Infostealers vänder sig nu till AI-agentdata: insamlingsreglerna riktar sig mot Claude, Cursor och Codex

Den 8 september 2026 publicerade Gen Digital en analys av insamlingsregler för informationsstjälande program och konstaterade att mållistan har utökats med en ny rad: lokala data från AI-kodagenter. Under ett tremånadersfönster registrerade dess Windows-telemetri Amatera- och Remus-detektioner bland tiotusentals skyddade Windows-användare – infostealers vars regelfiler nu når in i katalogerna för Cline, Continue, Anthropics Claude, Cursor och OpenCode. CallbackBeaver lade till Claude och Cursor i sitt insamlingsomfång och observerades i fler än 5 000 prover under en 30-dagarsperiod. Det som tas är inte inställningar utan åtkomst och kontext: åtkomst- och refresh-token, autentiseringsuppgifter som ligger i Model Context Protocol-konfigurationer, prompthistorik, konversationsdatabaser och en karta över de projekt som en utvecklare arbetade med. Ingen ny sårbarhet är inblandad – infostealern körs redan när den nya regeln anländer, och värdet har flyttat in i förutsägbara lokala filer. Denna redogörelse bygger på Gen Digitals rapport, på Oktas analys av en dump av stulna loggar som publicerades samma dag och på Cloud Security Alliances forskningsnotis, och AI-incidentarkivet innehåller denna post tillsammans med sina grannar, var och en med sina egna källor, allvarlighetsgrad och konfidensgrad.

Arkivet registrerar posten som ett forskningsrön snarare än en driftsättningshändelse: typ research, allvarlighetsgrad medium, konfidens A, disputed false, real_harm false, region GLOBAL, taggad med CRED och EXFIL, med ett dagspecifikt datum den 8 september 2026. Det är dagen då Gen Digital publicerade, inte dagen då någon specifik maskin infekterades, och ingen av rapporterna anger något infekteringsdatum för själva reglerna. Fältet real_harm är värt att läsa långsamt. Inget i posten eller i dess källor beskriver ett bekräftat kontokapande som kan spåras tillbaka till dessa insamlingsregler; det som dokumenteras är kapacitet och exponering, vilket är en del av anledningen till att posten graderas som medium i stället för high.

Ingen ny brist: stjälarprogrammet körs redan när regeln anländer

Gen Digital är tydliga med att de inte beskriver en sårbarhet. Företagets fynd ”pekar inte på ett nytt sätt att kompromettera enheten eller på en sårbarhet i en AI-modell eller agent”, står det i rapporten; informationsstjälningsprogrammet är redan igång, och det som har förändrats är ”koncentrationen av värdefull information på förutsägbara platser, ibland i klartext, och hur enkelt dessa platser kan läggas till i en befintlig insamlingslista.”

Den enkelheten är mekanismen. Många stealers tar emot fjärrhanterade insamlingsregler som anger kataloger, filnamn, filändelser, databaser, sökdjup eller gränser för filstorlek, så en operatör som får veta var en agent förvarar sina tokens kan lägga till en annan sökväg utan att bygga om eller distribuera om skadlig programvara — och den uppdaterade regeln når installationer som redan finns på komprometterade maskiner. Gen Digital knyter två förbehåll till detta: tillvägagångssättet gäller inte alla stealers, och vissa verktyg behöver produktspecifik parsning eller dekryptering i stället för en sökvägspost. Dess praktiska varning gäller evidensens form — om en stor stealer inte samlar in en viss agent i dag, är den frånvaron en ögonblicksbild, "inte som bevis för att agenten kommer att förbli utanför insamlingsomfånget."

Vilken familj når in i vilken agent?

