มัลแวร์ขโมยข้อมูลหันมาสนใจข้อมูลของเอเจนต์ AI: กฎการเก็บข้อมูลตอนนี้กำหนดเป้าหมายไปที่ Claude, Cursor และ Codex

เมื่อวันที่ 8 กันยายน 2026 Gen Digital ได้เผยแพร่บทวิเคราะห์กฎการเก็บข้อมูลของมัลแวร์ขโมยข้อมูล และพบว่ารายการเป้าหมายมีบรรทัดใหม่เพิ่มเข้ามา: ข้อมูลภายในเครื่องของเอเจนต์เขียนโค้ด AI ภายในช่วงเวลาสามเดือน โทรเมทรี Windows ของบริษัทบันทึกการตรวจพบ Amatera และ Remus ในหมู่ผู้ใช้ Windows ที่ได้รับการป้องกันหลายหมื่นราย — มัลแวร์ขโมยข้อมูลเหล่านี้มีไฟล์กฎที่ปัจจุบันเข้าถึงไดเรกทอรีของ Cline, Continue, Claude ของ Anthropic, Cursor และ OpenCode แล้ว CallbackBeaver เพิ่ม Claude และ Cursor เข้าในขอบเขตการเก็บข้อมูล และถูกพบในตัวอย่างมากกว่า 5,000 ตัวอย่างภายในระยะเวลา 30 วัน สิ่งที่ถูกนำไปไม่ใช่การตั้งค่า แต่คือการเข้าถึงและบริบท: โทเค็นการเข้าถึงและรีเฟรช ข้อมูลรับรองที่อยู่ในคอนฟิกูเรชัน Model Context Protocol ประวัติพรอมป์ต์ ฐานข้อมูลการสนทนา และแผนที่โครงการที่นักพัฒนากำลังทำงานอยู่ ไม่มีช่องโหว่ใหม่เข้ามาเกี่ยวข้อง — มัลแวร์ขโมยข้อมูลกำลังทำงานอยู่แล้วเมื่อกฎใหม่มาถึง และมูลค่าได้ย้ายไปอยู่ในไฟล์ภายในเครื่องที่คาดเดาได้ บันทึกนี้ตั้งอยู่บนรายงานของ Gen Digital บทวิเคราะห์ของ Okta เกี่ยวกับดัมป์บันทึกที่ถูกขโมยซึ่งเผยแพร่ในวันเดียวกัน และบันทึกการวิจัยของ Cloud Security Alliance และ คลังเหตุการณ์ AIบรรจุรายการนี้ไว้เคียงข้างรายการอื่น ๆ โดยแต่ละรายการมีแหล่งที่มา ระดับความรุนแรง และระดับความเชื่อมั่นของตนเอง

คลังเก็บข้อมูลจัดเก็บบันทึกนี้เป็นผลการวิจัยมากกว่าเป็นเหตุการณ์การติดตั้งใช้งาน: kind research, severity medium, confidence A, disputed false, real_harm false, region GLOBAL, ติดแท็ก CRED และ EXFIL โดยมีวันที่แม่นยำถึงระดับวันคือ 8 กันยายน 2026 นั่นคือวันที่ Gen Digital เผยแพร่ ไม่ใช่วันที่เครื่องใดเครื่องหนึ่งติดเชื้อ และรายงานทั้งสองฉบับไม่ได้ให้วันที่ติดเชื้อสำหรับกฎเหล่านี้เอง ฟิลด์ real_harm ควรอ่านอย่างช้า ๆ ไม่มีสิ่งใดในบันทึกหรือในแหล่งที่มาของบันทึกที่บรรยายถึงการยึดบัญชีที่ได้รับการยืนยันแล้วซึ่งโยงกลับไปยังกฎการเก็บรวบรวมข้อมูลเหล่านี้ สิ่งที่ได้รับการบันทึกไว้คือความสามารถและความเสี่ยงจากการเปิดเผย ซึ่งเป็นส่วนหนึ่งที่ทำให้รายการนี้ถูกจัดเกรดเป็น medium ไม่ใช่ high

