Infostealery sięgają po dane agentów AI: reguły zbierania celują teraz w Claude, Cursor i Codex

8 września 2026 r. Gen Digital opublikował analizę reguł zbierania danych przez stealery informacji i ustalił, że na liście celów pojawiła się nowa pozycja: lokalne dane agentów kodujących AI. W trzymiesięcznym okresie jego telemetria systemu Windows odnotowała wykrycia Amatera i Remus wśród dziesiątek tysięcy chronionych użytkowników Windows — stealerów, których pliki reguł sięgają już do katalogów Cline, Continue, Claude firmy Anthropic, Cursor i OpenCode. CallbackBeaver dodał Claude i Cursor do zakresu zbieranych danych i został zaobserwowany w ponad 5000 próbek w ciągu 30 dni. Zabierane są nie preferencje, lecz dostęp i kontekst: tokeny dostępu i odświeżania, dane uwierzytelniające obecne w konfiguracjach Model Context Protocol, historie promptów, bazy danych rozmów oraz mapa projektów, nad którymi pracował deweloper. Nie chodzi o żadną nową lukę — stealer już działa, gdy pojawia się nowa reguła, a wartość przeniosła się do przewidywalnych plików lokalnych. Relacja ta opiera się na raporcie Gen Digital, analizie Okta dotyczącej zrzutu skradzionych logów opublikowanej tego samego dnia oraz notatce badawczej Cloud Security Alliance, a archiwum incydentów AI zawiera ten wpis obok sąsiednich, każdy z własnymi źródłami, poziomem istotności i oceną pewności.

Archiwum klasyfikuje ten wpis jako odkrycie badawcze, a nie zdarzenie wdrożeniowe: typ: research, waga: medium, pewność: A, zakwestionowane: false, real_harm: false, region: GLOBAL, oznaczony tagami CRED i EXFIL, z datą określoną z dokładnością do dnia 8 września 2026 r. To dzień publikacji Gen Digital, a nie dzień infekcji jakiejkolwiek konkretnej maszyny; żaden z raportów nie podaje też daty infekcji samych reguł. Na pole real_harm warto spojrzeć uważnie. Nic we wpisie ani w jego źródłach nie opisuje potwierdzonego przejęcia konta powiązanego z tymi regułami zbierania; udokumentowano możliwości i ekspozycję, co jest jedną z przyczyn, dla których wpis ma ocenę medium, a nie high.

Brak nowej luki: stealer już działa, gdy reguła nadchodzi

Gen Digital wyraźnie zaznacza, że nie opisuje luki w zabezpieczeniach. Jak stwierdza raport, jego ustalenia „nie wskazują na nowy sposób naruszenia bezpieczeństwa urządzenia ani na lukę w modelu AI lub agencie”; program kradnący informacje już działa, a zmieniło się „skupienie cennych informacji w przewidywalnych lokalizacjach, czasami w postaci jawnej, oraz łatwość, z jaką te lokalizacje można dodać do istniejącej listy zbieranych danych”.

Ta łatwość jest mechanizmem. Wiele stealerów otrzymuje zdalnie zarządzane reguły zbierania, które określają katalogi, nazwy plików, rozszerzenia, bazy danych, głębokość wyszukiwania lub limity rozmiaru plików, więc operator, który dowie się, gdzie agent przechowuje swoje tokeny, może dodać kolejną ścieżkę bez przebudowywania lub ponownego rozpowszechniania złośliwego oprogramowania — a zaktualizowana reguła dociera do instalacji znajdujących się już na zainfekowanych maszynach. Gen Digital dodaje do tego dwa zastrzeżenia: podejście to nie dotyczy każdego stealera, a niektóre narzędzia wymagają parsowania lub odszyfrowywania specyficznego dla produktu, a nie wpisu ścieżki. Jego praktyczne ostrzeżenie dotyczy kształtu dowodów — jeśli duży stealer nie zbiera dziś określonego agenta, ta nieobecność jest migawką, „nie jako dowód, że agent pozostanie poza zakresem zbierania”.

Która rodzina sięga do którego agenta?

Dwie rodziny, za którymi stoi telemetria, to Amatera, ukierunkowana na dane powiązane z Cline i Continue, oraz Remus, ukierunkowany na Claude, Cursor i OpenCode. Gen Digital twierdzi, że liczby dla obu „mogą się pokrywać i opisywać wykrycia, a nie udane infekcje” — rozróżnienie, które ma znaczenie, gdy odczytuje się te liczby jako miarę tego, ilu deweloperów faktycznie okradziono. Wokół nich znajdują się rodziny, które sprawiają, że to zachowanie wygląda na trend, a nie eksperyment: BeeStealer, STG Stealer, HydraStealer, APEX Stealer i Otter Stealer, które raport klasyfikuje jako mniej rozpowszechnione, oraz Djinn Stealer, który wykazuje takie samo zachowanie w macOS i jest powiązany ze zbieraniem danych z Claude, Codex, Gemini, Cline, OpenCode i Kilo.

