信息窃取程序转向 AI 智能体数据：收集规则现针对 Claude、Cursor 和 Codex

2026 年 9 月 8 日，Gen Digital 发布了一项对信息窃取程序收集规则的分析，发现目标列表新增了一行：AI 编程代理的本地数据。在为期三个月的窗口期内，其 Windows 遥测在数万名受保护的 Windows 用户中记录到 Amatera 和 Remus 的检测结果——这些窃取程序的规则文件现已触及 Cline、Continue、Anthropic 的 Claude、Cursor 和 OpenCode 目录。CallbackBeaver 将 Claude 和 Cursor 加入其收集范围，并在 30 天内于超过 5,000 个样本中被观察到。被拿走的不是偏好设置，而是访问权限与上下文：访问令牌和刷新令牌、存放在 Model Context Protocol 配置中的凭据、提示历史、对话数据库，以及开发者正在处理的项目映射。这不涉及任何新漏洞——当新规则到达时，窃取程序已经在运行，而有价值的数据已经转移到可预测的本地文件中。本报道依据 Gen Digital 的报告、Okta 同日发布的一份被盗日志转储分析，以及云安全联盟（Cloud Security Alliance）的研究笔记，而AI 事件档案 将这条记录与其相邻条目放在一起，每条都带有各自的来源、严重程度和置信度等级。

归档将这条记录归类为研究发现，而非部署事件：kind research、severity medium、confidence A、disputed false、real_harm false、region GLOBAL，标记为 CRED 和 EXFIL，日期精确到日为 2026 年 9 月 8 日。那是 Gen Digital 发布之日，而不是任何特定机器被感染之日，并且两份报告都没有提供这些规则本身的感染日期。real_harm 字段值得慢慢读。记录及其来源中没有任何内容描述了可追溯到这些收集规则的已确认账户接管；有文档记录的是能力与暴露面，这也是该条目被评为 medium 而非 high 的部分原因。

没有新漏洞：规则到达时，窃取程序已经在运行

Gen Digital 明确表示，它描述的并不是漏洞。报告称，其发现“并不指向一种入侵设备的新方式，也不指向 AI 模型或智能体中的漏洞”；信息窃取程序已经在运行，而变化在于“有价值信息集中在可预测的位置，有时还是明文形式，以及将这些位置添加到现有收集列表中的容易程度”。

这种便利正是其机制所在。许多窃密程序会接收远程管理的收集规则，这些规则指定目录、文件名、扩展名、数据库、搜索深度或文件大小限制，因此，操作者一旦得知某个代理程序将令牌保存在何处，就能添加另一条路径，而无需重新构建或重新分发恶意软件——并且更新后的规则会送达已安装在受感染机器上的实例。Gen Digital 对此提出两点注意事项：该方法并非适用于所有窃密程序，而且某些工具需要针对特定产品的解析或解密，而不是路径条目。其实用警告关乎证据的形态——如果某个主要窃密程序目前不收集某个特定代理程序，这种缺失只是一个快照，“不能作为该代理程序将始终处于收集范围之外的证据”。

哪个家族会触及哪个智能体

有两个家族背后有遥测数据支撑：Amatera 针对与 Cline 和 Continue 相关的数据，Remus 则针对 Claude、Cursor 和 OpenCode。Gen Digital 表示，两者的数据“可能重叠，且描述的是检测结果而非成功感染”——当把这些数字解读为有多少开发者实际遭窃的衡量指标时，这一区别至关重要。围绕它们的是那些让这种行为看起来像一种趋势而非一次实验的家族：BeeStealer、STG Stealer、HydraStealer、APEX Stealer 和 Otter Stealer，报告将其归类为较低流行度；以及 Djinn Stealer，它在 macOS 上表现出相同行为，并与从 Claude、Codex、Gemini、Cline、OpenCode 和 Kilo 收集数据相关联。

Gen Digital 自己对这一节奏的总结是，AI 智能体数据“几乎每天都会出现在另一个窃取程序的收集规则中”。为了说明规模，它把这种针对性行为放进一个古老得多的问题里：在 2026 年上半年，其遥测记录显示，在超过 330 万名不同的受保护用户中检测到信息窃取程序，月度数字始终高于 50 万。这些总数涵盖所有信息窃取程序家族，而不只是已知会涉及 AI 智能体数据的那些，因此它们衡量的是新规则正在扩散的用户池，而不是新规则的覆盖范围。