ไม่มีช่องโหว่ใหม่: ตัวขโมยข้อมูลกำลังทำงานอยู่แล้วเมื่อกฎมาถึง

Gen Digital ระบุชัดเจนว่าไม่ได้กำลังอธิบายถึงช่องโหว่ ผลการตรวจพบ "ไม่ได้ชี้ไปยังวิธีใหม่ในการเจาะอุปกรณ์ หรือช่องโหว่ในโมเดล AI หรือเอเจนต์" รายงานระบุ; ตัวขโมยข้อมูลกำลังทำงานอยู่แล้ว และสิ่งที่เปลี่ยนแปลงไปคือ "การรวมตัวกันของข้อมูลที่มีค่าไว้ในตำแหน่งที่คาดเดาได้ บางครั้งอยู่ในรูปแบบข้อความที่ไม่เข้ารหัส และความง่ายในการเพิ่มตำแหน่งเหล่านั้นเข้าไปในรายการรวบรวมข้อมูลที่มีอยู่แล้ว"

ความง่ายนั้นเองคือกลไก สตีลเลอร์จำนวนมากได้รับกฎการเก็บรวบรวมที่จัดการจากระยะไกล ซึ่งระบุไดเรกทอรี ชื่อไฟล์ นามสกุล ฐานข้อมูล ความลึกในการค้นหา หรือขีดจำกัดขนาดไฟล์ ดังนั้นผู้ปฏิบัติการที่รู้ว่าเอเจนต์เก็บโทเค็นไว้ที่ใดก็สามารถเพิ่มเส้นทางอีกเส้นทางหนึ่งได้โดยไม่ต้องสร้างมัลแวร์ใหม่หรือแจกจ่ายซ้ำ — และกฎที่อัปเดตแล้วจะไปถึงการติดตั้งที่อยู่ในเครื่องซึ่งถูกบุกรุกอยู่แล้ว Gen Digital ระบุข้อควรระวังสองประการไว้ด้วย: วิธีนี้ไม่ได้ใช้กับสตีลเลอร์ทุกราย และเครื่องมือบางตัวต้องมีการแยกวิเคราะห์หรือถอดรหัสเฉพาะผลิตภัณฑ์ แทนที่จะเป็นเพียงการระบุเส้นทาง คำเตือนในทางปฏิบัติของบริษัทเกี่ยวกับลักษณะของหลักฐาน — หากสตีลเลอร์รายสำคัญไม่เก็บข้อมูลของเอเจนต์ใดเอเจนต์หนึ่งในปัจจุบัน การไม่มีข้อมูลนั้นเป็นเพียงภาพ ณ ขณะหนึ่ง "ไม่ใช่หลักฐานว่าเอเจนต์จะยังคงอยู่นอกขอบเขตการเก็บรวบรวม"

ตระกูลใดเข้าถึงเอเจนต์ใด

สองตระกูลที่มีข้อมูลเทเลเมทรีรองรับอยู่เบื้องหลังคือ Amatera ซึ่งมุ่งเป้าไปที่ข้อมูลที่เชื่อมโยงกับ Cline และ Continue และ Remus ซึ่งมุ่งเป้าไปที่ Claude, Cursor และ OpenCode Gen Digital ระบุว่าตัวเลขของทั้งสอง “อาจทับซ้อนกันและสะท้อนถึงการตรวจจับมากกว่าการติดเชื้อที่สำเร็จ” — ความแตกต่างนี้สำคัญเมื่ออ่านตัวเลขในฐานะมาตรวัดจำนวนนักพัฒนาที่ถูกขโมยข้อมูลจริง ๆ โดยมีตระกูลที่ทำให้พฤติกรรมดูเหมือนเป็นแนวโน้มมากกว่าการทดลองอยู่รอบ ๆ ได้แก่ BeeStealer, STG Stealer, HydraStealer, APEX Stealer และ Otter Stealer ซึ่งรายงานจัดอยู่ในกลุ่มที่มีความชุกต่ำ และ Djinn Stealer ซึ่งแสดงพฤติกรรมเดียวกันบน macOS และเชื่อมโยงกับการเก็บข้อมูลจาก Claude, Codex, Gemini, Cline, OpenCode และ Kilo

