資訊竊取程式轉向 AI 代理資料：收集規則現已鎖定 Claude、Cursor 與 Codex

Gen Digital 於 2026 年 9 月 8 日發布一份對資訊竊取程式收集規則的分析，發現目標清單新增了一行：AI 編碼代理的本機資料。在為期三個月的期間內，其 Windows 遙測在數萬名受保護的 Windows 使用者中記錄到 Amatera 與 Remus 的偵測——這些竊取程式的規則檔現已觸及 Cline、Continue、Anthropic 的 Claude、Cursor 與 OpenCode 目錄。CallbackBeaver 將 Claude 與 Cursor 納入其收集範圍，並在 30 天內於超過 5,000 個樣本中被觀察到。被取走的不是偏好設定，而是存取權與脈絡：存取權杖與刷新權杖、存放在 Model Context Protocol 組態中的憑證、提示詞歷史、對話資料庫，以及開發者當時正在處理的專案地圖。這不涉及任何新漏洞——當新規則到達時，竊取程式早已在執行，而有價值的內容已轉移到可預測的本機檔案中。本報導依據 Gen Digital 的報告、Okta 同日發布的遭竊日誌傾印分析，以及 Cloud Security Alliance 的研究筆記，且AI 事件檔案 將此條目與其相鄰條目並列收錄，每個條目各有其來源、嚴重性與可信度等級。

檔案庫將此紀錄歸檔為研究發現，而非部署事件：kind 為 research、severity 為 medium、confidence 為 A、disputed 為 false、real_harm 為 false、region 為 GLOBAL，並標記為 CRED 與 EXFIL，日期精確到日為 2026 年 9 月 8 日。那是 Gen Digital 發布的日期，不是任何特定機器遭感染的日期，而且兩份報告均未提供這些規則本身的感染日期。real_harm 欄位值得慢慢細讀。紀錄本身或其來源中，沒有任何內容描述可追溯到這些收集規則的已確認帳號接管；有被記錄下來的是能力與暴露面，這也是該條目被評為中等而非高等的部分原因。

沒有新漏洞：規則到達時，竊取程式已經在執行了

Gen Digital 明確表示，這並不是在描述漏洞。報告指出，其發現「並未指向一種入侵裝置的新方式，也未指向 AI 模型或代理中的漏洞」；資訊竊取程式早已在運作，而改變的是「有價值的資訊集中在可預測的位置，有時還是明文，以及將這些位置加入現有蒐集清單的容易程度」。

這種便利性正是其機制。許多竊取程式會接收遠端管理的收集規則，這些規則指定目錄、檔名、副檔名、資料庫、搜尋深度或檔案大小限制，因此，得知代理程式把權杖存放在何處的操作者，就能新增另一條路徑，而無須重新建置或重新散布惡意程式——更新後的規則會送達已位於遭入侵機器上的安裝。Gen Digital 對此附上兩項但書：這種做法並非適用於所有竊取程式，且有些工具需要產品特定的解析或解密，而非僅靠路徑項目。其實務警告在於證據的形態——如果某個大型竊取程式目前並未收集某個特定代理程式，這種缺席只是一張快照，「不能作為該代理程式將永遠不在收集範圍內的證據」。

哪個家族會觸及哪個代理？

背後有遙測資料的兩個家族是 Amatera 與 Remus：前者鎖定與 Cline 和 Continue 相關的資料，後者則鎖定 Claude、Cursor 和 OpenCode。Gen Digital 表示，兩者的數字「可能重疊，且描述的是偵測結果，而非成功感染」；當把這些數字解讀為有多少開發人員實際遭竊的衡量指標時，這項區別很重要。圍繞在它們周遭的家族，則讓這種行為看起來像是一種趨勢，而非一次實驗：BeeStealer、STG Stealer、HydraStealer、APEX Stealer 和 Otter Stealer，報告將它們歸類為盛行率較低者；以及 Djinn Stealer，它在 macOS 上展現相同行為，並與從 Claude、Codex、Gemini、Cline、OpenCode 和 Kilo 收集資料有關。

Gen Digital 自己對這樣的速度所做的總結是，AI 代理資料「幾乎每天都會出現在另一個竊取程式的收集規則中」。為了說明規模，它把這種鎖定目標的現象放進一個更古老的問題裡：2026 年上半年，其遙測資料在超過 330 萬名不重複的受保護使用者中記錄到資訊竊取程式偵測，每月數字持續超過 50 萬。這些總數涵蓋所有資訊竊取程式家族，而不只是已知會接觸 AI 代理資料的那些，因此它們衡量的是新規則正在滲透的母體，而不是新規則的觸及範圍。

