Infostealers voltam-se para dados de agentes de IA: regras de coleta agora visam Claude, Cursor e Codex

Em 8 de setembro de 2026, a Gen Digital publicou uma análise das regras de coleta de ladrões de informações e descobriu que a lista de alvos ganhou uma nova linha: os dados locais de agentes de codificação com IA. Ao longo de uma janela de três meses, sua telemetria do Windows registrou detecções de Amatera e Remus entre dezenas de milhares de usuários protegidos do Windows — ladrões cujos arquivos de regras agora alcançam os diretórios do Cline, Continue, Claude da Anthropic, Cursor e OpenCode. O CallbackBeaver adicionou Claude e Cursor ao seu escopo de coleta e foi observado em mais de 5.000 amostras em um período de 30 dias. O que é levado não são preferências, mas acesso e contexto: tokens de acesso e de atualização, credenciais presentes em configurações do Model Context Protocol, históricos de prompts, bancos de dados de conversas e um mapa dos projetos nos quais um desenvolvedor estava trabalhando. Nenhuma nova falha está envolvida — o ladrão já está em execução quando a nova regra chega, e o valor migrou para arquivos locais previsíveis. Este relato baseia-se no relatório da Gen Digital, na análise da Okta de um dump de logs roubados publicado no mesmo dia e na nota de pesquisa da Cloud Security Alliance, e o arquivo de incidentes de IA mantém esta entrada ao lado de suas vizinhas, cada uma com suas próprias fontes, gravidade e grau de confiança.

O arquivo classifica o item como um achado de pesquisa, e não como um evento de implantação — tipo: pesquisa; severidade: média; confiança: A; disputado: falso; real_harm: falso; região: GLOBAL; marcado como CRED e EXFIL — com uma data com precisão de dia: 8 de setembro de 2026. Essa é a data em que a Gen Digital publicou, não a data em que qualquer máquina específica foi infectada, e nenhum dos dois relatórios oferece uma data de infecção para as próprias regras. Vale a pena ler o campo real_harm com atenção. Nada no registro nem em suas fontes descreve uma tomada de conta confirmada atribuída a essas regras de coleta; o que está documentado é capacidade e exposição, o que faz parte do motivo pelo qual a entrada é classificada como média, e não como alta.

Nenhuma nova falha: o stealer já está em execução quando a regra chega.

A Gen Digital deixa explícito que não está descrevendo uma vulnerabilidade. Suas descobertas "não apontam para uma nova forma de comprometer o dispositivo nem para uma vulnerabilidade em um modelo de IA ou agente", afirma o relatório; o infostealer já está em execução, e o que mudou é "a concentração de informações valiosas em locais previsíveis, às vezes em texto simples, e a facilidade com que esses locais podem ser adicionados a uma lista de coleta existente."

Essa facilidade é o mecanismo. Muitos stealers recebem regras de coleta gerenciadas remotamente que especificam diretórios, nomes de arquivos, extensões, bancos de dados, profundidade de busca ou limites de tamanho de arquivo, de modo que um operador que descobre onde um agente guarda seus tokens pode adicionar outro caminho sem recompilar ou redistribuir o malware — e a regra atualizada chega a instalações que já estão em máquinas comprometidas. A Gen Digital acrescenta duas ressalvas a isso: a abordagem não se aplica a todos os stealers, e algumas ferramentas exigem parsing ou descriptografia específicos do produto, em vez de uma entrada de caminho. Seu aviso prático diz respeito ao formato das evidências — se um grande stealer não coleta um determinado agente hoje, essa ausência é um instantâneo, "não como evidência de que o agente permanecerá fora do escopo de coleta".