Według własnego podsumowania Gen Digital tempo było takie, że dane agentów AI pojawiały się „w regułach zbierania innego stealera niemal codziennie”. Dla zobrazowania skali wpisuje to ukierunkowanie w znacznie starszy problem: w pierwszej połowie 2026 r. jego telemetria odnotowała wykrycia infostealerów wśród ponad 3,3 mln unikalnych chronionych użytkowników, a miesięczna liczba stale przekraczała 500 000. Te sumy obejmują wszystkie rodziny infostealerów, a nie tylko te znane z tego, że dotyczą danych agentów AI, więc mierzą pulę, w której rozprzestrzeniają się nowe reguły, a nie zasięg nowych reguł.

Na wyjściu otrzymujemy token odświeżania i mapę bazy kodu.

Raport dzieli zawartość katalogu agenta na dwie kategorie, a podział ten stanowi sedno ustalenia. Pierwsza to dostęp: niektóre agenty buforują lokalnie tokeny dostępu lub dane logowania, aby użytkownik nie musiał uwierzytelniać się ponownie w każdej sesji. Token dostępu może być użyteczny do czasu wygaśnięcia; token odświeżania można czasem wymienić na nowe tokeny dostępu i wydłużyć okno. Gen Digital ostrożnie odnosi się do ograniczeń — wynik „zależy od zakresu i czasu życia tokena oraz mechanizmów kontrolnych samej usługi, więc kradzież pliku nie gwarantuje trwałego dostępu” — zauważając jednocześnie, że plik „nadal może być równie wrażliwy jak magazyn haseł”.

Druga kategoria to kontekst i dlatego nie jest to wyłącznie historia o danych uwierzytelniających. Prompty i transkrypty mogą zawierać zastrzeżony kod źródłowy, nazwy repozytoriów, wewnętrzne nazwy hostów i sekrety wklejone na potrzeby rozwiązywania problemów; transkrypt może dostarczyć atakującemu strukturę bazy kodu, znane słabości i informacje o osobach zaangażowanych, co raport określa jako rozpoznanie, „które atakujący w przeciwnym razie zbierałby przez wiele dni”. Jeśli deweloper korzystał z asystenta przy poufnym proof of concept, historia może ujawnić nieopatentowany wynalazek. Podsumowanie tego połączenia według Gen Digital jest takie, że jedno archiwum może zawierać „zarówno środki umożliwiające dostęp do konta, jak i kontekst potrzebny do zrozumienia, co wartościowego kryje się za nim”.

Konfiguracje Model Context Protocol plasują się między tymi dwiema kategoriami. Mogą zawierać punkty końcowe, nagłówki, zmienne środowiskowe i klucze API, a gdy sekrety wielokrotnego użytku są przechowywane lokalnie, naruszenie może sięgnąć systemów kontroli wersji, platform zgłoszeniowych, baz danych lub usług w chmurze, z którymi agent był połączony. Raport nie wyolbrzymia tego: niektóre integracje korzystają z krótkotrwałych poświadczeń, magazynów chronionych przez system operacyjny lub interaktywnego przepływu autoryzacji, więc skradziona konfiguracja nie odblokowuje automatycznie wszystkiego, co wymienia.

Okta uwzględniła stronę kupującego na tym samym rynku

Zespół ds. analizy zagrożeń firmy Okta podszedł do tego samego problemu z drugiej strony, a jego raport również ma znacznik czasu publikacji 8 września 2026 r. Przeanalizował darmowy zrzut logów o rozmiarze 7 GB opublikowany na kanale Telegram 2 sierpnia 2026 r. — 5 871 folderów, po jednym na każdą zainfekowaną maszynę, rozproszonych w 162 krajach — przy użyciu niestandardowych wyrażeń regularnych i otwartoźródłowego skanera sekretów TruffleHog. Spośród 44 791 unikalnych tokenów JSON Web Tokens w zrzucie 555 zidentyfikowano jako prawdopodobnie powiązane z uwierzytelnianiem w usługach AI. Oddzielne wyszukiwanie wykryło 2 937 obiektów JSON Web Encryption związanych z uwierzytelnianiem, z których większość została ustawiona przez OpenAI przy użyciu NextAuth.js, a 1 843 tokeny JWT i obiekty JWE wszelkiego rodzaju były wciąż ważne w dniu publikacji.

