Infostealers chuyển sang dữ liệu tác nhân AI: quy tắc thu thập giờ nhắm đến Claude, Cursor và Codex

Ngày 8 tháng 9 năm 2026, Gen Digital công bố một phân tích về các quy tắc thu thập của stealer thông tin và phát hiện rằng danh sách mục tiêu đã có thêm một dòng mới: dữ liệu cục bộ của các agent lập trình AI. Trong khoảng thời gian ba tháng, dữ liệu telemetry Windows của họ đã ghi nhận các phát hiện Amatera và Remus trong số hàng chục nghìn người dùng Windows được bảo vệ — những stealer mà các tệp quy tắc của chúng giờ đây vươn tới các thư mục Cline, Continue, Claude của Anthropic, Cursor và OpenCode. CallbackBeaver đã thêm Claude và Cursor vào phạm vi thu thập của mình và được quan sát thấy trong hơn 5.000 mẫu trong khoảng thời gian 30 ngày. Thứ bị lấy đi không phải là tùy chọn mà là quyền truy cập và ngữ cảnh: token truy cập và token làm mới, thông tin xác thực nằm trong cấu hình Model Context Protocol, lịch sử prompt, cơ sở dữ liệu hội thoại và bản đồ các dự án mà nhà phát triển đang làm việc. Không có lỗ hổng mới nào liên quan — stealer đã chạy sẵn khi quy tắc mới xuất hiện, và giá trị đã chuyển vào những tệp cục bộ có thể dự đoán được. Bài tường thuật này dựa trên báo cáo của Gen Digital, phân tích của Okta về một bản dump nhật ký bị đánh cắp được công bố cùng ngày, và ghi chú nghiên cứu của Cloud Security Alliance, và kho lưu trữ sự cố AI giữ mục này cùng với các mục lân cận, mỗi mục có nguồn, mức độ nghiêm trọng và cấp độ tin cậy riêng.

Kho lưu trữ ghi bản ghi này là một phát hiện nghiên cứu chứ không phải sự kiện triển khai: kind research, severity medium, confidence A, disputed false, real_harm false, region GLOBAL, được gắn thẻ CRED và EXFIL, với ngày chính xác đến từng ngày là 8 tháng 9 năm 2026. Đó là ngày Gen Digital công bố, không phải ngày bất kỳ máy nào bị lây nhiễm, và cả hai báo cáo đều không đưa ra ngày lây nhiễm cho chính các quy tắc đó. Trường real_harm đáng để đọc chậm rãi. Không có gì trong bản ghi hoặc trong các nguồn của nó mô tả một vụ chiếm đoạt tài khoản đã được xác nhận có nguồn gốc từ các quy tắc thu thập này; điều được ghi nhận là năng lực và mức độ phơi nhiễm, một phần lý do khiến mục này được xếp hạng trung bình thay vì cao.

Không có lỗ hổng mới: kẻ đánh cắp đã chạy sẵn khi quy tắc đến

Gen Digital nói rõ rằng họ không mô tả một lỗ hổng bảo mật. Báo cáo nêu: các phát hiện của họ "không chỉ ra một cách mới để xâm nhập thiết bị hay một lỗ hổng trong mô hình AI hoặc tác nhân AI"; phần mềm đánh cắp thông tin vốn đã hoạt động, và điều đã thay đổi là "sự tập trung thông tin có giá trị tại những vị trí có thể dự đoán được, đôi khi ở dạng văn bản thuần, cùng mức độ dễ dàng mà những vị trí đó có thể được thêm vào danh sách thu thập hiện có."