De två familjerna som har telemetri bakom sig är Amatera, med inriktning på data kopplade till Cline och Continue, och Remus, med inriktning på Claude, Cursor och OpenCode. Gen Digital säger att siffrorna för båda ”kan överlappa och beskriva detektioner snarare än lyckade infektioner” – en distinktion som spelar roll när man läser siffrorna som ett mått på hur många utvecklare som faktiskt blev bestulna. Runt dem finns de familjer som får beteendet att framstå som en trend snarare än ett experiment: BeeStealer, STG Stealer, HydraStealer, APEX Stealer och Otter Stealer, som rapporten klassar som mindre utbredda, och Djinn Stealer, som uppvisar samma beteende på macOS och förknippas med insamling från Claude, Codex, Gemini, Cline, OpenCode och Kilo.

Gen Digitals egen sammanfattning av takten är att AI-agentdata dök upp "i insamlingsreglerna för en annan stealer nästan varje dag". För att sätta det i proportion placerar den inriktningen inom ett mycket äldre problem: under första halvan av 2026 registrerade dess telemetri infostealer-detektioner bland fler än 3,3 miljoner unika skyddade användare, med en månadssiffra som konsekvent låg över 500 000. Dessa summor omfattar alla infostealerfamiljer, inte bara de som är kända för att beröra AI-agentdata, så de mäter den pool som de nya reglerna sprids genom snarare än räckvidden för de nya reglerna.

Det som kommer ut är en refresh token och en karta över kodbasen.

Rapporten delar upp vad en agentkatalog innehåller i två kategorier, och uppdelningen är själva kärnan i fyndet. Den första är åtkomst: vissa agenter cachar åtkomsttoken eller inloggningsuppgifter lokalt så att en användare inte behöver autentisera sig igen varje session. Ett åtkomsttoken kan vara användbart till det löper ut; en refresh token kan ibland bytas mot nya åtkomsttoken och förlänga fönstret. Gen Digital är noga med begränsningarna – resultatet "beror på tokenens omfattning, livslängd och tjänstens egna kontroller, så att stjäla en fil garanterar inte varaktig åtkomst" – samtidigt som de noterar att filen "fortfarande kan vara lika känslig som ett lösenordsvalv".

Den andra kategorin är kontext, och det är därför detta inte bara är en historia om inloggningsuppgifter. Prompter och transkript kan innehålla proprietär källkod, repositorienamn, interna värdnamn och hemligheter som klistrats in för felsökning; ett transkript kan ge en angripare strukturen i en kodbas, kända svagheter och personerna som är inblandade, vilket rapporten beskriver som spaning som "en angripare annars skulle lägga dagar på att samla in". När en utvecklare har använt en assistent på en konfidentiell proof of concept kan historiken avslöja en opatenterad uppfinning. Gen Digitals sammanfattning av kombinationen är att ett arkiv kan bära "både medlen för att komma åt ett konto och den kontext som behövs för att förstå vad som är värdefullt bakom det".

Konfigurationer för Model Context Protocol ligger mellan de två kategorierna. De kan innehålla slutpunkter, headers, miljövariabler och API-nycklar, och där återanvändbara hemligheter lagras lokalt kan komprometteringen nå versionshantering, ärendehanteringsplattformar, databaser eller molntjänster som agenten var ansluten till. Rapporten överdriver det inte: vissa integrationer använder kortlivade autentiseringsuppgifter, OS-skyddad lagring eller ett interaktivt auktoriseringsflöde, så en stulen konfiguration låser inte automatiskt upp allt som den anger.

Okta räknade köparsidan av samma marknad

Oktas hotunderrättelseteam angrep samma problem från andra hållet, och även dess rapport har en publiceringstidsstämpel från 8 september 2026. Den analyserade en gratis loggdump på 7 GB som lagts upp i en Telegram-kanal den 2 augusti 2026 – 5 871 mappar, en per infekterad dator, spridda över 162 länder – med hjälp av anpassade reguljära uttryck och den öppna källkodsskannern TruffleHog. Av 44 791 unika JSON Web Tokens i dumpen identifierades 555 som sannolikt kopplade till autentisering mot AI-tjänster. En separat sökning hittade 2 937 autentiseringsrelaterade JSON Web Encryption-objekt, de flesta satta av OpenAI med NextAuth.js, och 1 843 JWTs och JWEs av alla slag var fortfarande inte utgångna på publiceringsdagen.

