Infostealers richten zich op data van AI-agenten: verzamelregels targeten nu Claude, Cursor en Codex

Op 8 september 2026 publiceerde Gen Digital een analyse van de verzamelregels van infostealers en ontdekte dat de doellijst een nieuwe regel rijker is: de lokale gegevens van AI-codeeragenten. In een periode van drie maanden registreerde zijn Windows-telemetrie detecties van Amatera en Remus bij tienduizenden beschermde Windows-gebruikers — stealers waarvan de regelbestanden nu reiken tot in de mappen van Cline, Continue, Claude van Anthropic, Cursor en OpenCode. CallbackBeaver voegde Claude en Cursor toe aan zijn verzamelbereik en werd binnen een periode van 30 dagen in meer dan 5.000 monsters waargenomen. Wat wordt buitgemaakt, zijn niet de voorkeuren, maar toegang en context: toegangs- en refreshtokens, inloggegevens die in configuraties van het Model Context Protocol staan, promptgeschiedenissen, gespreksdatabases en een overzicht van de projecten waaraan een ontwikkelaar werkte. Er is geen nieuwe kwetsbaarheid in het spel — de stealer draait al wanneer de nieuwe regel binnenkomt, en de waarde is verschoven naar voorspelbare lokale bestanden. Dit verslag is gebaseerd op het rapport van Gen Digital, op de analyse door Okta van een dump met gestolen logs die dezelfde dag werd gepubliceerd, en op de onderzoeksnotitie van de Cloud Security Alliance, en het AI-incidentenarchief bevat deze vermelding naast de andere, elk met eigen bronnen, ernst en betrouwbaarheidsgraad.

Het archief registreert het als een onderzoeksbevinding in plaats van een deployment-event: kind research, severity medium, confidence A, disputed false, real_harm false, region GLOBAL, getagd CRED en EXFIL, met een tot op de dag precieze datum van 8 september 2026. Dat is de dag waarop Gen Digital het publiceerde, niet de dag waarop een specifieke machine besmet raakte, en geen van beide rapporten biedt een infectiedatum voor de regels zelf. Het loont om het veld real_harm langzaam te lezen. Niets in de registratie of in de bijbehorende bronnen beschrijft een bevestigde accountovername die terug te herleiden is tot deze verzamelregels; wat gedocumenteerd is, zijn mogelijkheden en blootstelling, wat mede de reden is waarom de vermelding als medium in plaats van high wordt beoordeeld.

Geen nieuwe fout: de stealer draait al op het moment dat de regel aankomt.

Gen Digital is expliciet dat het geen kwetsbaarheid beschrijft. De bevindingen "wijzen niet op een nieuwe manier om het apparaat te compromitteren of op een kwetsbaarheid in een AI-model of -agent", staat in het rapport; de infostealer is al actief, en wat is veranderd, is "de concentratie van waardevolle informatie op voorspelbare locaties, soms in platte tekst, en het gemak waarmee die locaties aan een bestaande verzamellijst kunnen worden toegevoegd."

Dat gemak is het mechanisme. Veel stealers ontvangen op afstand beheerde verzamelregels die mappen, bestandsnamen, extensies, databases, zoekdiepte of limieten voor bestandsgrootte specificeren, zodat een operator die leert waar een agent zijn tokens bewaart, een extra pad kan toevoegen zonder de malware opnieuw op te bouwen of te verspreiden — en de bijgewerkte regel bereikt installaties die al op gecompromitteerde machines staan. Gen Digital verbindt daar twee kanttekeningen aan: de aanpak geldt niet voor elke stealer, en sommige tools vereisen productspecifieke parsing of ontsleuteling in plaats van een padvermelding. De praktische waarschuwing ervan betreft de vorm van het bewijs — als een grote stealer een bepaalde agent vandaag niet verzamelt, is die afwezigheid een momentopname, "niet als bewijs dat de agent buiten het verzamelbereik zal blijven."

Welke familie reikt tot in welke agent?