สรุปของ Gen Digital เองเกี่ยวกับความเร็วของปรากฏการณ์นี้คือ ข้อมูลของเอเจนต์ AI ปรากฏ "ในกฎการเก็บรวบรวมข้อมูลของสตีลเลอร์อีกรายเกือบทุกวัน" เพื่อให้เห็นขนาด พวกเขาวางกรณีการกำหนดเป้าหมายนี้ไว้ในปัญหาที่เก่ากว่ามาก: ในช่วงครึ่งแรกของปี 2026 เทเลเมทรีของบริษัทบันทึกการตรวจพบ infostealer ในผู้ใช้ที่ได้รับการป้องกันเฉพาะรายมากกว่า 3.3 ล้านราย โดยตัวเลขรายเดือนสูงกว่า 500,000 อย่างสม่ำเสมอ ยอดรวมเหล่านั้นครอบคลุม infostealer ทุกตระกูล ไม่ใช่เฉพาะตระกูลที่ทราบกันว่าเกี่ยวข้องกับข้อมูลของเอเจนต์ AI ดังนั้นจึงวัดขนาดของกลุ่มเป้าหมายที่กฎใหม่กำลังแพร่กระจายอยู่ มากกว่าจะวัดการเข้าถึงของกฎใหม่

สิ่งที่ออกมาคือ refresh token และแผนผังของโค้ดเบส

รายงานแบ่งสิ่งที่ไดเรกทอรีของเอเจนต์จัดเก็บออกเป็นสองหมวดหมู่ และการแบ่งนี้เองคือสาระสำคัญของข้อค้นพบ หมวดแรกคือการเข้าถึง: เอเจนต์บางตัวแคชโทเค็นการเข้าถึงหรือรายละเอียดการเข้าสู่ระบบไว้ในเครื่อง เพื่อให้ผู้ใช้ไม่ต้องยืนยันตัวตนใหม่ทุกเซสชัน โทเค็นการเข้าถึงอาจใช้งานได้จนกว่าจะหมดอายุ ส่วนรีเฟรชโทเค็นบางครั้งอาจแลกเป็นโทเค็นการเข้าถึงใหม่และยืดระยะเวลาการเข้าถึงออกไปได้ Gen Digital ระมัดระวังเกี่ยวกับข้อจำกัดต่างๆ — ผลลัพธ์ "ขึ้นอยู่กับขอบเขตและอายุการใช้งานของโทเค็น ตลอดจนการควบคุมของบริการนั้นเอง ดังนั้นการขโมยไฟล์จึงไม่ได้เป็นการรับประกันว่าจะเข้าถึงได้อย่างต่อเนื่อง" — พร้อมทั้งชี้ว่าไฟล์ดังกล่าว "ยังคงมีความอ่อนไหวได้พอๆ กับคลังรหัสผ่าน"

หมวดหมู่ที่สองคือบริบท และนี่คือเหตุผลที่เรื่องนี้ไม่ใช่แค่เรื่องของข้อมูลรับรอง พรอมต์และบันทึกบทสนทนาอาจเก็บซอร์สโค้ดที่เป็นกรรมสิทธิ์ ชื่อรีพอซิทอรี ชื่อโฮสต์ภายใน และข้อมูลลับที่วางไว้เพื่อแก้ปัญหา บันทึกบทสนทนายังอาจมอบโครงสร้างของฐานโค้ด จุดอ่อนที่ทราบกัน และผู้ที่เกี่ยวข้องให้แก่ผู้โจมตี ซึ่งรายงานอธิบายว่าเป็นการลาดตระเวนที่ "ผู้โจมตีอาจต้องใช้เวลาหลายวันในการรวบรวม" ในกรณีที่นักพัฒนานำผู้ช่วยไปใช้กับต้นแบบทดลองที่เป็นความลับ ประวัติการใช้งานอาจเปิดเผยสิ่งประดิษฐ์ที่ยังไม่ได้รับสิทธิบัตร สรุปของ Gen Digital เกี่ยวกับการผสมผสานนี้คือ ไฟล์เก็บถาวรเพียงไฟล์เดียวอาจมี "ทั้งช่องทางเข้าถึงบัญชีและบริบทที่จำเป็นเพื่อเข้าใจว่าสิ่งใดมีค่าอยู่เบื้องหลัง"

