Le 15 octobre 2026, Security.com a rapporté, en attribuant l’analyse à l’équipe Symantec Threat Hunter, que des échantillons récents d’Aoki viseraient des identifiants et des fichiers de session associés à des assistants de programmation IA. Les outils cités comprennent Claude, OpenAI Codex, Cursor, Codeium et Google Gemini. Pour l’échantillon le plus récent décrit, l’article mentionne aussi des jetons de GitHub Copilot, Cursor, Google Gemini, JetBrains AI Assistant et Kiro, ainsi que des identifiants AWS. Lire le compte rendu de Security.com.
Les fichiers ciblés contiennent des identifiants et des données de session
Parmi les exemples cités figurent .claude.json, les cookies de Claude Desktop et de ChatGPT, ainsi que les fichiers config.toml et .env associés à Codex. Security.com décrit le vol d’identifiants, de jetons et de fichiers de session, plutôt que le vol général de code source.
Une nuance concerne Cursor : son état local peut contenir du contexte de discussion et des extraits de code. Cela élargit les types de données susceptibles d’être présents dans ces fichiers, sans changer la nature des cibles décrites pour les autres outils.
Ce que des identifiants dérobés pourraient permettre
Un jeton ou un identifiant volé pourrait permettre d’agir sous l’identité ou dans la limite du quota d’un utilisateur légitime. Il pourrait aussi ouvrir l’accès à des dépôts liés, à des services cloud ou à des pipelines CI/CD — des chaînes automatisées qui intègrent et déploient du code.