Sự dễ dàng đó chính là cơ chế. Nhiều stealer nhận các quy tắc thu thập được quản lý từ xa chỉ định thư mục, tên tệp, phần mở rộng, cơ sở dữ liệu, độ sâu tìm kiếm hoặc giới hạn kích thước tệp, nên một kẻ vận hành khi biết agent lưu token ở đâu có thể thêm một đường dẫn khác mà không cần xây dựng lại hoặc phân phối lại malware — và quy tắc cập nhật sẽ đến được các bản cài đặt vốn đã nằm trên máy bị xâm nhập. Gen Digital gắn hai lưu ý với điều đó: cách tiếp cận này không áp dụng cho mọi stealer, và một số công cụ cần phân tích cú pháp hoặc giải mã riêng cho từng sản phẩm thay vì chỉ thêm một mục đường dẫn. Cảnh báo thực tế của họ là về hình thái của bằng chứng — nếu một stealer lớn hiện không thu thập một agent cụ thể, thì sự vắng mặt đó chỉ là một ảnh chụp nhanh, “không phải bằng chứng cho thấy agent sẽ vẫn nằm ngoài phạm vi thu thập.”

Họ nào vươn tới tác nhân nào

Hai họ có dữ liệu telemetry đằng sau là Amatera, nhắm đến dữ liệu liên quan đến Cline và Continue, và Remus, nhắm đến Claude, Cursor và OpenCode. Gen Digital cho biết số liệu của cả hai “có thể trùng lặp và mô tả các lần phát hiện chứ không phải các ca lây nhiễm thành công” — một sự phân biệt quan trọng khi đọc các con số như thước đo số lượng nhà phát triển thực sự bị đánh cắp. Xung quanh chúng là những họ khiến hành vi này trông giống một xu hướng hơn là một thử nghiệm: BeeStealer, STG Stealer, HydraStealer, APEX Stealer và Otter Stealer, được báo cáo xếp vào nhóm có tỷ lệ lưu hành thấp hơn, và Djinn Stealer, cho thấy hành vi tương tự trên macOS và được liên kết với việc thu thập từ Claude, Codex, Gemini, Cline, OpenCode và Kilo.

Bản tóm tắt của chính Gen Digital về tốc độ này là dữ liệu AI agent đang xuất hiện “trong các quy tắc thu thập của một stealer khác gần như mỗi ngày”. Để thấy quy mô, hãy đặt việc nhắm mục tiêu này vào một vấn đề cũ hơn nhiều: trong nửa đầu năm 2026, dữ liệu đo từ xa của hãng ghi nhận các phát hiện infostealer ở hơn 3,3 triệu người dùng được bảo vệ duy nhất, với con số hằng tháng liên tục ở mức trên 500.000. Các tổng số đó bao gồm mọi họ infostealer, chứ không phải chỉ những họ được biết là có đụng tới dữ liệu AI agent, vì vậy chúng đo lường tập hợp mà các quy tắc mới đang lan qua, chứ không phải phạm vi tiếp cận của các quy tắc mới.

Đầu ra là một refresh token và một bản đồ của codebase.

Báo cáo chia những gì một thư mục agent chứa thành hai loại, và cách phân chia này chính là nội dung cốt lõi của phát hiện. Loại thứ nhất là quyền truy cập: một số agent lưu đệm token truy cập hoặc thông tin đăng nhập cục bộ để người dùng không phải xác thực lại mỗi phiên. Token truy cập có thể dùng được cho đến khi hết hạn; token làm mới đôi khi có thể được đổi lấy token truy cập mới và kéo dài khoảng thời gian. Gen Digital thận trọng về các giới hạn — kết quả "phụ thuộc vào phạm vi, thời hạn của token và các biện pháp kiểm soát của chính dịch vụ, nên việc đánh cắp một tệp không bảo đảm quyền truy cập lâu dài" — đồng thời lưu ý rằng tệp đó "vẫn có thể nhạy cảm như một kho mật khẩu."

Loại thứ hai là ngữ cảnh, và đó là lý do vì sao đây không chỉ đơn thuần là câu chuyện về thông tin xác thực. Lời nhắc và bản ghi có thể chứa mã nguồn độc quyền, tên kho lưu trữ, tên máy chủ nội bộ và các bí mật được dán vào để khắc phục sự cố; một bản ghi có thể trao cho kẻ tấn công cấu trúc của một cơ sở mã, các điểm yếu đã biết và những người liên quan, mà báo cáo mô tả là hoạt động trinh sát “mà nếu không có nó, kẻ tấn công sẽ phải mất nhiều ngày để thu thập”. Khi một nhà phát triển đã dùng trợ lý trên một bản chứng minh khái niệm bí mật, lịch sử có thể làm lộ một phát minh chưa được cấp bằng sáng chế. Tóm tắt của Gen Digital về sự kết hợp này cho rằng một kho lưu trữ có thể mang “cả phương tiện để truy cập một tài khoản lẫn ngữ cảnh cần thiết để hiểu điều gì có giá trị phía sau nó”.

