치는 일관되게 500,000을 웃돌았습니다. 이 총계는 AI 에이전트 데이터를 건드리는 것으로 알려진 계열만이 아니라 모든 인포스틸러 계열을 포함하므로, 이는 새 규칙의 도달 범위가 아니라 새 규칙이 확산되고 있는 풀을 측정한 것입니다.

나오는 것은 리프레시 토큰과 코드베이스 맵입니다.

보고서는 에이전트 디렉터리에 담기는 내용을 두 범주로 나누며, 이 구분 자체가 이번 발견의 핵심입니다. 첫째는 접근 권한입니다. 일부 에이전트는 사용자가 매 세션마다 다시 인증하지 않도록 액세스 토큰이나 로그인 정보를 로컬에 캐시합니다. 액세스 토큰은 만료될 때까지 사용할 수 있으며, 리프레시 토큰은 때때로 새 액세스 토큰으로 교환되어 유효 기간을 연장할 수 있습니다. Gen Digital은 한계에 대해 신중합니다. 결과는 "토큰의 범위, 수명, 서비스 자체의 제어에 따라 달라지므로 파일을 훔쳤다고 해서 지속적인 접근이 보장되지는 않는다"고 설명하면서도, 해당 파일은 "여전히 비밀번호 저장소만큼 민감할 수 있다"고 지적합니다.

두 번째 범주는 맥락이며, 이것이 이 사안이 단순한 자격 증명 이야기가 아닌 이유입니다. 프롬프트와 대화 기록에는 독점 소스 코드, 저장소 이름, 내부 호스트 이름, 문제 해결을 위해 붙여넣은 비밀이 담길 수 있습니다. 대화 기록은 공격자에게 코드베이스의 구조, 알려진 약점, 관련 인물을 넘겨줄 수 있으며, 보고서는 이를 공격자가 "그렇지 않았다면 모으는 데 며칠을 썼을" 정찰이라고 설명합니다. 개발자가 기밀 개념 증명에 어시스턴트를 사용한 경우, 그 기록은 특허 출원되지 않은 발명을 노출할 수 있습니다. Gen Digital은 이 조합을 두고 하나의 아카이브가 "계정에 접근할 수단과 그 뒤에서 무엇이 가치 있는지 이해하는 데 필요한 맥락"을 모두 담을 수 있다고 요약합니다.

Model Context Protocol 구성은 두 범주 사이에 위치합니다. 여기에는 엔드포인트, 헤더, 환경 변수, API 키가 포함될 수 있으며, 재사용 가능한 비밀이 로컬에 저장되는 경우 침해가 에이전트가 연결되어 있던 소스 코드 관리, 티켓팅 플랫폼, 데이터베이스 또는 클라우드 서비스까지 도달할 수 있습니다. 보고서는 이를 과장하지 않습니다. 일부 통합은 단기 자격 증명, OS 보호 저장소 또는 대화형 권한 부여 흐름을 사용하므로, 구성이 도난당했다고 해서 그 구성에 명시된 모든 항목이 자동으로 잠금 해제되는 것은 아닙니다.

Okta는 같은 시장의 구매자 측을 집계했습니다

Okta의 위협 인텔리전스 팀은 같은 문제를 반대 방향에서 접근했으며, 해당 보고서에도 2026년 9월 8일이라는 게시 타임스탬프가 찍혀 있습니다. 이 팀은 2026년 8월 2일 Telegram 채널에 게시된 7GB 규모의 무료 로그 덤프를 사용자 지정 정규식과 오픈소스 비밀 스캐너 TruffleHog로 분석했습니다. 이 덤프에는 162개국에 걸쳐 분포한 감염된 머신당 하나씩인 5,871개 폴더가 있었습니다. 덤프 내 44,791개의 고유 JSON Web Tokens 중 555개가 AI 서비스 인증과 관련된 것으로 추정되었습니다. 별도 검색에서는 인증 관련 JSON Web Encryption 객체 2,937개를 발견했으며, 대부분은 OpenAI가 NextAuth.js를 사용해 설정한 것이었습니다. 또한 모든 종류의 JWT와 JWE 1,843개는 공개 당일에도 아직 만료되지 않은 상태였습니다.

