Инфостилеры переключились на данные ИИ-агентов: правила сбора теперь нацелены на Claude, Cursor и Codex

8 сентября 2026 года Gen Digital опубликовала анализ правил сбора инфостилеров и обнаружила, что в целевой список добавилась новая строка: локальные данные ИИ-агентов для программирования. За трёхмесячный период её телеметрия Windows зафиксировала детекции Amatera и Remus у десятков тысяч защищённых пользователей Windows — инфостилеров, чьи файлы правил теперь добираются до каталогов Cline, Continue, Claude от Anthropic, Cursor и OpenCode. CallbackBeaver добавил Claude и Cursor в область сбора и был обнаружен более чем в 5 000 образцах за 30-дневный период. Похищают не настройки, а доступ и контекст: токены доступа и обновления, учётные данные, находящиеся в конфигурациях Model Context Protocol, истории промптов, базы данных диалогов и карту проектов, над которыми работал разработчик. Здесь нет новой уязвимости — инфостилер уже работает, когда приходит новое правило, а ценность переместилась в предсказуемые локальные файлы. Этот отчёт опирается на доклад Gen Digital, анализ Okta дампа украденных логов, опубликованный в тот же день, и исследовательскую заметку Cloud Security Alliance, а архив инцидентов ИИ содержит эту запись рядом с соседними, у каждой из которых есть собственные источники, уровень серьёзности и оценка достоверности.

Архив относит запись к исследовательской находке, а не к событию развёртывания: kind — research, severity — medium, confidence — A, disputed — false, real_harm — false, region — GLOBAL, tagged — CRED и EXFIL, с датой 8 сентября 2026 года с точностью до дня. Это день публикации Gen Digital, а не день заражения какой-либо конкретной машины, и ни один из отчётов не приводит дату заражения самих правил. Поле real_harm стоит читать медленно. Ни в записи, ни в её источниках не описывается подтверждённый захват учётной записи, который можно проследить до этих правил сбора; документированы лишь способность и подверженность, что отчасти объясняет, почему запись оценена как medium, а не high.

Никакого нового изъяна: стилер уже работает к моменту поступления правила

Gen Digital прямо указывает, что не описывает уязвимость. В отчёте говорится, что полученные результаты «не указывают на новый способ компрометации устройства или на уязвимость в модели ИИ или агенте»; инфостилер уже работает, а изменилось «сосредоточение ценной информации в предсказуемых местах, иногда в открытом виде, и лёгкость, с которой эти места можно добавить в существующий список сбора данных».

Эта лёгкость и есть механизм. Многие стилеры получают удалённо управляемые правила сбора, в которых задаются каталоги, имена файлов, расширения, базы данных, глубина поиска или ограничения размера файлов, поэтому оператор, узнавший, где агент хранит свои токены, может добавить ещё один путь без пересборки или повторного распространения вредоносного ПО — и обновлённое правило доходит до установок, уже находящихся на скомпрометированных машинах. Gen Digital добавляет к этому две оговорки: подход применим не ко всем стилерам, а некоторым инструментам требуется специфический для продукта разбор или расшифровка, а не запись пути. Его практическое предупреждение касается характера доказательств — если крупный стилер сегодня не собирает данные конкретного агента, это отсутствие является снимком состояния, «а не доказательством того, что агент останется вне области сбора».

Какое семейство проникает в какого агента

Два семейства, по которым есть телеметрия, — это Amatera, нацеленное на данные, связанные с Cline и Continue, и Remus, нацеленное на Claude, Cursor и OpenCode. Gen Digital заявляет, что показатели для обоих «могут пересекаться и описывать обнаружения, а не успешные заражения» — различие, важное при чтении этих чисел как меры того, сколько разработчиков действительно обокрали. Вокруг них находятся семейства, из-за которых это поведение выглядит скорее тенденцией, чем экспериментом: BeeStealer, STG Stealer, HydraStealer, APEX Stealer и Otter Stealer, которые в отчёте отнесены к менее распространённым, а также Djinn Stealer, который демонстрирует то же поведение на macOS и связан со сбором данных из Claude, Codex, Gemini, Cline, OpenCode и Kilo.

По собственной оценке Gen Digital, темпы таковы: данные ИИ-агентов появлялись «в правилах сбора другого стилера почти каждый день». Чтобы продемонстрировать масштаб, компания вписывает этот таргетинг в гораздо более давнюю проблему: в первой половине 2026 года её телеметрия зафиксировала обнаружения инфостилеров у более чем 3,3 млн уникальных защищённых пользователей, при этом месячный показатель стабильно превышал 500 000. Эти итоговые значения охватывают все семейства инфостилеров, а не только те, что, как известно, затрагивают данные ИИ-агентов, поэтому они измеряют пул, через который распространяются новые правила, а не охват самих новых правил.