Liczby dla poszczególnych dostawców to ta część, która przekłada się na konkretną liczbę, na której zespół ds. bezpieczeństwa może oprzeć działania. Anthropic odpowiadał za 561 unikalnych tokenów sesji na 404 różnych maszynach, z których 164 nie wygasło; Cursor odpowiadał za 32 na 26 maszynach, z których 16 nie wygasło. Google i Microsoft dominują w tabeli z 9,829 i 2,491 tokenami, ale Okta zauważa, że te sumy przechodzą przez bramy logowania jednokrotnego i obejmują całą bazę kont każdego dostawcy, więc nie są miarą ekspozycji specyficznej dla AI. TruffleHog zwrócił również 24 nadal ważne klucze API w czterech usługach modeli związanych z AI — kategoria, którą Okta opisuje jako poświadczenie, którego nabywca może użyć do uruchamiania wnioskowania na cudzy rachunek. Jeremy Kirk, dyrektor ds. threat intelligence w Okta, ujął ten mechanizm wprost: tokeny sesji i klucze API są poszukiwane „ponieważ często można odtworzyć te sekrety i obejść uwierzytelnianie oparte na poświadczeniach”.

Okta ostrożnie podchodzi do tego, co dowodzi zrzut danych. Twierdzi, że „nie zaobserwowała dowodów na skradzione sesje Okta w tym zrzucie danych”, a skradziony token nadal nie zadziała tam, gdzie organizacja egzekwuje listę dozwolonych adresów IP. Dane finansowe w jej wprowadzeniu — rachunek opiewający na prawie 1 mln USD dla jednej organizacji, 600 000 USD kredytów AI utraconych przez organizację testującą AI w wyniku kradzieży klucza API — są przytaczane jako odrębne, wcześniej zgłoszone przypadki, a nie jako szkody wynikające z tego zbioru danych. Notatka badawcza Cloud Security Alliance z 11 września 2026 r. wyraźnie wskazuje to samo: analiza Okty opisuje tokeny obecne w przestępczym zrzucie i ich teoretyczną możliwość ponownego wykorzystania, nie twierdzi, że zmierzyła, ile z nich faktycznie wykorzystano, i nie przypisuje konkretnego naruszenia bezpieczeństwa temu zrzutowi.

Stronę popytową potwierdzają również źródła spoza Okta. The Hacker News poinformował 9 września 2026 r., że Okta oznaczyła oferty na Telegramie sprzedające po obniżonej cenie dostęp do kont Claude, Cursor, ChatGPT i Gemini, z całodobowym wsparciem i gwarancją zwrotu pieniędzy, oraz że usługa reklamująca się jako Poison Claude oferowała dostęp do modeli Opus 4.6, 4.7 i 4.8 oraz Sonnet 4.6 firmy Anthropic. Gizmodo opisało ten sam rynek 10 września 2026 r. The Hacker News przytoczył także ocenę Google Threat Intelligence Group, że koszt dostępu do modeli premium napędza „wzrost ukierunkowanych ataków, eksfiltracji i sprzedaży kont AI w społecznościach cyberprzestępczych”, oraz opisał zlecenie reagowania na incydenty realizowane przez Mandiant, w którym aktor zagrożenia wykorzystał ujawniony osobisty token dostępu GitHub do wdrożenia nieautoryzowanej infrastruktury AI.

Co materiał dowodowy faktycznie ustala, a czego żadne przywołane źródło nie rozstrzyga

Ustalono i potwierdzono w źródłach: złodzieje danych typu commodity stealer dodali ścieżki agentów kodowania AI do zdalnie zarządzanych reguł zbierania danych w kilku rodzinach i dwóch systemach operacyjnych; katalogi lokalne mogą zawierać tokeny, poświadczenia MCP, historie i metadane projektów; a duży, darmowy zrzut danych faktycznie zawierał niewygasłe materiały uwierzytelniające do usług AI, w tym 164 niewygasłe tokeny sesji Anthropic i 24 ważne klucze API.

• Nie ustalono: że którakolwiek z tych reguł doprowadziła do potwierdzonego przejęcia konta. Ani Gen Digital, ani Okta nie zgłaszają ofiary, na której konto zalogowano się przy użyciu skradzionego tokenu z tych konkretnych kolekcji, a pole real_harm o wartości false w archiwum odzwierciedla tę lukę, a nie zaprzecza możliwości wystąpienia szkody.