Các cấu hình Model Context Protocol nằm giữa hai nhóm. Chúng có thể chứa endpoint, header, biến môi trường và khóa API, và khi các bí mật có thể tái sử dụng được lưu cục bộ, sự xâm phạm có thể chạm tới source control, nền tảng ticketing, cơ sở dữ liệu hoặc các dịch vụ đám mây mà tác nhân đã kết nối. Báo cáo không phóng đại điều này: một số tích hợp dùng thông tin xác thực ngắn hạn, lưu trữ được hệ điều hành bảo vệ hoặc luồng ủy quyền tương tác, nên một cấu hình bị đánh cắp không tự động mở khóa mọi thứ mà nó liệt kê.

Okta đã tính đến phía người mua của cùng thị trường đó

Nhóm tình báo mối đe dọa của Okta đã tiếp cận cùng vấn đề từ phía ngược lại, và báo cáo của nhóm cũng mang dấu thời gian công bố là ngày 8 tháng 9 năm 2026. Báo cáo đã phân tích một bản kết xuất nhật ký miễn phí 7 GB được đăng lên một kênh Telegram vào ngày 2 tháng 8 năm 2026 — 5.871 thư mục, mỗi thư mục tương ứng với một máy bị nhiễm, trải rộng trên 162 quốc gia — bằng cách sử dụng các biểu thức chính quy tùy chỉnh và công cụ quét bí mật mã nguồn mở TruffleHog. Trong số 44.791 JSON Web Token duy nhất trong bản kết xuất, 555 token được xác định là có khả năng gắn với xác thực dịch vụ AI. Một tìm kiếm riêng đã tìm thấy 2.937 đối tượng JSON Web Encryption liên quan đến xác thực, hầu hết trong số đó do OpenAI thiết lập bằng NextAuth.js, và 1.843 JWT cùng JWE thuộc mọi loại vẫn chưa hết hạn vào ngày phát hành.

Số lượng theo từng nhà cung cấp là phần trở thành con số mà đội ngũ bảo mật có thể hành động dựa trên đó. Anthropic chiếm 561 token phiên duy nhất trên 404 máy khác nhau, trong đó 164 token chưa hết hạn; Cursor chiếm 32 token trên 26 máy, trong đó 16 token chưa hết hạn. Google và Microsoft chiếm ưu thế trong bảng với 9.829 và 2.491 token, nhưng Okta lưu ý rằng các tổng đó đi qua các cổng đăng nhập một lần và trải rộng toàn bộ cơ sở tài khoản của từng nhà cung cấp, nên chúng không phải là thước đo mức độ phơi nhiễm riêng cho AI. TruffleHog cũng trả về 24 khóa API vẫn còn hiệu lực trên bốn dịch vụ mô hình liên quan đến AI — nhóm mà Okta mô tả là thông tin xác thực mà người mua có thể dùng để chạy suy luận bằng hóa đơn của người khác. Jeremy Kirk, giám đốc tình báo mối đe dọa của Okta, nói rõ cơ chế này: token phiên và khóa API bị nhắm đến "vì thường có thể phát lại những bí mật đó và vượt qua xác thực dựa trên thông tin đăng nhập."