De twee families waar telemetrie achter zit, zijn Amatera, dat zich richt op gegevens die verband houden met Cline en Continue, en Remus, dat zich richt op Claude, Cursor en OpenCode. Gen Digital zegt dat de cijfers voor beide "kunnen overlappen en detecties beschrijven in plaats van succesvolle infecties" — een onderscheid dat ertoe doet wanneer je de cijfers leest als een maatstaf voor hoeveel ontwikkelaars daadwerkelijk zijn beroofd. Daaromheen zitten de families die het gedrag meer als een trend dan als een experiment laten lijken: BeeStealer, STG Stealer, HydraStealer, APEX Stealer en Otter Stealer, die het rapport als minder prevalent classificeert, en Djinn Stealer, dat hetzelfde gedrag op macOS vertoont en in verband wordt gebracht met het verzamelen van gegevens bij Claude, Codex, Gemini, Cline, OpenCode en Kilo.

Gen Digitals eigen samenvatting van het tempo is dat AI-agentgegevens "bijna elke dag in de verzamelregels van een andere stealer" verschenen. Om de schaal aan te geven plaatst het de gerichtheid binnen een veel ouder probleem: in de eerste helft van 2026 registreerde zijn telemetrie infostealer-detecties bij meer dan 3,3 miljoen unieke beschermde gebruikers, waarbij het maandelijkse cijfer consistent boven 500.000 lag. Die totalen omvatten elke infostealer-familie, niet alleen de families waarvan bekend is dat ze AI-agentgegevens raken, dus ze meten de poel waar de nieuwe regels zich doorheen verspreiden, niet de reikwijdte van de nieuwe regels.

Wat eruit komt, is een refresh token en een kaart van de codebase.

Het rapport verdeelt wat een agentmap bevat in twee categorieën, en die splitsing vormt de kern van de bevinding. De eerste is toegang: sommige agents cachen toegangstokens of inloggegevens lokaal, zodat een gebruiker niet elke sessie opnieuw hoeft te authenticeren. Een toegangstoken kan bruikbaar zijn totdat het verloopt; een refreshtoken kan soms worden ingewisseld voor nieuwe toegangstokens en het venster verlengen. Gen Digital is zorgvuldig over de beperkingen — de uitkomst "hangt af van de scope en levensduur van het token en de eigen controles van de dienst, dus het stelen van een bestand garandeert geen blijvende toegang" — en merkt op dat het bestand "nog steeds net zo gevoelig kan zijn als een wachtwoordopslag."

De tweede categorie is context, en daarom is dit niet simpelweg een verhaal over inloggegevens. Prompts en transcripten kunnen bedrijfseigen broncode, repositorynamen, interne hostnamen en voor probleemoplossing geplakte geheimen bevatten; een transcript kan een aanvaller de structuur van een codebase, bekende zwakheden en de betrokken mensen geven, wat het rapport omschrijft als verkenningswerk "dat een aanvaller anders dagenlang zou moeten verzamelen." Wanneer een ontwikkelaar een assistent heeft gebruikt voor een vertrouwelijk proof of concept, kan de geschiedenis een niet-gepatenteerde uitvinding blootleggen. De samenvatting van Gen Digital van de combinatie is dat één archief "zowel de middelen om toegang tot een account te krijgen als de context die nodig is om te begrijpen wat er waardevol achter schuilt" kan bevatten.

Model Context Protocol-configuraties vallen tussen de twee categorieën in. Ze kunnen endpoints, headers, omgevingsvariabelen en API-sleutels bevatten, en waar herbruikbare secrets lokaal worden opgeslagen, kan een compromittering reiken tot versiebeheer, ticketplatforms, databases of clouddiensten waarmee de agent verbonden was. Het rapport overdrijft dit niet: sommige integraties gebruiken kortlevende credentials, door het besturingssysteem beschermde opslag of een interactieve autorisatiestroom, dus een gestolen configuratie geeft niet automatisch toegang tot alles wat erin wordt genoemd.

Okta telde de koperszijde van dezelfde markt

Okta's threat-intelligenceteam benaderde hetzelfde probleem vanuit de andere kant, en het rapport heeft ook een publicatietijdstempel van 8 september 2026. Het analyseerde een gratis logdump van 7 GB die op 2 augustus 2026 in een Telegram-kanaal was geplaatst — 5.871 mappen, één per geïnfecteerde machine, verspreid over 162 landen — met behulp van aangepaste reguliere expressies en de open-source secret-scanner TruffleHog. Van de 44.791 unieke JSON Web Tokens in de dump werden er 555 geïdentificeerd als waarschijnlijk gekoppeld aan authenticatie van AI-diensten. Een afzonderlijke zoekopdracht vond 2.937 authenticatiegerelateerde JSON Web Encryption-objecten, waarvan de meeste door OpenAI met NextAuth.js waren ingesteld, en 1.843 JWT's en JWE's van allerlei soorten waren op de dag van vrijgave nog niet verlopen.