產出的是一個 refresh token 和一份程式碼庫的地圖

報告將代理程式目錄所含內容分為兩類，而這項區分正是這項發現的重點。第一類是存取權：有些代理程式會在本機快取存取權杖或登入資訊，讓使用者不必每次工作階段都重新驗證。存取權杖可能直到到期前都可使用；更新權杖有時可換取新的存取權杖，並延長可用時間。Gen Digital 對這些限制相當謹慎——結果「取決於權杖的範圍、存續時間及服務自身的控制措施，因此竊取檔案並不保證能取得持續存取權」——同時指出該檔案「仍可能和密碼儲存庫一樣敏感」。

第二類是情境脈絡，這也是為什麼這不單單是憑證外洩的問題。提示與對話紀錄可能包含專有原始碼、儲存庫名稱、內部主機名稱，以及為了疑難排解而貼上的機密；一份對話紀錄可能讓攻擊者掌握程式碼庫的結構、已知弱點與相關人員，報告將此描述為偵察，而且是「攻擊者原本得花上好幾天才能蒐集到」的情報。若開發人員曾在機密的概念驗證專案中使用助理，其歷史紀錄可能暴露尚未申請專利的發明。Gen Digital 對這種組合的總結是：單一封存檔可能同時承載「存取帳戶所需的手段，以及理解帳戶背後有何價值所需的脈絡」。

Model Context Protocol 設定介於這兩類之間。它們可能包含端點、標頭、環境變數與 API 金鑰；若可重複使用的密鑰儲存在本機，一旦遭到入侵，影響可能觸及該代理程式所連接的原始碼版本控制、工單平台、資料庫或雲端服務。報告並未誇大：有些整合使用短期憑證、受作業系統保護的儲存機制或互動式授權流程，因此遭竊的設定不會自動解鎖其中列出的所有項目。

Okta 算的是同一個市場的買方端

Okta 的威脅情報團隊從另一端著手處理同一個問題，其報告同樣帶有 2026 年 9 月 8 日的發布時間戳。該團隊分析了 2026 年 8 月 2 日發布到 Telegram 頻道的免費 7 GB 日誌傾印——5,871 個資料夾，每台受感染機器一個，遍布 162 個國家——並使用自訂正規表達式和開源秘密掃描器 TruffleHog。在傾印中的 44,791 個唯一 JSON Web Tokens 裡，有 555 個被認定可能與 AI 服務身分驗證有關。另一項搜尋發現 2,937 個與身分驗證相關的 JSON Web Encryption 物件，其中大多數是 OpenAI 使用 NextAuth.js 設定的；此外，有 1,843 個各種 JWTs 和 JWEs 在發布當天仍未過期。

各供應商的計數，是能讓資安團隊據以採取行動的那個數字。Anthropic 在 404 台不同機器上合計有 561 個不重複的工作階段權杖，其中 164 個尚未過期；Cursor 在 26 台機器上合計有 32 個，其中 16 個尚未過期。Google 和 Microsoft 以 9,829 和 2,491 個權杖稱霸表格，但 Okta 指出，這些總數是經由單一登入閘道而來，且涵蓋各供應商的完整帳戶群，因此它們並不是衡量 AI 專屬暴露風險的指標。TruffleHog 也在四個 AI 相關模型服務中傳回 24 個仍然有效的 API 金鑰——Okta 將這個類別描述為一種憑證，買家可用它在別人的帳單上執行推論。Okta 威脅情報總監 Jeremy Kirk 直白說明這個機制：工作階段權杖和 API 金鑰之所以被覬覦，「是因為通常可以重放這些祕密，並繞過以憑證為基礎的身分驗證。」

Okta 對於這份外洩資料包能證明什麼相當謹慎。該公司表示，它「在這份資料外洩包中並未觀察到 Okta 工作階段遭竊的證據」，而且當組織強制執行 IP 允許清單時，遭竊的權杖仍然會失效。其引言中的財務數字——某個組織近 100 萬美元的帳單、某個 AI 測試組織因遭竊的 API 金鑰而損失 60 萬美元的 AI 額度——是作為各自獨立、先前已報導的案例引用，而非此資料集造成的損害。Cloud Security Alliance 於 2026 年 9 月 11 日的研究備忘錄明確表達同一點：Okta 的分析描述犯罪資料外洩包中存在的權杖及其理論上的重放可能性，並未聲稱已衡量實際有多少權杖被利用，也未將特定入侵事件歸因於該資料外洩包。