การกำหนดค่า Model Context Protocol อยู่ระหว่างสองหมวดหมู่ อาจมี endpoints, headers, environment variables และ API keys และในกรณีที่ reusable secrets ถูกจัดเก็บไว้ในเครื่อง การถูกบุกรุกอาจเข้าถึง source control, ticketing platforms, databases หรือ cloud services ที่ agent เชื่อมต่ออยู่ รายงานไม่ได้กล่าวเกินจริง: การผสานรวมบางส่วนใช้ short-lived credentials, OS-protected storage หรือ interactive authorization flow ดังนั้นการกำหนดค่าที่ถูกขโมยไปจึงไม่ได้ปลดล็อกทุกอย่างที่ระบุไว้โดยอัตโนมัติ

Okta นับฝั่งผู้ซื้อของตลาดเดียวกัน

ทีมข่าวกรองภัยคุกคามของ Okta ได้แก้โจทย์เดียวกันนี้จากอีกทางหนึ่ง และรายงานของทีมก็มีตราประทับเวลาเผยแพร่เป็นวันที่ 8 กันยายน 2026 เช่นกัน รายงานดังกล่าววิเคราะห์ไฟล์บันทึกขนาด 7 GB ที่เปิดให้เข้าถึงฟรีซึ่งถูกโพสต์ลงช่อง Telegram เมื่อวันที่ 2 สิงหาคม 2026 — ประกอบด้วย 5,871 โฟลเดอร์ หนึ่งโฟลเดอร์ต่อเครื่องที่ติดเชื้อ กระจายอยู่ใน 162 ประเทศ — โดยใช้ regular expression ที่สร้างขึ้นเองและเครื่องมือสแกนความลับแบบโอเพนซอร์สชื่อ TruffleHog จาก JSON Web Tokens ที่ไม่ซ้ำกัน 44,791 รายการในไฟล์บันทึกนั้น มี 555 รายการที่ถูกระบุว่าอาจเชื่อมโยงกับการยืนยันตัวตนสำหรับบริการ AI การค้นหาแยกอีกครั้งพบวัตถุ JSON Web Encryption ที่เกี่ยวข้องกับการยืนยันตัวตน 2,937 รายการ ซึ่งส่วนใหญ่ถูกกำหนดโดย OpenAI โดยใช้ NextAuth.js และพบว่า JWTs และ JWEs ทุกประเภทจำนวน 1,843 รายการยังไม่หมดอายุในวันที่เผยแพร่

จำนวนนับแยกตามผู้ให้บริการคือส่วนที่กลายเป็นตัวเลขที่ทีมความปลอดภัยสามารถนำไปใช้ดำเนินการได้ Anthropic มีโทเค็นเซสชันที่ไม่ซ้ำกัน 561 รายการในเครื่องที่แตกต่างกัน 404 เครื่อง ซึ่งในจำนวนนี้ 164 รายการยังไม่หมดอายุ Cursor มี 32 รายการใน 26 เครื่อง ซึ่งในจำนวนนี้ 16 รายการยังไม่หมดอายุ Google และ Microsoft ครองตารางด้วยจำนวน 9,829 และ 2,491 โทเค็น แต่ Okta ระบุว่ายอดรวมเหล่านั้นผ่านเกตเวย์ single sign-on และครอบคลุมฐานบัญชีทั้งหมดของแต่ละผู้จำหน่าย ดังนั้นจึงไม่ใช่การวัดการเปิดเผยที่เฉพาะกับ AI TruffleHog ยังส่งคืนคีย์ API ที่ยังใช้งานได้ 24 คีย์จากบริการโมเดลที่เกี่ยวข้องกับ AI สี่ราย ซึ่งเป็นหมวดหมู่ที่ Okta อธิบายว่าเป็นข้อมูลรับรองที่ผู้ซื้อสามารถใช้รันการอนุมาน (inference) โดยคิดค่าใช้จ่ายเข้าบิลของคนอื่น เจเรมี เคิร์ก ผู้อำนวยการฝ่ายข่าวกรองภัยคุกคามของ Okta อธิบายกลไกนี้อย่างตรงไปตรงมาว่า โทเค็นเซสชันและคีย์ API ถูกแสวงหา "เพราะบ่อยครั้งเป็นไปได้ที่จะเล่นซ้ำความลับเหล่านั้นและข้ามการยืนยันตัวตนที่อิงข้อมูลรับรอง"

