15 października 2026 r. Security.com opisał nowsze próbki infostealera Aoki, które — według analizy przypisanej zespołowi Symantec Threat Hunter — mają kraść dane logowania i pliki sesji używane przez asystentów programistycznych AI. Relacja Security.com wymienia konkretne narzędzia i pliki, a także możliwe skutki przejęcia takich danych.
Jakie narzędzia i pliki miały być celem?
Wśród narzędzi wymienionych przy nowszych próbkach są Claude, OpenAI Codex, Cursor, Codeium i Google Gemini. Najnowsza opisana próbka ma obejmować również tokeny GitHub Copilot, JetBrains AI Assistant i Kiro oraz dane uwierzytelniające AWS.
Wśród wskazanych plików znalazły się .claude.json, pliki cookie Claude i ChatGPT oraz pliki config.toml i .env związane z Codex. Opis dotyczy przede wszystkim danych uwierzytelniających, tokenów i sesji, a nie ogólnej kradzieży kodu źródłowego. Zastrzeżeniem jest lokalna baza stanu Cursor, która może zawierać kontekst rozmów i fragmenty kodu.
Co mogłyby umożliwić skradzione dane?
Przejęty klucz API lub token mógłby pozwolić na działania z użyciem tożsamości użytkownika albo jego limitu API. Dostęp mógłby też objąć połączone repozytoria, usługi chmurowe lub potoki CI/CD. Są to możliwe skutki wykorzystania skradzionych danych.