Okta thận trọng về những gì bản dump chứng minh. Công ty nói rằng họ "không quan sát thấy bằng chứng về các phiên Okta bị đánh cắp trong bản dump dữ liệu này", và một token bị đánh cắp vẫn thất bại ở nơi một tổ chức áp dụng danh sách cho phép IP. Các con số tài chính trong phần giới thiệu của công ty — hóa đơn gần 1 triệu USD cho một tổ chức, 600.000 USD tín dụng AI bị một tổ chức kiểm thử AI làm mất thông qua một khóa API bị đánh cắp — được trích dẫn như những trường hợp riêng biệt, đã được báo cáo trước đó, chứ không phải là thiệt hại từ bộ dữ liệu này. Ghi chú nghiên cứu ngày 11 tháng 9 năm 2026 của Cloud Security Alliance nêu rõ cùng một điểm: phân tích của Okta mô tả các token hiện diện trong một bản dump của tội phạm và khả năng phát lại trên lý thuyết của chúng, không tuyên bố đã đo được bao nhiêu token thực sự bị khai thác, và không quy kết một vụ xâm phạm cụ thể nào cho bản dump.

Phía nhu cầu cũng được củng cố từ bên ngoài Okta. The Hacker News đưa tin vào ngày 9 tháng 9 năm 2026 rằng Okta đã gắn cờ các tin đăng trên Telegram bán quyền truy cập giảm giá vào tài khoản Claude, Cursor, ChatGPT và Gemini kèm hỗ trợ 24/7 và bảo đảm hoàn tiền, đồng thời một dịch vụ tự gọi mình là Poison Claude đã quảng cáo quyền truy cập vào Opus 4.6, 4.7 và 4.8 cùng Sonnet 4.6 của Anthropic. Gizmodo đưa tin về cùng thị trường này vào ngày 10 tháng 9 năm 2026. The Hacker News cũng đăng tải đánh giá của Google Threat Intelligence Group rằng chi phí truy cập các mô hình cao cấp đang thúc đẩy “việc gia tăng nhắm mục tiêu, trích xuất dữ liệu và bán tài khoản AI trong các cộng đồng tội phạm mạng”, và mô tả một hợp đồng ứng phó sự cố của Mandiant, trong đó một tác nhân đe dọa đã sử dụng token truy cập cá nhân GitHub bị lộ để triển khai hạ tầng AI trái phép.

Điều mà hồ sơ thực sự xác lập, và điều mà không nguồn được trích dẫn nào làm sáng tỏ

Đã được xác lập, và được các nguồn nêu rõ như vậy: các công cụ đánh cắp thông tin phổ biến đã thêm đường dẫn tác nhân lập trình AI vào các quy tắc thu thập được quản lý từ xa trên nhiều họ và hai hệ điều hành; các thư mục cục bộ có thể chứa token, thông tin xác thực MCP, lịch sử và siêu dữ liệu dự án; và một bản dump miễn phí lớn đúng là có chứa tài liệu xác thực chưa hết hạn cho các dịch vụ AI, bao gồm 164 token phiên Anthropic chưa hết hạn và 24 khóa API hợp lệ.

• Chưa được xác lập: rằng bất kỳ quy tắc nào trong số này đã tạo ra một vụ chiếm đoạt tài khoản đã được xác nhận. Cả Gen Digital lẫn Okta đều không báo cáo về nạn nhân nào có tài khoản bị truy cập bằng token bị đánh cắp từ các bộ sưu tập cụ thể này, và giá trị real_harm false của kho lưu trữ phản ánh khoảng trống đó chứ không phải phủ nhận rằng tổn hại là có thể xảy ra.

• Chưa xác định: có bao nhiêu nhà phát triển bị ảnh hưởng. Các con số Amatera và Remus của Gen Digital là số lượng phát hiện trong nhóm người dùng được bảo vệ, có thể trùng lặp và không phải là số ca nhiễm; số liệu của Okta mô tả một bản dump 7 GB, không phải toàn thị trường.

• Chưa được xác lập: tác nhân nào lưu trữ những gì, theo mặc định. Cả hai báo cáo đều nhấn mạnh rằng đường dẫn, tệp và biện pháp bảo vệ khác nhau tùy theo sản phẩm, hệ điều hành và cấu hình người dùng, vì vậy không thể loại trừ bất kỳ tác nhân đơn lẻ nào khỏi hồ sơ này — câu trả lời của Gen Digital là kiểm kê những gì được lưu trữ cục bộ trước khi giả định bất kỳ sản phẩm nào là an toàn.