Qual família alcança qual agente

As duas famílias com telemetria por trás delas são Amatera, voltada para dados associados a Cline e Continue, e Remus, voltada para Claude, Cursor e OpenCode. A Gen Digital diz que os números de ambas “podem se sobrepor e descrever detecções em vez de infecções bem-sucedidas” — uma distinção que importa ao ler os números como medida de quantos desenvolvedores foram realmente roubados. Ao redor delas estão as famílias que fazem o comportamento parecer uma tendência, e não um experimento: BeeStealer, STG Stealer, HydraStealer, APEX Stealer e Otter Stealer, que o relatório classifica como de menor prevalência, e Djinn Stealer, que mostra o mesmo comportamento no macOS e está associada à coleta a partir de Claude, Codex, Gemini, Cline, OpenCode e Kilo.

O resumo da própria Gen Digital sobre o ritmo é que dados de agentes de IA apareciam "nas regras de coleta de outro infostealer quase todos os dias". Para dimensionar, ela situa esse direcionamento dentro de um problema muito mais antigo: durante o primeiro semestre de 2026, sua telemetria registrou detecções de infostealer entre mais de 3,3 milhões de usuários protegidos únicos, com o número mensal consistentemente acima de 500.000. Esses totais abrangem todas as famílias de infostealer, não apenas as conhecidas por acessar dados de agentes de IA, portanto medem o universo em que as novas regras estão se disseminando, e não o alcance das novas regras.

O que sai é um refresh token e um mapa da base de código.

O relatório divide o que um diretório de agente contém em duas categorias, e essa divisão é a essência da conclusão. A primeira é o acesso: alguns agentes armazenam em cache tokens de acesso ou detalhes de login localmente para que o usuário não precise se autenticar novamente a cada sessão. Um token de acesso pode ser utilizável até expirar; um token de atualização às vezes pode ser trocado por novos tokens de acesso e ampliar a janela. A Gen Digital é cautelosa quanto aos limites — o resultado “depende do escopo, da vida útil e dos controles do próprio serviço sobre o token, de modo que roubar um arquivo não garante acesso duradouro” — ao mesmo tempo que observa que o arquivo “ainda pode ser tão sensível quanto um cofre de senhas”.

A segunda categoria é o contexto, e é por isso que esta não é simplesmente uma questão de credenciais. Prompts e transcrições podem conter código-fonte proprietário, nomes de repositórios, nomes de host internos e segredos colados para fins de solução de problemas; uma transcrição pode entregar a um atacante a estrutura de uma base de código, fraquezas conhecidas e as pessoas envolvidas, o que o relatório descreve como reconhecimento "que um atacante, de outra forma, passaria dias coletando". Quando um desenvolvedor usou um assistente em uma prova de conceito confidencial, o histórico pode expor uma invenção não patenteada. O resumo da Gen Digital sobre a combinação é que um único arquivo pode conter "tanto os meios para acessar uma conta quanto o contexto necessário para entender o que é valioso por trás dela".

As configurações do Model Context Protocol ficam entre as duas categorias. Elas podem conter endpoints, cabeçalhos, variáveis de ambiente e chaves de API e, quando segredos reutilizáveis são armazenados localmente, o comprometimento pode alcançar controle de código-fonte, plataformas de tickets, bancos de dados ou serviços de nuvem aos quais o agente estava conectado. O relatório não exagera: algumas integrações usam credenciais de curta duração, armazenamento protegido pelo sistema operacional ou um fluxo de autorização interativo, de modo que uma configuração roubada não desbloqueia automaticamente tudo o que ela nomeia.

A Okta contabilizou o lado do comprador do mesmo mercado.

A equipe de inteligência de ameaças da Okta abordou o mesmo problema pelo outro lado, e seu relatório também traz um carimbo de data/hora de publicação de 8 de setembro de 2026. Ele analisou um despejo de logs gratuito de 7 GB publicado em um canal do Telegram em 2 de agosto de 2026 — 5.871 pastas, uma por máquina infectada, distribuídas por 162 países — usando expressões regulares personalizadas e o scanner de segredos de código aberto TruffleHog. Dos 44.791 JSON Web Tokens exclusivos no despejo, 555 foram identificados como provavelmente vinculados à autenticação de serviços de IA. Uma busca separada encontrou 2.937 objetos JSON Web Encryption relacionados à autenticação, a maioria deles definidos pela OpenAI usando NextAuth.js, e 1.843 JWTs e JWEs de todos os tipos ainda não haviam expirado no dia da divulgação.