需求面也獲得 Okta 之外的佐證。The Hacker News 於 2026 年 9 月 9 日報導，Okta 已標記 Telegram 上販售 Claude、Cursor、ChatGPT 與 Gemini 帳號折扣存取權的刊登資訊，這些服務提供 24/7 支援與退款保證；同時，一個自稱 Poison Claude 的服務廣告宣稱可存取 Anthropic 的 Opus 4.6、4.7 與 4.8 以及 Sonnet 4.6。Gizmodo 於 2026 年 9 月 10 日報導了同一市場。The Hacker News 也刊載了 Google Threat Intelligence Group 的評估，指出高階模型存取的成本正推動「網路犯罪社群中針對 AI 帳號的鎖定、外流與販售增加」，並描述了一起 Mandiant 事件應變案件，其中威脅行為者利用一個外洩的 GitHub 個人存取權杖部署未經授權的 AI 基礎設施。

紀錄確實確立了什麼，以及沒有任何引用來源能釐清什麼

已確認，且來源明確如此陳述：商品化竊資程式已在數個惡意程式家族與兩種作業系統中，將 AI 編碼代理路徑加入遠端管理的收集規則；本機目錄可能存有權杖、MCP 憑證、歷史記錄與專案中繼資料；而一份大型免費外洩資料集確實含有 AI 服務的未過期驗證資料，包括 164 個未過期的 Anthropic 工作階段權杖與 24 個有效 API 金鑰。

• 尚未確立：這些規則中任何一條曾造成經確認的帳號接管。Gen Digital 與 Okta 均未通報有任何受害者是遭人以來自這些特定收集資料的竊取權杖登入其帳號，而該檔案庫的 real_harm 為 false，反映的是這項證據缺口，而非否認損害有可能發生。

• 尚未確定：有多少開發者受到影響。Gen Digital 的 Amatera 與 Remus 數字是受保護使用者中的偵測數量，可能彼此重疊，且並非感染；Okta 的計數描述的是一次 7 GB 的資料傾印，而非整體市場。

• 尚未確定：各代理程式預設會儲存哪些內容。兩份報告都強調，路徑、檔案與防護措施會因產品、作業系統與使用者設定而異，因此無法根據這份紀錄排除任何單一代理程式——Gen Digital 的作法是在假定任何產品安全之前，先盤點本機儲存的內容。

• 未能確認：任何代理程式供應商做了什麼改變。兩份報告都未描述因應此事而做出的產品變更，也均未表示曾通知供應商。文中討論的唯一產品端緩解措施都是通用性質——作業系統認證資料存放區、短效的限定範圍權杖，以及留存控制，而 Gen Digital 主張這些應由工具本身提供。

• 發布後更正：雲端安全聯盟（Cloud Security Alliance）的說明文件載有日期為 2026 年 9 月 11 日的 1.1 版修訂；該聯盟表示，此修訂修正了一項規模膨脹問題，亦即 Google 與 Microsoft 涵蓋整個生態系的登入權杖數量，在未附上 Okta 自身警語的情況下，被呈現為 AI 專屬的暴露風險；此外還修正了一處錯誤附掛的引註，以及兩筆無法確認是否仍有效的參考資料。

之後改變了什麼：輪替，而非重設密碼

兩份報告共同得出的因應措施，是事件應變流程的改變，而非修補程式。Gen Digital 的指引主張：將本機驗證檔案視同密碼；若產品提供選擇，優先使用作業系統的鑰匙圈或金鑰環；不要讓機密資料出現在提示中；只授予 MCP 整合所需的權限；以及在遭竊取程式感染後，改用乾淨的裝置撤銷 AI 服務工作階段，並輪替 API 金鑰與 MCP 認證。其最直白的一句話是「單靠更改瀏覽器密碼已不再足夠」，而且多因素驗證可能無法阻止已遭竊取的工作階段權杖被濫用。

Okta 的控管措施是身分端的互補做法：為 API 金鑰設定用量上限與 IP 允許清單、採用 OAuth 2.0 流程從保存在鑰匙圈中的重新整理權杖核發短效存取權杖、監控工作階段權杖是否遭重複使用，以及裝置綁定工作階段憑證（Device-Bound Session Credentials），以密碼學方式將工作階段綁定至裝置。Okta 指出 DBSC 仍屬早期階段——各服務必須在伺服器端實作——並表示 2026 年 3 月發布的 Windows 版 Chrome 145 可支援此功能。Okta 也記錄到，Google 於 2024 年推出、用來加密瀏覽器資料的 App-Bound Encryption，很快就被竊取程式開發者繞過。雲端安全聯盟（Cloud Security Alliance）得出營運上的結論：要阻斷遭竊且仍在作用中的工作階段，靠的是權杖撤銷，而非重設密碼。

這筆紀錄仍依其欄位落在原處：一項中度嚴重性的研究發現、信心等級 A、無爭議，沒有記錄到任何實際危害，且發表至今僅一天。它值得保留的原因，在於它所記載的不對稱性——把另一個代理程式加入收集清單的代價，只是一次設定更新；而掌握哪些機器上的哪些代理程式持有可重複使用憑證的代價，則是一份多數組織都尚未完成的盤點。