• Chưa xác định được: nhà cung cấp agent nào đã thay đổi những gì. Cả hai báo cáo đều không mô tả thay đổi sản phẩm nào được thực hiện để đáp lại, và cũng không nói rằng nhà cung cấp đã được thông báo. Các biện pháp giảm thiểu phía sản phẩm duy nhất được thảo luận đều mang tính chung chung — kho thông tin xác thực của hệ điều hành, token có phạm vi và thời hạn ngắn, cùng các kiểm soát lưu giữ mà Gen Digital lập luận rằng nên xuất phát từ chính các công cụ.

• Đã đính chính sau khi công bố: ghi chú của Cloud Security Alliance có bản sửa đổi phiên bản 1.1 đề ngày 11 tháng 9 năm 2026, trong đó cho biết đã khắc phục một vấn đề phóng đại quy mô, khi số lượng token đăng nhập trên toàn hệ sinh thái của Google và Microsoft từng được trình bày như mức độ phơi nhiễm dành riêng cho AI mà không kèm lưu ý của chính Okta, cùng với một trích dẫn bị gắn sai và hai tài liệu tham chiếu không thể xác nhận là vẫn còn truy cập được.

Những gì đã thay đổi sau đó: luân chuyển, không phải đặt lại mật khẩu

Biện pháp ứng phó mà cả hai báo cáo đều đồng thuận là thay đổi quy trình ứng phó sự cố chứ không phải một bản vá. Hướng dẫn của Gen Digital là coi tệp xác thực cục bộ như mật khẩu, ưu tiên keychain hoặc keyring của hệ điều hành khi sản phẩm cho phép lựa chọn, không đưa bí mật vào prompt, chỉ cấp cho các tích hợp MCP những quyền chúng cần, và — sau khi bị nhiễm stealer — thao tác từ một thiết bị sạch để thu hồi phiên dịch vụ AI và xoay vòng khóa API cùng thông tin xác thực MCP. Câu thẳng thừng nhất của hướng dẫn là "chỉ thay mật khẩu trình duyệt thôi là không còn đủ", và xác thực đa yếu tố có thể không ngăn được việc lạm dụng một token phiên đã bị đánh cắp.

Các biện pháp kiểm soát của Okta là phần bổ sung phía định danh: giới hạn mức sử dụng và danh sách IP được phép trên khóa API, các luồng OAuth 2.0 cấp access token ngắn hạn từ refresh token được lưu trong keychain, giám sát việc tái sử dụng token phiên và Device-Bound Session Credentials, vốn ràng buộc một phiên với một thiết bị bằng mật mã. Okta lưu ý DBSC còn ở giai đoạn đầu — các dịch vụ phải triển khai nó ở phía máy chủ — và Chrome 145 cho Windows, phát hành vào tháng 3 năm 2026, có thể hỗ trợ nó. Tài liệu này cũng ghi nhận rằng Google's App-Bound Encryption, được giới thiệu vào năm 2024 để mã hóa dữ liệu trình duyệt, đã bị các nhà phát triển stealer vượt qua khá nhanh. Cloud Security Alliance rút ra kết luận vận hành rằng thu hồi token, chứ không phải đặt lại mật khẩu, mới là điều chấm dứt một phiên đang hoạt động bị đánh cắp.

Bản ghi vẫn nằm ở đúng vị trí mà các trường của nó đặt nó: một phát hiện nghiên cứu mức độ trung bình, độ tin cậy A, không gây tranh cãi, không ghi nhận thiệt hại thực tế nào và mới được công bố một ngày. Điều khiến nó đáng được lưu giữ là sự bất đối xứng mà nó ghi lại — chi phí thêm một agent khác vào danh sách thu thập chỉ là một lần cập nhật cấu hình, trong khi chi phí để biết agent nào trên máy nào đang giữ thông tin đăng nhập có thể dùng lại là một bản kiểm kê mà hầu hết tổ chức chưa từng thực hiện.