输出的是一个刷新令牌和一份代码库映射图

报告将 agent 目录所存放的内容分为两类，而这一分类正是该发现的核心所在。第一类是访问权限：一些 agent 会在本地缓存访问令牌或登录凭据，以免用户每次会话都要重新进行身份验证。访问令牌在过期之前可能一直可用；而刷新令牌有时可被用来换取新的访问令牌，从而延长有效窗口。Gen Digital 对相关限制作了谨慎说明——结果“取决于令牌的作用域、生命周期以及服务自身的控制机制，因此窃取一个文件并不保证能获得持久访问权限”——同时指出该文件“仍可能与密码库一样敏感”。

第二类是上下文，这正是它不只是一个凭据问题的原因。提示词和对话记录可能包含专有源代码、仓库名称、内部主机名，以及为排查问题而粘贴的机密信息；一份对话记录可能把代码库结构、已知弱点和相关人员交给攻击者，报告将此描述为“攻击者原本要花数天才能收集到”的侦察信息。当开发者在机密的概念验证中使用助手时，历史记录可能泄露一项尚未申请专利的发明。Gen Digital 对这一组合的总结是，一个存档可能同时包含“访问账户的手段，以及理解账户背后什么有价值所需的上下文”。

Model Context Protocol 配置介于这两类之间。它们可能包含端点、标头、环境变量和 API 密钥；当可复用密钥存储在本地时，一旦配置失陷，就可能波及代理所连接的源代码管理、工单平台、数据库或云服务。报告并未夸大这一点：有些集成使用短期凭据、受操作系统保护的存储或交互式授权流程，因此被盗的配置并不会自动解锁其列出的所有内容。

Okta 统计的是同一市场的买方一方

Okta 的威胁情报团队从另一端研究了同一个问题，其报告也标注了 2026 年 9 月 8 日的发布时间戳。它使用自定义正则表达式和开源密钥扫描器 TruffleHog，分析了一份于 2026 年 8 月 2 日发布在 Telegram 频道上的免费 7 GB 日志转储——共 5,871 个文件夹，每个受感染机器一个，遍布 162 个国家/地区。在转储中的 44,791 个唯一 JSON Web Tokens 中，有 555 个被认定可能与 AI 服务身份验证有关。另一项搜索发现了 2,937 个与身份验证相关的 JSON Web Encryption 对象，其中大多数由 OpenAI 使用 NextAuth.js 设置；在发布当天，各类 JWT 和 JWE 中仍有 1,843 个未过期。

按提供商统计的数量，才是安全团队可以据以采取行动的那部分数字。Anthropic 涉及 404 台不同机器上的 561 个唯一会话令牌，其中 164 个尚未过期；Cursor 涉及 26 台机器上的 32 个，其中 16 个尚未过期。Google 和 Microsoft 分别以 9,829 和 2,491 个令牌在表中占主导，但 Okta 指出，这些总数经过单点登录网关，并覆盖各供应商的完整账户基础，因此它们并不是衡量 AI 特定暴露面的指标。TruffleHog 还在四个与 AI 相关的模型服务中返回了 24 个仍然有效的 API 密钥——Okta 将这一类凭据描述为买方可以用来让别人买单运行推理的凭据。Okta 威胁情报总监 Jeremy Kirk 直白地说明了这一机制：人们之所以寻求会话令牌和 API 密钥，“是因为通常可以重放这些机密并绕过基于凭据的身份验证”。

Okta 对这份数据转储究竟能证明什么持审慎态度。它表示，自己"并未在这份数据转储中观察到 Okta 会话被盗的证据"，而且只要组织启用了 IP 白名单，被盗的令牌依然无法得逞。其引言中提到的财务数字——某组织近 100 万美元的账单、某 AI 测试组织因 API 密钥被盗而损失的 60 万美元 AI 额度——是作为另外的、此前已有报道的案例引用的，而非这份数据集造成的损失。云安全联盟 2026 年 9 月 11 日的研究简报明确表达了同样的观点：Okta 的分析描述的是犯罪数据转储中存在的令牌及其理论上的可重放性，并未声称已测量出其中有多少被实际利用，也没有将某起具体入侵事件归因于这份转储。