As contagens por provedor são a parte que se torna um número sobre o qual uma equipe de segurança pode agir. A Anthropic foi responsável por 561 tokens de sessão únicos em 404 máquinas distintas, dos quais 164 não haviam expirado; a Cursor foi responsável por 32 em 26 máquinas, dos quais 16 não haviam expirado. Google e Microsoft dominam a tabela com 9.829 e 2.491 tokens, mas a Okta observa que esses totais passam por gateways de logon único e abrangem toda a base de contas de cada fornecedor, portanto não são uma medida de exposição específica à IA. O TruffleHog também retornou 24 chaves de API ainda válidas em quatro serviços de modelos relacionados à IA — a categoria que a Okta descreve como uma credencial que um comprador pode usar para executar inferência na fatura de outra pessoa. Jeremy Kirk, diretor de inteligência de ameaças da Okta, explicou o mecanismo de forma clara: tokens de sessão e chaves de API são buscados "porque muitas vezes é possível reutilizar esses segredos e contornar a autenticação baseada em credenciais".

A Okta é cautelosa quanto ao que o dump comprova. Afirma que "não observou evidências de sessões Okta roubadas neste dump de dados", e um token roubado ainda falha onde uma organização aplica allowlisting de IP. Os números financeiros em sua introdução — uma fatura de quase US$ 1 milhão para uma organização, US$ 600.000 em créditos de IA perdidos por uma organização de testes de IA por meio de uma chave de API roubada — são citados como casos separados, relatados anteriormente, e não como danos deste conjunto de dados. A nota de pesquisa da Cloud Security Alliance de 11 de setembro de 2026 faz o mesmo ponto explicitamente: a análise da Okta descreve tokens presentes em um dump criminoso e sua capacidade teórica de replay, não afirma ter medido quantos foram realmente explorados e não atribui uma violação específica ao dump.

O lado da demanda também é corroborado fora da Okta. O The Hacker News noticiou em 9 de setembro de 2026 que a Okta havia sinalizado anúncios no Telegram vendendo acesso com desconto a contas de Claude, Cursor, ChatGPT e Gemini, com suporte 24 horas por dia, 7 dias por semana, e garantias de reembolso, e que um serviço que se autodenomina Poison Claude anunciava acesso ao Opus 4.6, 4.7 e 4.8 e ao Sonnet 4.6 da Anthropic. O Gizmodo cobriu o mesmo mercado em 10 de setembro de 2026. O The Hacker News também trouxe a avaliação do Google Threat Intelligence Group de que o custo do acesso a modelos premium está impulsionando “o aumento de ataques direcionados, da exfiltração e da venda de contas de IA entre comunidades de cibercrime”, e descreveu um trabalho de resposta a incidentes da Mandiant no qual um agente de ameaça usou um token de acesso pessoal do GitHub exposto para implantar infraestrutura de IA não autorizada.

O que o registro de fato estabelece, e o que nenhuma fonte citada resolve

Está estabelecido, e assim afirmado pelas fontes, que stealers comuns adicionaram caminhos de agentes de codificação de IA às regras de coleta gerenciadas remotamente em várias famílias e dois sistemas operacionais; os diretórios locais podem conter tokens, credenciais MCP, históricos e metadados de projeto; e um grande dump gratuito continha material de autenticação não expirado para serviços de IA, incluindo 164 tokens de sessão da Anthropic não expirados e 24 chaves de API válidas.