Okta ระมัดระวังว่าข้อมูลที่ถูกดัมป์นั้นพิสูจน์อะไรได้บ้าง Okta ระบุว่า “ไม่พบหลักฐานว่าเซสชันของ Okta ถูกขโมยในข้อมูลดัมป์ชุดนี้” และโทเคนที่ถูกขโมยยังคงล้มเหลวในกรณีที่องค์กรบังคับใช้การอนุญาตตามรายการ IP (IP allowlisting) ตัวเลขทางการเงินในบทนำ — ใบเรียกเก็บเงินเกือบ 1 ล้านดอลลาร์สำหรับองค์กรหนึ่ง และเครดิต AI มูลค่า 600,000 ดอลลาร์ที่องค์กรทดสอบ AI สูญเสียไปเนื่องจากคีย์ API ที่ถูกขโมย — ถูกอ้างถึงเป็นกรณีแยกต่างหากที่เคยรายงานมาก่อน ไม่ใช่ความเสียหายจากชุดข้อมูลนี้ บันทึกการวิจัยของ Cloud Security Alliance ลงวันที่ 11 กันยายน 2026 ระบุประเด็นเดียวกันอย่างชัดเจนว่า การวิเคราะห์ของ Okta อธิบายถึงโทเคนที่มีอยู่ในดัมป์ของอาชญากรและความเป็นไปได้ในทางทฤษฎีที่จะนำโทเคนเหล่านั้นกลับมาใช้ซ้ำ ไม่ได้อ้างว่าได้วัดจำนวนโทเคนที่ถูกนำไปใช้ประโยชน์จริง และไม่ได้ระบุว่าเหตุละเมิดความปลอดภัยครั้งใดครั้งหนึ่งเกิดจากดัมป์นี้

ฝั่งอุปสงค์ยังได้รับการยืนยันจากภายนอก Okta เช่นกัน The Hacker News รายงานเมื่อวันที่ 9 กันยายน 2026 ว่า Okta ได้flaggedประกาศบน Telegram ที่ขายการเข้าถึงบัญชี Claude, Cursor, ChatGPT และ Gemini ในราคาลด พร้อมบริการช่วยเหลือตลอด 24/7 และการรับประกันคืนเงิน และบริการที่ใช้ชื่อแบรนด์ Poison Claude โฆษณาการเข้าถึง Opus 4.6, 4.7 และ 4.8 ของ Anthropic รวมถึง Sonnet 4.6 Gizmodo รายงานเกี่ยวกับตลาดเดียวกันเมื่อวันที่ 10 กันยายน 2026 The Hacker News ยังเผยแพร่การประเมินของ Google Threat Intelligence Group ที่ว่าต้นทุนในการเข้าถึงโมเดลพรีเมียมกำลังผลักดันให้เกิด "การกำหนดเป้าหมาย การขโมยข้อมูล และการขายบัญชี AI ที่เพิ่มขึ้นในชุมชนอาชญากรรมไซเบอร์" และอธิบายถึงภารกิจตอบสนองเหตุการณ์ของ Mandiant ซึ่งผู้ก่อภัยคุกคามใช้ personal access token ของ GitHub ที่ถูกเปิดเผยเพื่อ déploy โครงสร้างพื้นฐาน AI โดยไม่ได้รับอนุญาต

สิ่งที่บันทึกยืนยันได้ และสิ่งที่ไม่มีแหล่งอ้างอิงใดที่ถูกอ้างถึงให้ข้อยุติได้

เป็นที่ยืนยันแล้ว และแหล่งข้อมูลระบุไว้เช่นนั้นว่า มัลแวร์ขโมยข้อมูลแบบที่หาได้ทั่วไปได้เพิ่มเส้นทางของเอเจนต์เขียนโค้ด AI เข้าไปในกฎการเก็บรวบรวมข้อมูลที่จัดการจากระยะไกล ในหลายตระกูลและสองระบบปฏิบัติการ；ไดเรกทอรีภายในเครื่องอาจเก็บโทเค็น ข้อมูลรับรอง MCP ประวัติ และเมทาดาทาของโปรเจกต์；และชุดข้อมูลที่รั่วไหลแบบแจกฟรีขนาดใหญ่ชุดหนึ่งมีข้อมูลการยืนยันตัวตนที่ยังไม่หมดอายุสำหรับบริการ AI จริง รวมถึงโทเค็นเซสชัน Anthropic ที่ยังไม่หมดอายุ 164 รายการ และคีย์ API ที่ยังใช้ได้ 24 คีย์