공급자별 집계 수치는 보안 팀이 실제로 조치할 수 있는 숫자가 되는 부분이다. Anthropic은 404대의 서로 다른 머신에 걸쳐 561개의 고유 세션 토큰을 차지했으며 그중 164개는 만료되지 않았다. Cursor는 26대의 머신에 걸쳐 32개를 차지했으며 그중 16개는 만료되지 않았다. Google과 Microsoft가 9,829개와 2,491개의 토큰으로 표를 압도하지만, Okta는 이 총계가 싱글 사인온 게이트웨이를 거쳐 각 공급업체의 전체 계정 기반에 걸쳐 있으므로 AI 관련 노출의 척도는 아니라고 지적한다. TruffleHog는 또한 네 가지 AI 관련 모델 서비스 전반에서 여전히 유효한 API 키 24개를 반환했다. 이는 Okta가 구매자가 다른 사람의 비용으로 추론을 실행하는 데 사용할 수 있는 자격 증명이라고 설명하는 범주다. Okta의 위협 인텔리전스 담당 디렉터 Jeremy Kirk는 그 메커니즘을 간명하게 설명했다. 세션 토큰과 API 키가 노려지는 것은 "그 비밀들을 재생해 자격 증명 기반 인증을 우회하는 것이 종종 가능하기 때문"이다.

Okta는 이 덤프가 무엇을 입증하는지에 대해 신중하다. Okta는 "이 데이터 덤프에서 도난당한 Okta 세션의 증거를 관찰하지 못했다"고 밝히며, 도난당한 토큰은 조직이 IP 허용 목록을 시행하는 곳에서는 여전히 실패한다. 서론에 나오는 재무 수치 — 한 조직의 거의 100만 달러 청구서, AI 테스트 조직이 도난당한 API 키를 통해 잃은 60만 달러어치 AI 크레딧 — 는 이 데이터셋으로 인한 피해가 아니라 별도로 이전에 보고된 사례로 인용된 것이다. Cloud Security Alliance의 2026년 9월 11일 연구 노트는 같은 점을 명시적으로 지적한다. Okta의 분석은 범죄 데이터 덤프에 존재하는 토큰과 그 이론적 재사용 가능성을 설명하며, 실제로 얼마나 많이 악용되었는지를 측정했다고 주장하지 않고, 특정 침해를 이 덤프 탓으로 돌리지도 않는다.

수요 측면은 Okta 외부에서도 뒷받침된다. The Hacker News는 2026년 9월 9일 Okta가 24/7 지원과 환불 보장을 내세우며 Claude, Cursor, ChatGPT, Gemini 계정에 대한 할인된 접근 권한을 판매하는 Telegram 판매 목록들을 지적했다고 보도했으며, Poison Claude라는 브랜드를 내건 서비스가 Anthropic의 Opus 4.6, 4.7, 4.8 및 Sonnet 4.6에 대한 접근 권한을 광고했다고 전했다. Gizmodo는 2026년 9월 10일 같은 시장을 보도했다. The Hacker News는 또한 Google Threat Intelligence Group의 평가를 전했는데, 그 평가에 따르면 프리미엄 모델 접근 비용이 "사이버 범죄 커뮤니티 전반에서 AI 계정에 대한 표적화, 유출, 판매 증가"를 이끌고 있으며, 위협 행위자가 노출된 GitHub 개인 액세스 토큰을 사용해 무단 AI 인프라를 배포한 Mandiant의 사고 대응 프로젝트도 설명했다.

기록이 실제로 입증하는 것, 그리고 인용된 어떤 출처도 해결하지 못하는 것

확인되었고, 출처에서도 그렇게 명시했다: 범용 정보 탈취 도구들은 여러 계열과 두 운영체제에 걸쳐 원격 관리되는 수집 규칙에 AI 코딩 에이전트 경로를 추가했다; 로컬 디렉터리에는 토큰, MCP 자격 증명, 기록 및 프로젝트 메타데이터가 저장될 수 있다; 그리고 대규모 무료 덤프에는 AI 서비스용 만료되지 않은 인증 자료가 실제로 포함되어 있었으며, 여기에는 만료되지 않은 Anthropic 세션 토큰 164개와 유효한 API 키 24개가 포함되었다.

• 입증되지 않음: 이러한 규칙 중 어느 것도 확인된 계정 탈취를 초래했다는 사실은. Gen Digital과 Okta 모두 이 특정 컬렉션에서 나온 도난 토큰으로 계정에 로그인된 피해자를 보고하지 않으며, 아카이브의 real_harm false는 피해가 가능하다는 사실을 부정하는 것이 아니라 이러한 공백을 반영한다.