需求侧也得到了Okta之外来源的印证。《The Hacker News》于2026年9月9日报道称，Okta已标记出Telegram上的多个商品列表，这些列表出售Claude、Cursor、ChatGPT和Gemini账号的折扣访问权限，并提供全天候支持和退款保证；此外，一个自称Poison Claude的服务宣传可访问Anthropic的Opus 4.6、4.7和4.8以及Sonnet 4.6。Gizmodo于2026年9月10日也报道了同一市场。《The Hacker News》还刊载了Google威胁情报团队的评估，称高端模型访问权限的成本正推动“网络犯罪社区中对AI账号的针对性攻击、数据窃取和售卖增加”，并描述了一次Mandiant事件响应参与案例，其中威胁行为者利用一个暴露的GitHub个人访问令牌部署了未经授权的AI基础设施。

记录确实确立了哪些内容，以及哪些内容没有任何所引来源能够定论

已确认，且消息来源也如此陈述：商品化窃取程序已在多个家族和两个操作系统中，将 AI 编程代理路径加入远程管理的收集规则；本地目录可能存有令牌、MCP 凭据、历史记录和项目元数据；而一份大型免费数据转储确实包含 AI 服务的未过期认证材料，其中包括 164 个未过期的 Anthropic 会话令牌和 24 个有效 API 密钥。

• 尚未证实：这些规则中的任何一条导致了已确认的账户接管。Gen Digital 和 Okta 均未报告有受害者的账户是使用来自这些特定集合的窃取令牌被登录的，而归档中的 real_harm 为 false 反映的是这一缺口，而非否认损害可能发生。

• 尚未确定：有多少开发者受到影响。Gen Digital 的 Amatera 和 Remus 数字是受保护用户中的检出数量，可能相互重叠，且并非实际感染数；Okta 的统计描述的是单次 7 GB 的数据转储，而非整个市场情况。

• 尚未确定：默认情况下，哪些代理程序会存储哪些内容。两份报告都强调，路径、文件和防护措施因产品、操作系统和用户配置而异，因此不能根据此记录排除任何单一代理程序——Gen Digital 的答案是，在假定任何产品安全之前，先清点本地存储的内容。

• 未确定：任何 agent 供应商做出了哪些更改。两份报告均未描述作为回应而做出的产品变更，也均未说明是否已通知供应商。所讨论的唯一产品侧缓解措施都是通用性的——操作系统凭据存储、短时效的作用域令牌以及保留控制，Gen Digital 认为这些应由工具自身提供。

• 发布后更正：云安全联盟的说明包含一份日期为2026年9月11日的1.1版修订。该修订称，它修复了一个规模膨胀问题——在此问题中，谷歌和微软全生态范围的登录令牌计数被呈现为AI特定暴露，却没有附上Okta自己的警示说明；同时还修复了一处误附引用，以及两条无法确认仍可访问的参考资料。

之后的变化：是轮换，而不是重置密码

两份报告一致得出的应对结论是：这属于事件响应层面的变革，而非一个补丁。Gen Digital 的建议是，将本地身份验证文件视同密码，在产品提供选择时优先使用操作系统钥匙串或密钥环，避免在提示词中泄露机密信息，仅向 MCP 集成授予其所需的权限，并且在遭遇窃密程序感染后，应在干净设备上操作，以撤销 AI 服务会话并轮换 API 密钥和 MCP 凭据。其最直白的表述是：“仅更改浏览器密码已不再足够”，而且多因素身份验证可能无法阻止对已被窃取的会话令牌的滥用。

Okta 的管控措施是身份侧的补充：对 API 密钥设置用量上限和 IP 允许列表；OAuth 2.0 流程从保存在钥匙串中的刷新令牌签发短期访问令牌；监控会话令牌重用；以及设备绑定会话凭证（Device-Bound Session Credentials），它通过密码学方式将会话绑定到设备。Okta 指出 DBSC 尚处早期——服务必须在服务器端实现它——并指出 2026 年 3 月发布的 Windows 版 Chrome 145 可支持该功能。它还记录道，谷歌于 2024 年推出用于加密浏览器数据的 App-Bound Encryption，但很快就被窃密软件开发者绕过。云安全联盟得出的运营结论是：终结被盗的活跃会话靠的是令牌撤销，而非密码重置。

该记录仍按其字段所定位的位置保留：一项中等严重性的研究发现，置信度为 A，无争议，未记录到实际危害，且发布至今仅有一天。它之所以值得保留，在于其所记录的不对称性——将另一个 agent 加入采集列表的成本只是一次配置更新，而要弄清哪些机器上的哪些 agent 持有可复用凭据，其成本则是一份大多数组织尚未建立的清单。