• ยังไม่เป็นที่ยืนยันว่า กฎใดกฎหนึ่งเหล่านี้ก่อให้เกิดการยึดบัญชีที่ได้รับการยืนยันแล้ว ทั้ง Gen Digital และ Okta ต่างไม่ได้รายงานถึงเหยื่อรายใดที่บัญชีถูกเข้าถึงด้วยโทเค็นที่ถูกขโมยมาจากคอลเลกชันเฉพาะเหล่านี้ และค่า real_harm false ของอาร์ไกฟ์สะท้อนช่องว่างดังกล่าว มากกว่าจะเป็นการปฏิเสธว่าความเสียหายนั้นเป็นไปได้

• ยังไม่มีการยืนยัน: ว่ามีนักพัฒนากี่รายที่ได้รับผลกระทบ ตัวเลข Amatera และ Remus ของ Gen Digital เป็นการตรวจจับในหมู่ผู้ใช้ที่ได้รับการป้องกัน อาจทับซ้อนกัน และไม่ใช่การติดเชื้อ ส่วนตัวเลขของ Okta อธิบายถึงข้อมูลที่ถูกดัมป์หนึ่งชุดขนาด 7 GB ไม่ใช่ภาพรวมของตลาด

• ยังไม่มีการยืนยันว่าเอเจนต์ใดจัดเก็บข้อมูลอะไรบ้างโดยค่าเริ่มต้น รายงานทั้งสองฉบับเน้นย้ำว่าเส้นทาง ไฟล์ และการป้องกันนั้นแตกต่างกันไปตามผลิตภัณฑ์ ระบบปฏิบัติการ และการกำหนดค่าของผู้ใช้ ดังนั้นจึงไม่สามารถตัดเอเจนต์ใดเอเจนต์หนึ่งออกจากบันทึกนี้ได้ — คำตอบของ Gen Digital คือการจัดทำบัญชีรายการสิ่งที่จัดเก็บไว้ในเครื่องก่อนที่จะถือว่าผลิตภัณฑ์ใดปลอดภัย

• ยังไม่ได้รับการยืนยัน: ผู้จำหน่ายเอเจนต์รายใดเปลี่ยนแปลงอะไรบ้าง ไม่มีรายงานฉบับใดบรรยายถึงการเปลี่ยนแปลงผลิตภัณฑ์ที่ทำขึ้นเพื่อตอบสนอง และไม่มีฉบับใดระบุว่ามีการแจ้งผู้จำหน่าย มาตรการบรรเทาผลกระทบฝั่งผลิตภัณฑ์เดียวที่กล่าวถึงนั้นเป็นเรื่องทั่วไป — ที่เก็บข้อมูลรับรองของระบบปฏิบัติการ โทเค็นแบบมีขอบเขตและอายุสั้น และการควบคุมการเก็บรักษาข้อมูล ซึ่ง Gen Digital ยืนยันว่าควรมาจากเครื่องมือเหล่านั้นเอง

• แก้ไขหลังการเผยแพร่: บันทึกของ Cloud Security Alliance มีการแก้ไขเป็นเวอร์ชัน 1.1 ลงวันที่ 11 กันยายน 2026 ซึ่งระบุว่าได้แก้ไขปัญหาการขยายขนาดเกินจริง โดยก่อนหน้านี้จำนวนโทเค็นการลงชื่อเข้าใช้ทั่วทั้งระบบนิเวศของ Google และ Microsoft ถูกนำเสนอว่าเป็นความเสี่ยงเฉพาะด้าน AI โดยไม่มีคำเตือนของ Okta เอง รวมถึงการอ้างอิงที่แนบผิดและการอ้างอิงสองรายการที่ไม่สามารถยืนยันได้ว่ายังใช้งานได้