• 확인되지 않음: 얼마나 많은 개발자가 영향을 받았는지. Gen Digital의 Amatera 및 Remus 수치는 보호된 사용자들 사이의 탐지 건수로, 서로 중복될 수 있으며 감염 건수가 아닙니다. Okta의 수치는 7GB 덤프 하나를 설명할 뿐 시장 전체를 설명하는 것은 아닙니다.

• 확인되지 않음: 어떤 에이전트가 기본적으로 무엇을 저장하는지. 두 보고서 모두 경로, 파일, 보호 조치가 제품, 운영 체제, 사용자 구성에 따라 달라진다고 강조하므로, 이 기록만으로는 어떤 단일 에이전트도 문제없다고 단정할 수 없다 — Gen Digital의 답변은 어떤 제품이 안전하다고 가정하기 전에 로컬에 저장된 항목을 먼저 목록화하는 것이다.

• 입증되지 않은 부분: 어떤 에이전트 공급업체가 무엇을 변경했는지. 어느 보고서도 이에 대응해 이루어진 제품 변경을 설명하지 않으며, 공급업체에 통보했다고 밝힌 곳도 없다. 논의된 제품 측 완화책은 일반적인 것들뿐이다. 즉 OS 자격 증명 저장소, 수명이 짧은 범위 지정 토큰, 그리고 Gen Digital이 도구 자체에서 제공되어야 한다고 주장하는 보존 제어다.

• 게시 후 정정: Cloud Security Alliance의 문서에는 2026년 9월 11일자 버전 1.1 개정판이 포함되어 있으며, 이 개정판은 Google과 Microsoft의 에코시스템 전반 로그온 토큰 수가 Okta 자체의 단서 없이 AI 특정 노출로 제시되었던 규모 부풀림 문제와 함께 잘못 연결된 인용 및 실제로 유효한지 확인할 수 없었던 두 개의 참조를 수정했다고 밝힙니다.

그 이후 바뀐 점: 비밀번호 재설정이 아닌 교체

두 보고서가 공통적으로 내놓은 대응은 패치가 아니라 침해 대응 방식의 변화다. Gen Digital의 지침은 로컬 인증 파일을 비밀번호처럼 취급하고, 제품이 선택권을 제공하는 경우 운영체제 키체인 또는 키링을 선호하며, 프롬프트에 비밀 정보를 남기지 않고, MCP 통합에는 필요한 권한만 부여하고, 스틸러 감염 후에는 깨끗한 기기에서 작업하여 AI 서비스 세션을 해지하고 API 키와 MCP 자격 증명을 교체하라는 것이다. 가장 직설적인 문구는 "브라우저 비밀번호만 바꾸는 것으로는 더 이상 충분하지 않다"는 것이며, 이미 탈취된 세션 토큰의 악용을 다중 인증이 막지 못할 수 있다는 점이다.

Okta의 제어는 신원 측면의 보완책입니다. API 키에 대한 사용량 상한과 IP 허용 목록, 키체인에 보관된 리프레시 토큰에서 단기 액세스 토큰을 발급하는 OAuth 2.0 흐름, 세션 토큰 재사용 모니터링, 그리고 세션을 기기에 암호학적으로 결속하는 Device-Bound Session Credentials가 그것입니다. Okta는 DBSC가 아직 초기 단계이며 서비스가 이를 서버 측에서 구현해야 하고, 2026년 3월에 출시된 Windows용 Chrome 145가 이를 지원할 수 있다고 언급합니다. 또한 2024년에 브라우저 데이터를 암호화하기 위해 도입된 Google의 App-Bound Encryption이 스틸러 개발자들에 의해 상당히 빠르게 우회되었다는 점도 기록합니다. Cloud Security Alliance는 탈취된 활성 세션을 차단하는 것은 비밀번호 재설정이 아니라 토큰 폐기라는 운영적 결론을 도출합니다.

기록은 그 필드가 정해 놓은 자리에 그대로 남는다. 중간 심각도의 연구 결과, 신뢰도 A, 이견 없음, 기록된 실제 피해는 없으며 공개된 지 하루밖에 지나지 않았다. 이 기록을 보존할 가치가 있는 이유는 그것이 보여 주는 비대칭성이다. 수집 목록에 에이전트를 하나 더 추가하는 비용은 구성 업데이트 한 번이지만, 어떤 머신의 어떤 에이전트가 재사용 가능한 자격 증명을 보유하는지 아는 비용은 대부분의 조직이 아직 작성하지 않은 인벤토리다.