De aantallen per provider zijn het onderdeel dat een getal oplevert waar een securityteam op kan acteren. Anthropic was goed voor 561 unieke sessietokens verspreid over 404 afzonderlijke machines, waarvan er 164 niet verlopen waren; Cursor was goed voor 32 verspreid over 26 machines, waarvan er 16 niet verlopen waren. Google en Microsoft domineren de tabel met 9.829 en 2.491 tokens, maar Okta merkt op dat die totalen via single sign-on-gateways lopen en de volledige accountbasis van elke leverancier omvatten, dus ze zijn geen maatstaf voor AI-specifieke blootstelling. TruffleHog leverde ook 24 nog geldige API-sleutels op, verspreid over vier AI-gerelateerde modelservices — de categorie die Okta omschrijft als een inloggegeven waarmee een koper inference kan draaien op de rekening van iemand anders. Jeremy Kirk, directeur threat intelligence bij Okta, legde het mechanisme helder uit: sessietokens en API-sleutels worden nagestreefd 'omdat het vaak mogelijk is die geheimen opnieuw af te spelen en authenticatie op basis van inloggegevens te omzeilen.'

Okta is voorzichtig over wat de dump bewijst. Het zegt dat het "geen bewijs heeft gezien van gestolen Okta-sessies in deze datadump", en een gestolen token faalt nog steeds waar een organisatie IP-allowlisting afdwingt. De financiële cijfers in de inleiding — een rekening van bijna $1 miljoen voor één organisatie, $600.000 aan AI-credits verloren door een AI-testorganisatie via een gestolen API-sleutel — worden aangehaald als afzonderlijke, eerder gerapporteerde gevallen, niet als schade uit deze dataset. De onderzoeksnotitie van de Cloud Security Alliance van 11 september 2026 maakt hetzelfde punt expliciet: de analyse van Okta beschrijft tokens die in een criminele dump aanwezig zijn en hun theoretische herspeelbaarheid, beweert niet te hebben gemeten hoeveel er daadwerkelijk zijn misbruikt, en schrijft een specifieke inbreuk niet toe aan de dump.

De vraagzijde wordt ook van buiten Okta bevestigd. The Hacker News meldde op 9 september 2026 dat Okta Telegram-aanbiedingen had gemarkeerd waarbij met korting toegang werd verkocht tot Claude-, Cursor-, ChatGPT- en Gemini-accounts, met 24/7-ondersteuning en geld-terug-garanties, en dat een dienst die zichzelf Poison Claude noemde, toegang adverteerde tot Anthropic's Opus 4.6, 4.7 en 4.8 en Sonnet 4.6. Gizmodo berichtte op 10 september 2026 over dezelfde markt. The Hacker News bracht ook de beoordeling van Google Threat Intelligence Group over dat de kosten van toegang tot premiummodellen zorgen voor "toenemende targeting, exfiltratie en verkoop van AI-accounts binnen cybercriminele gemeenschappen", en beschreef een incidentresponsopdracht van Mandiant waarin een dreigingsactor een blootgesteld persoonlijk GitHub-toegangstoken gebruikte om ongeautoriseerde AI-infrastructuur te implementeren.

Wat het dossier wel vaststelt, en wat geen enkele aangehaalde bron beslecht

Vastgesteld, en door de bronnen als zodanig vermeld: commodity-stealers hebben paden naar AI-codeeragents toegevoegd aan op afstand beheerde verzamelregels in meerdere families en twee besturingssystemen; de lokale mappen kunnen tokens, MCP-referenties, geschiedenissen en projectmetadata bevatten; en een grote gratis dump bevatte niet-verlopen authenticatiemateriaal voor AI-diensten, waaronder 164 niet-verlopen Anthropic-sessietokens en 24 geldige API-sleutels.

• Niet vastgesteld: dat een van deze regels heeft geleid tot een bevestigde accountovername. Noch Gen Digital noch Okta meldt een slachtoffer wiens account is binnengedrongen met een gestolen token uit deze specifieke collecties, en de real_harm false van het archief weerspiegelt die leemte in plaats van een ontkenning dat schade mogelijk is.