สิ่งที่เปลี่ยนไปหลังจากนั้น: การหมุนเวียน ไม่ใช่การรีเซ็ตรหัสผ่าน

สิ่งที่รายงานทั้งสองฉบับเห็นพ้องกันคือการเปลี่ยนแปลงกระบวนการตอบสนองเหตุการณ์ มากกว่าการแพตช์ คำแนะนำของ Gen Digital คือให้ถือว่าไฟล์การรับรองความถูกต้องภายในเครื่องเป็นรหัสผ่าน ให้เลือกใช้คีย์เชนหรือคีย์ริงของระบบปฏิบัติการเมื่อผลิตภัณฑ์มีตัวเลือกให้ เก็บความลับออกจากพรอมต์ ให้สิทธิ์แก่การเชื่อมต่อ MCP เท่าที่จำเป็นเท่านั้น และ — หลังจากติดเชื้อมัลแวร์ประเภทสตีลเลอร์ — ให้ทำงานจากอุปกรณ์ที่สะอาดเพื่อเพิกถอนเซสชันของบริการ AI และหมุนเวียนคีย์ API รวมถึงข้อมูลรับรองของ MCP ข้อความที่ตรงที่สุดของรายงานคือ “การเปลี่ยนรหัสผ่านเบราว์เซอร์เพียงอย่างเดียวไม่เพียงพออีกต่อไป” และการรับรองความถูกต้องหลายปัจจัยอาจไม่สามารถหยุดการนำโทเคนเซสชันที่ถูกขโมยไปแล้วมาใช้ในทางที่ผิดได้

ส่วนการควบคุมของ Okta เป็นส่วนเสริมฝั่ง identity: การจำกัดการใช้งานและ IP allowlisting บน API key, กระบวนการ OAuth 2.0 ที่ออก access token อายุสั้นจาก refresh token ที่เก็บไว้ใน keychain, การตรวจสอบการนำ session token กลับมาใช้ซ้ำ และ Device-Bound Session Credentials ซึ่งผูก session เข้ากับอุปกรณ์ในเชิง cryptographic โดย Okta ระบุว่า DBSC ยังอยู่ในช่วงเริ่มต้น — บริการต่างๆ ต้องนำไปใช้งานฝั่งเซิร์ฟเวอร์ — และ Chrome 145 สำหรับ Windows ซึ่งเปิดตัวในเดือนมีนาคม 2026 สามารถรองรับได้ นอกจากนี้ยังบันทึกว่า App-Bound Encryption ของ Google ซึ่งเปิดตัวในปี 2024 เพื่อเข้ารหัสข้อมูลเบราว์เซอร์ ถูกนักพัฒนา stealer หลบเลี่ยงได้ค่อนข้างเร็ว Cloud Security Alliance สรุปในเชิงปฏิบัติการว่า การเพิกถอนโทเค็น ไม่ใช่การรีเซ็ตรหัสผ่าน คือสิ่งที่ปิดกั้น session ที่ยังใช้งานอยู่ซึ่งถูกขโมยไป

บันทึกนี้ยังคงอยู่ตรงที่เขตข้อมูลของมันกำหนดไว้: เป็นผลการวิจัยระดับความรุนแรงปานกลาง ความเชื่อมั่นระดับ A ไม่มีข้อโต้แย้ง โดยไม่มีบันทึกถึงอันตรายจริงใด ๆ และเพิ่งเผยแพร่มาได้เพียงวันเดียว สิ่งที่ทำให้มันควรค่าแก่การเก็บรักษาคือความไม่สมมาตรที่มันบันทึกไว้ — ต้นทุนในการเพิ่มเอเจนต์อีกรายเข้าในรายการเก็บรวบรวมคือการอัปเดตการกำหนดค่าเพียงครั้งเดียว ขณะที่ต้นทุนในการรู้ว่าเอเจนต์ใดบนเครื่องใดถือข้อมูลรับรองที่ใช้ซ้ำได้คือการจัดทำบัญชีสินทรัพย์ที่องค์กรส่วนใหญ่ยังไม่ได้ทำ