Antalet per leverantör är den del som blir en siffra som ett säkerhetsteam kan agera utifrån. Anthropic svarade för 561 unika sessionstoken på 404 olika maskiner, varav 164 inte hade gått ut; Cursor svarade för 32 på 26 maskiner, varav 16 inte hade gått ut. Google och Microsoft dominerar tabellen med 9 829 respektive 2 491 token, men Okta noterar att dessa summor passerar genom single sign-on-gateways och omfattar varje leverantörs fulla kontobas, så de är inte ett mått på AI-specifik exponering. TruffleHog returnerade också 24 fortfarande giltiga API-nycklar hos fyra AI-relaterade modelltjänster – den kategori som Okta beskriver som en autentiseringsuppgift som en köpare kan använda för att köra inferens på någon annans räkning. Jeremy Kirk, Okta:s chef för hotunderrättelser, beskrev mekanismen rakt ut: sessionstoken och API-nycklar eftertraktas "eftersom det ofta är möjligt att spela upp dessa hemligheter och kringgå autentisering som bygger på autentiseringsuppgifter."

Okta är noga med vad dumpen bevisar. De säger att de "inte observerade några bevis på stulna Okta-sessioner i denna datadump", och en stulen token misslyckas fortfarande när en organisation tillämpar IP-allowlisting. De ekonomiska siffrorna i inledningen – en räkning på nästan 1 miljon dollar för en organisation, AI-krediter till ett värde av 600 000 dollar som en AI-testorganisation förlorade via en stulen API-nyckel – anges som separata, tidigare rapporterade fall, inte som skador från denna datamängd. Cloud Security Alliances forskningsnot från 11 september 2026 framför samma poäng explicit: Oktas analys beskriver token som finns i en brottslig dump och deras teoretiska återspelbarhet, gör inte anspråk på att ha mätt hur många som faktiskt utnyttjades och tillskriver inte dumpen något specifikt intrång.

Även efterfrågesidan bekräftas från håll utanför Okta. The Hacker News rapporterade den 9 september 2026 att Okta hade flaggat Telegram-annonser som sålde rabatterad åtkomst till konton för Claude, Cursor, ChatGPT och Gemini med support dygnet runt och pengarna-tillbaka-garantier, och att en tjänst som marknadsförde sig som Poison Claude annonserade om tillgång till Anthropics Opus 4.6, 4.7 och 4.8 samt Sonnet 4.6. Gizmodo bevakade samma marknad den 10 september 2026. The Hacker News återgav också Google Threat Intelligence Groups bedömning att kostnaden för åtkomst till premiummodeller driver "ökad målinriktning, exfiltrering och försäljning av AI-konton inom cyberbrottsliga grupper", och beskrev ett incidentresponsuppdrag från Mandiant där en hotaktör använde en exponerad personlig åtkomsttoken för GitHub för att driftsätta obehörig AI-infrastruktur.

Vad handlingarna faktiskt fastställer, och vad ingen åberopad källa avgör

Fastställt, och angivet som sådant av källorna: vanliga info-stöldprogram har lagt till sökvägar för AI-kodningsagenter i fjärrhanterade insamlingsregler för flera familjer och två operativsystem; de lokala katalogerna kan innehålla tokens, MCP-uppgifter, historik och projektmetadata; och en stor gratis dump innehöll icke utgånget autentiseringsmaterial för AI-tjänster, inklusive 164 icke utgångna Anthropic-sessionstokens och 24 giltiga API-nycklar.