• Niet vastgesteld: hoeveel ontwikkelaars zijn getroffen. De aantallen van Gen Digital voor Amatera en Remus zijn detecties onder beschermde gebruikers, kunnen overlappen en zijn geen infecties; de aantallen van Okta beschrijven één dump van 7 GB, niet de markt.

• Niet vastgesteld: welke agents standaard wat opslaan. Beide rapporten benadrukken dat paden, bestanden en beschermingen verschillen per product, besturingssysteem en gebruikersconfiguratie, dus geen enkele agent kan op basis van dit verslag worden vrijgepleit — Gen Digitals antwoord is om te inventariseren wat lokaal is opgeslagen voordat men aanneemt dat een product veilig is.

• Niet vastgesteld: wat een leverancier van agents ook maar heeft gewijzigd. Geen van beide rapporten beschrijft een productwijziging die als reactie is doorgevoerd, en geen van beide meldt dat een leverancier op de hoogte is gesteld. De enige besproken mitigerende maatregelen aan de productkant zijn generiek: credential stores van het besturingssysteem, kortlevende tokens met beperkte scope en bewaarbeperkingen waarvan Gen Digital betoogt dat die uit de tools zelf zouden moeten komen.

• Na publicatie gecorrigeerd: de nota van de Cloud Security Alliance bevat een herziening versie 1.1 gedateerd 11 september 2026, waarin volgens de organisatie een probleem met schaalvergroting is verholpen waarbij de aantallen sign-on-tokens van Google en Microsoft voor hun hele ecosysteem werden gepresenteerd als AI-specifieke blootstelling zonder Okta's eigen voorbehoud, samen met een verkeerd gekoppelde bronvermelding en twee referenties waarvan niet kon worden bevestigd dat ze nog live waren.

Wat er daarna veranderde: rotaties, geen wachtwoordresets

De reactie waar beide rapporten op uitkomen, is een wijziging in de incidentrespons en niet een patch. De richtlijn van Gen Digital is om een lokaal authenticatiebestand als een wachtwoord te behandelen, de sleutelhanger of keyring van het besturingssysteem te verkiezen waar het product de keuze biedt, geheimen buiten prompts te houden, MCP-integraties alleen de machtigingen te geven die ze nodig hebben, en — na een infectie met een stealer — vanaf een schoon apparaat te werken om sessies van AI-diensten in te trekken en API-sleutels en MCP-referenties te roteren. De meest onverbloemde uitspraak is dat "alleen browserwachtwoorden wijzigen niet langer voldoende is", en dat multi-factorauthenticatie misbruik van een sessietoken dat al is gestolen mogelijk niet tegenhoudt.

Okta's maatregelen vormen de aanvulling aan de identiteitskant: gebruikslimieten en IP-allowlisting op API-sleutels, OAuth 2.0-flows die kortlevende access tokens uitgeven op basis van een refresh token dat in een keychain wordt bewaard, monitoring op hergebruik van sessietokens, en Device-Bound Session Credentials, die een sessie cryptografisch aan een apparaat binden. Okta merkt op dat DBSC nog pril is — diensten moeten het aan serverzijde implementeren — en dat Chrome 145 voor Windows, uitgebracht in maart 2026, het kan ondersteunen. Het vermeldt ook dat Google's App-Bound Encryption, in 2024 geïntroduceerd om browsergegevens te versleutelen, vrij snel door ontwikkelaars van stealers werd omzeild. De Cloud Security Alliance trekt de operationele conclusie dat tokenintrekking, niet wachtwoordreset, is wat een gestolen actieve sessie afsluit.

Het record blijft waar zijn velden het plaatsen: een onderzoeksbevinding van gemiddelde ernst, betrouwbaarheid A, onbetwist, zonder geregistreerde werkelijke schade en met één dag publicatie achter zich. Wat het de moeite waard maakt om te bewaren, is de asymmetrie die het documenteert — de kosten om nog een agent aan een verzamellijst toe te voegen zijn één configuratie-update, terwijl de kosten om te weten welke agents op welke machines herbruikbare inloggegevens bevatten, een inventaris zijn die de meeste organisaties niet hebben opgemaakt.