На выходе получается refresh token и карта кодовой базы

В отчёте содержимое каталога агента делится на две категории, и само это разделение составляет суть вывода. Первая — доступ: некоторые агенты кэшируют токены доступа или учётные данные для входа локально, чтобы пользователю не приходилось повторно проходить аутентификацию в каждой сессии. Токен доступа может быть пригоден до истечения срока действия; refresh-токен иногда можно обменять на новые токены доступа и продлить окно. Gen Digital осторожно говорит об ограничениях — результат «зависит от области действия токена, срока его жизни и собственных механизмов контроля сервиса, поэтому кража файла не гарантирует долговременный доступ», — при этом отмечая, что файл «всё равно может быть столь же чувствительным, как хранилище паролей».

Вторая категория — контекст, и именно поэтому это не просто история об учётных данных. Промпты и стенограммы могут содержать проприетарный исходный код, имена репозиториев, внутренние имена хостов и секреты, вставленные для устранения неполадок; стенограмма может передать злоумышленнику структуру кодовой базы, известные слабые места и причастных людей, что в отчёте описывается как разведка, «на сбор которой злоумышленник иначе потратил бы дни». Если разработчик использовал ассистента при работе над конфиденциальным прототипом, история может раскрыть незапатентованное изобретение. В резюме Gen Digital об этой комбинации говорится, что один архив может содержать «как средства для доступа к учётной записи, так и контекст, необходимый для понимания того, что ценного за ней скрывается».

Конфигурации Model Context Protocol находятся между этими двумя категориями. Они могут содержать конечные точки, заголовки, переменные среды и API-ключи, а если многоразовые секреты хранятся локально, компрометация может затронуть систему контроля версий, платформы для тикетов, базы данных или облачные сервисы, к которым был подключён агент. В отчёте это не преувеличивается: некоторые интеграции используют краткосрочные учётные данные, защищённое ОС хранилище или интерактивный процесс авторизации, поэтому украденная конфигурация не обязательно автоматически открывает доступ ко всему, что в ней указано.

Okta учла сторону покупателя на том же рынке

Команда Okta по анализу угроз подошла к той же проблеме с другой стороны, и в её отчёте также указана дата публикации — 8 сентября 2026 года. Она проанализировала бесплатный дамп логов объёмом 7 ГБ, опубликованный в канале Telegram 2 августа 2026 года — 5 871 папка, по одной на каждую заражённую машину, в 162 странах — с помощью собственных регулярных выражений и сканера секретов с открытым исходным кодом TruffleHog. Из 44 791 уникального JSON Web Token в дампе 555 были определены как вероятно связанные с аутентификацией в сервисах ИИ. Отдельный поиск выявил 2 937 объектов JSON Web Encryption, связанных с аутентификацией, большинство из которых были заданы OpenAI с использованием NextAuth.js, а 1 843 JWT и JWE всех видов всё ещё не истекли на день публикации.

Количество по каждому поставщику — это та часть, которая превращается в число, на которое может опираться команда безопасности. На Anthropic пришлось 561 уникальный сеансовый токен на 404 различных машинах, из которых 164 не истекли; на Cursor — 32 на 26 машинах, из которых 16 не истекли. Google и Microsoft доминируют в таблице с 9 829 и 2 491 токеном, но Okta отмечает, что эти итоги проходят через шлюзы единого входа и охватывают всю клиентскую базу каждого поставщика, поэтому они не являются мерой подверженности риску, специфичному для ИИ. TruffleHog также вернул 24 всё ещё действительных ключа API в четырёх связанных с ИИ сервисах моделей — категория, которую Okta описывает как учётные данные, которые покупатель может использовать для запуска инференса за чужой счёт. Джереми Кирк, директор Okta по анализу угроз, прямо объяснил механизм: сеансовые токены и ключи API пользуются спросом, «потому что часто можно повторно использовать эти секреты и обойти аутентификацию на основе учётных данных».

Okta осторожна в выводах о том, что доказывает этот дамп. Она заявляет, что «не обнаружила свидетельств кражи сессий Okta в этом дампе данных», а украденный токен всё равно не сработает там, где организация применяет список разрешённых IP-адресов. Финансовые цифры во введении — счёт почти на 1 млн долларов для одной организации, 600 000 долларов в виде кредитов на ИИ, потерянных организацией, занимающейся тестированием ИИ, из-за украденного API-ключа — приводятся как отдельные, ранее освещавшиеся случаи, а не как ущерб от этого набора данных. Аналитическая записка Cloud Security Alliance от 11 сентября 2026 года прямо указывает на то же самое: анализ Okta описывает токены, присутствующие в дампе, опубликованном преступниками, и их теоретическую возможность повторного использования, не утверждает, что удалось измерить, сколько из них фактически было использовано, и не связывает конкретную утечку с этим дампом.

Спрос также подтверждается источниками за пределами Okta. Издание The Hacker News 9 сентября 2026 года сообщило, что Okta отметила размещённые в Telegram объявления о продаже доступа со скидкой к аккаунтам Claude, Cursor, ChatGPT и Gemini с поддержкой 24/7 и гарантиями возврата денег, а также что сервис, называющий себя Poison Claude, рекламировал доступ к моделям Anthropic Opus 4.6, 4.7 и 4.8 и Sonnet 4.6. Издание Gizmodo 10 сентября 2026 года освещало тот же рынок. The Hacker News также привела оценку Google Threat Intelligence Group, согласно которой стоимость доступа к премиальным моделям способствует «росту целенаправленных атак, хищения и продажи аккаунтов ИИ в киберпреступных сообществах», и описала случай из практики Mandiant по реагированию на инцидент, когда субъект угрозы использовал оказавшийся в открытом доступе токен личного доступа GitHub для развёртывания несанкционированной инфраструктуры ИИ.