• Não comprovado: que alguma dessas regras tenha produzido uma tomada de conta confirmada. Nem a Gen Digital nem a Okta relatam uma vítima cuja conta tenha sido acessada com um token roubado dessas coleções específicas, e o valor false de real_harm no arquivo reflete essa lacuna, e não uma negação de que o dano seja possível.

• Não estabelecido: quantos desenvolvedores foram afetados. Os números Amatera e Remus da Gen Digital são detecções entre usuários protegidos, podem se sobrepor e não são infecções; as contagens da Okta descrevem um único dump de 7 GB, não o mercado.

• Não estabelecido: quais agentes armazenam o quê, por padrão. Ambos os relatórios enfatizam que caminhos, arquivos e proteções variam conforme o produto, o sistema operacional e a configuração do usuário, portanto nenhum agente isolado pode ser inocentado com base neste registro — a resposta da Gen Digital é inventariar o que é armazenado localmente antes de presumir que qualquer produto seja seguro.

• Não estabelecido: o que qualquer fornecedor de agentes alterou. Nenhum dos dois relatórios descreve uma alteração de produto feita em resposta, e nenhum afirma que um fornecedor foi notificado. As únicas mitigações do lado do produto discutidas são genéricas — armazenamentos de credenciais do sistema operacional, tokens de escopo de curta duração e controles de retenção que a Gen Digital argumenta que deveriam vir das próprias ferramentas.

• Corrigido após a publicação: a nota da Cloud Security Alliance traz uma revisão versão 1.1 datada de 11 de setembro de 2026, na qual afirma ter corrigido um problema de inflação de escala em que as contagens de tokens de logon em todo o ecossistema do Google e da Microsoft tinham sido apresentadas como exposição específica de IA sem a ressalva da própria Okta, juntamente com uma citação anexada incorretamente e duas referências que não puderam ser confirmadas como ativas.

O que mudou depois: rotações, não redefinições de senha

A resposta sobre a qual ambos os relatórios convergem é uma mudança na resposta a incidentes, e não um patch. A orientação da Gen Digital é tratar um arquivo de autenticação local como uma senha, preferir o keychain ou keyring do sistema operacional quando o produto oferecer essa opção, manter segredos fora de prompts, conceder às integrações MCP apenas as permissões de que precisam e — após uma infeção por stealer — trabalhar a partir de um dispositivo limpo para revogar sessões de serviços de IA e rotacionar chaves de API e credenciais MCP. Sua declaração mais direta é que “mudar apenas as senhas do navegador já não é suficiente”, e que a autenticação multifator pode não impedir o abuso de um token de sessão que já foi roubado.

Os controles da Okta são o complemento do lado da identidade: limites de uso e lista de permissões de IP em chaves de API, fluxos OAuth 2.0 que emitem tokens de acesso de curta duração a partir de um token de atualização mantido em um keychain, monitoramento de reutilização de tokens de sessão e Device-Bound Session Credentials, que vinculam criptograficamente uma sessão a um dispositivo. A Okta observa que o DBSC é recente — os serviços precisam implementá-lo no lado do servidor — e que o Chrome 145 para Windows, lançado em março de 2026, pode suportá-lo. Também registra que o App-Bound Encryption do Google, introduzido em 2024 para criptografar dados do navegador, foi contornado por desenvolvedores de stealers com bastante rapidez. A Cloud Security Alliance chega à conclusão operacional de que a revogação de tokens, e não a redefinição de senha, é o que encerra uma sessão ativa roubada.

O registro permanece onde seus campos o colocam: uma descoberta de pesquisa de severidade média, confiança A, incontestável, sem nenhum dano real registrado e com apenas um dia de publicação. O que o torna digno de ser mantido é a assimetria que ele documenta — o custo de adicionar outro agente a uma lista de coleta é uma única atualização de configuração, enquanto o custo de saber quais agentes em quais máquinas possuem credenciais reutilizáveis é um inventário que a maioria das organizações não fez.