• Nie ustalono, ilu deweloperów zostało dotkniętych. Liczby Amatera i Remus firmy Gen Digital to wykrycia wśród chronionych użytkowników, mogą się nakładać i nie oznaczają infekcji; dane Okty dotyczą jednego zrzutu o rozmiarze 7 GB, a nie całego rynku.

• Nie ustalono, które agenty i co przechowują domyślnie. Oba raporty podkreślają, że ścieżki, pliki i zabezpieczenia różnią się w zależności od produktu, systemu operacyjnego i konfiguracji użytkownika, dlatego na podstawie tego zapisu nie można uznać żadnego pojedynczego agenta za wolnego od zarzutów — odpowiedzią Gen Digital jest zinwentaryzowanie tego, co jest przechowywane lokalnie, zanim przyjmie się, że jakikolwiek produkt jest bezpieczny.

• Nie ustalono: co zmienił którykolwiek dostawca agentów. Żaden z raportów nie opisuje zmiany produktu wprowadzonej w odpowiedzi ani nie mówi, że powiadomiono dostawcę. Jedyne omawiane środki zaradcze po stronie produktu mają charakter ogólny — magazyny poświadczeń systemu operacyjnego, krótkotrwałe tokeny o ograniczonym zakresie i mechanizmy kontroli retencji, które zdaniem Gen Digital powinny pochodzić z samych narzędzi.

• Poprawiono po publikacji: nota Cloud Security Alliance zawiera rewizję w wersji 1.1 z 11 września 2026 r., która — jak wskazano — naprawiła problem zawyżenia skali, polegający na tym, że liczby tokenów logowania jednokrotnego w całym ekosystemie Google’a i Microsoftu przedstawiano jako ekspozycję specyficzną dla AI, bez zastrzeżenia samej Okty, a także błędnie przypisany cytat oraz dwa odwołania, których nie można było potwierdzić jako aktywne.

Co się zmieniło później: rotacje, a nie resetowanie haseł

Odpowiedź, do której zbiegają się oba raporty, to zmiana w zakresie reagowania na incydenty, a nie poprawka. Wskazówki Gen Digital są takie, aby lokalny plik uwierzytelniania traktować jak hasło, preferować pęk kluczy lub keyring systemu operacyjnego, gdy produkt oferuje taki wybór, nie umieszczać sekretów w promptach, przyznawać integracjom MCP tylko potrzebne uprawnienia, a po zakażeniu programem wykradającym dane — pracować na czystym urządzeniu, aby unieważnić sesje usług AI i wymienić klucze API oraz poświadczenia MCP. Najbardziej dosadne stwierdzenie brzmi, że „samo zmienianie haseł w przeglądarce już nie wystarcza”, a uwierzytelnianie wieloskładnikowe może nie powstrzymać nadużycia tokena sesji, który został już skradziony.

Kontrolki Okta stanowią uzupełnienie po stronie tożsamości: limity użycia i listy dozwolonych adresów IP dla kluczy API, przepływy OAuth 2.0, które wydają krótkotrwałe tokeny dostępu na podstawie tokenu odświeżania przechowywanego w pęku kluczy, monitorowanie ponownego użycia tokenów sesji oraz Device-Bound Session Credentials, które kryptograficznie wiążą sesję z urządzeniem. Okta zauważa, że DBSC jest rozwiązaniem wczesnym — usługi muszą je wdrożyć po stronie serwera — oraz że Chrome 145 for Windows, wydany w marcu 2026 r., może je obsługiwać. Odnotowuje również, że twórcy stealerów stosunkowo szybko obeszli Google's App-Bound Encryption, wprowadzone w 2024 r. w celu szyfrowania danych przeglądarki. Cloud Security Alliance wyciąga wniosek operacyjny, że to unieważnienie tokenów, a nie reset hasła, zamyka skradzioną aktywną sesję.

Rekord pozostaje tam, gdzie lokują go jego pola: ustalenie badawcze o średniej istotności, pewność A, bezsporne, bez odnotowanych rzeczywistych szkód i z zaledwie jednym dniem od publikacji. Wartością, która przemawia za jego zachowaniem, jest udokumentowana asymetria — koszt dodania kolejnego agenta do listy zbierania to jedna aktualizacja konfiguracji, podczas gdy koszt wiedzy o tym, które agenty na których maszynach przechowują poświadczenia wielokrotnego użytku, to inwentaryzacja, której większość organizacji nie przeprowadziła.