El 15 de octubre de 2026, Security.com informó de que muestras recientes del infostealer Aoki buscan credenciales y archivos de sesión de asistentes de programación con IA, según un análisis atribuido al equipo Symantec Threat Hunter. La lista incluye Claude, OpenAI Codex, Cursor, Codeium y Google Gemini; para la muestra más reciente descrita, el artículo también menciona tokens de GitHub Copilot, Cursor, Google Gemini, JetBrains AI Assistant y Kiro, además de credenciales de AWS. Security.com detalló los hallazgos y los objetivos.
Qué datos busca Aoki
Entre los archivos citados figuran .claude.json, las cookies de Claude Desktop y ChatGPT, y los archivos config.toml y .env de Codex. Security.com describe el objetivo como credenciales, tokens y datos de sesión, no como el código fuente en general. En el caso de Cursor, la base de estado local puede contener contexto de chats y fragmentos de código.
Qué podría permitir el robo de esos datos
Una credencial o un token robados podrían permitir actividad con la identidad o la cuota de una persona usuaria legítima. También podrían dar acceso a repositorios conectados, servicios en la nube o canalizaciones de integración y despliegue continuos (CI/CD).