• Inte fastställt: att någon av dessa regler har lett till ett bekräftat övertagande av konto. Varken Gen Digital eller Okta rapporterar något offer vars konto har loggats in på med en stulen token från dessa specifika samlingar, och arkivets real_harm false återspeglar den luckan snarare än ett förnekande av att skada är möjlig.

• Inte fastställt: hur många utvecklare som drabbades. Gen Digitals siffror för Amatera och Remus är detektioner bland skyddade användare, kan överlappa varandra och är inte infektioner; Okta:s siffror beskriver en enda dump på 7 GB, inte marknaden.

• Inte fastställt: vilka agenter som lagrar vad, som standard. Båda rapporterna betonar att sökvägar, filer och skydd varierar beroende på produkt, operativsystem och användarkonfiguration, så ingen enskild agent kan frikännas utifrån denna redogörelse — Gen Digitals svar är att inventera vad som lagras lokalt innan man antar att någon produkt är säker.

• Inte fastställt: vad någon agentleverantör har ändrat. Ingen av rapporterna beskriver någon produktändring som gjorts som svar, och ingen av dem anger att en leverantör har underrättats. De enda åtgärder på produktsidan som diskuteras är generiska – autentiseringslager i operativsystemet, kortlivade tokens med begränsat omfång och kvarhållningskontroller som Gen Digital hävdar bör komma från verktygen själva.

• Rättat efter publicering: Cloud Security Alliances not har en version 1.1-revision daterad den 11 september 2026, i vilken det uppges att man har åtgärdat ett problem med skalinflation där Googles och Microsofts ekosystemomfattande antal inloggningstoken hade presenterats som AI-specifik exponering utan Oktas eget förbehåll, tillsammans med en felaktigt bifogad citering och två referenser som inte kunde bekräftas vara aktiva.

Vad som ändrades efteråt: rotationer, inte lösenordsåterställningar

Det svar som båda rapporterna enas om är en förändring av incidentresponsen snarare än en patch. Gen Digitals rekommendation är att behandla en lokal autentiseringsfil som ett lösenord, föredra operativsystemets keychain eller keyring när produkten erbjuder det valet, hålla hemligheter borta från promptar, ge MCP-integrationer endast de behörigheter de behöver och – efter en stealer-infektion – arbeta från en ren enhet för att återkalla AI-tjänstesessioner och rotera API-nycklar och MCP-autentiseringsuppgifter. Dess mest direkta formulering är att "att enbart ändra webbläsarlösenord inte längre är tillräckligt" och att flerfaktorsautentisering kanske inte stoppar missbruk av en sessionstoken som redan har stulits.

Oktas kontroller är komplementet på identitetssidan: användningstak och IP-tillåtslistning för API-nycklar, OAuth 2.0-flöden som utfärdar kortlivade åtkomsttoken från en refresh-token som hålls i en nyckelring, övervakning av återanvändning av sessionstoken och Device-Bound Session Credentials, som kryptografiskt knyter en session till en enhet. Okta noterar att DBSC är tidigt – tjänster måste implementera det på serversidan – och att Chrome 145 för Windows, som släpptes i mars 2026, kan stödja det. Det noterar också att Googles App-Bound Encryption, som introducerades 2024 för att kryptera webbläsardata, kringgicks av utvecklare av stöldprogram ganska snabbt. Cloud Security Alliance drar den operativa slutsatsen att det är återkallande av token, inte återställning av lösenord, som stänger av en stulen aktiv session.

Posten förblir där dess fält placerar den: ett forskningsfynd med medelhög allvarlighetsgrad, konfidens A, obestridd, utan registrerad verklig skada och med bara en dag sedan publiceringen. Det som gör den värd att behålla är den asymmetri den dokumenterar – kostnaden för att lägga till ytterligare en agent i en insamlingslista är en konfigurationsuppdatering, medan kostnaden för att veta vilka agenter på vilka maskiner som innehar återanvändbara autentiseringsuppgifter är en inventering som de flesta organisationer inte har gjort.