Что действительно устанавливают материалы дела и что не разрешает ни один из цитируемых источников

Установлено, и источники прямо это заявляют: массовые стилеры добавили пути ИИ-агентов для программирования в удалённо управляемые правила сбора данных в нескольких семействах и двух операционных системах; локальные каталоги могут содержать токены, учётные данные MCP, историю и метаданные проектов; а крупный бесплатный дамп действительно содержал неистёкшие аутентификационные материалы для ИИ-сервисов, включая 164 неистёкших сессионных токена Anthropic и 24 действующих API-ключа.

• Не установлено: что какое-либо из этих правил привело к подтверждённому захвату аккаунта. Ни Gen Digital, ни Okta не сообщают о жертве, в аккаунт которой вошли с помощью украденного токена из этих конкретных коллекций, и значение false поля real_harm в архиве отражает этот пробел, а не отрицание того, что вред возможен.

• Не установлено: сколько разработчиков пострадало. Цифры Gen Digital по Amatera и Remus — это обнаружения среди защищённых пользователей, они могут пересекаться и не являются фактами заражения; данные Okta описывают один дамп объёмом 7 ГБ, а не рынок в целом.

• Не установлено: какие агенты и что хранят по умолчанию. В обоих отчётах подчёркивается, что пути, файлы и средства защиты различаются в зависимости от продукта, операционной системы и пользовательской конфигурации, поэтому ни одного агента нельзя исключить на основании этих данных — Gen Digital предлагает сначала провести инвентаризацию того, что хранится локально, прежде чем считать какой-либо продукт безопасным.

• Не установлено: что изменил какой-либо поставщик агентов. Ни в одном из отчётов не описывается изменение продукта, сделанное в ответ, и ни в одном не говорится, что поставщик был уведомлён. Обсуждаемые меры на стороне продукта носят лишь общий характер — хранилища учётных данных ОС, краткосрочные токены с ограниченной областью действия и механизмы контроля хранения, которые, по мнению Gen Digital, должны обеспечиваться самими инструментами.

Исправлено после публикации: в записке Cloud Security Alliance содержится редакция версии 1.1 от 11 сентября 2026 года, в которой, как утверждается, исправлена проблема завышения масштаба, когда количество токенов единого входа по всей экосистеме Google и Microsoft было представлено как подверженность риску, специфичная для ИИ, без собственной оговорки Okta, а также неправильно прикреплённая ссылка на источник и две ссылки, которые не удалось подтвердить как действующие.

Что изменилось после: ротации, а не сбросы паролей

Ответ, к которому сходятся оба отчёта, — это изменение процесса реагирования на инциденты, а не патч. Gen Digital рекомендует обращаться с локальным файлом аутентификации как с паролем, отдавать предпочтение цепочке ключей операционной системы или keyring, если продукт предоставляет такой выбор, не оставлять секреты в промптах, предоставлять MCP-интеграциям только необходимые разрешения и — после заражения стилером — работать с чистого устройства, чтобы отозвать сеансы AI-сервисов и провести ротацию API-ключей и учётных данных MCP. Самая резкая формулировка: «сменить только пароли в браузере уже недостаточно», а многофакторная аутентификация может не остановить злоупотребление уже украденным токеном сеанса.

Средства контроля Okta — это дополнение со стороны идентификации: ограничения использования и внесение IP-адресов в список разрешенных для API-ключей, потоки OAuth 2.0, которые выпускают краткоживущие токены доступа на основе refresh-токена, хранящегося в связке ключей, мониторинг повторного использования токенов сеанса и Device-Bound Session Credentials, которые криптографически привязывают сеанс к устройству. Okta отмечает, что DBSC находится на ранней стадии — сервисы должны реализовать его на стороне сервера — и что Chrome 145 для Windows, выпущенный в марте 2026 года, может его поддерживать. Также отмечается, что Google's App-Bound Encryption, внедренное в 2024 году для шифрования данных браузера, было довольно быстро обойдено разработчиками стилеров. Cloud Security Alliance делает операционный вывод: именно отзыв токенов, а не сброс пароля, закрывает украденный активный сеанс.

Запись остаётся там, куда её помещают поля: исследовательская находка средней степени серьёзности, уровень уверенности A, не оспаривается, без зафиксированного реального ущерба и всего с одним днём с момента публикации. Ценность для сохранения придаёт документируемая ею асимметрия: стоимость добавления ещё одного агента в список сбора — одно обновление конфигурации, тогда как стоимость знания того, какие агенты на каких машинах хранят переиспользуемые учётные данные, — это инвентаризация, которую большинство организаций не провели.