Em 15 de outubro de 2026, a Security.com publicou um relato segundo o qual amostras recentes do infostealer Aoki miram credenciais e arquivos de sessão usados por assistentes de programação com IA. A publicação atribui a análise das amostras à equipe Symantec Threat Hunter. (Security.com)
Quais assistentes aparecem no relato
A lista de alvos atribuídos às amostras recentes inclui Claude, OpenAI Codex, Cursor, Codeium e Google Gemini. Para a amostra mais recente descrita, a Security.com também cita tokens de GitHub Copilot, Cursor, Google Gemini, JetBrains AI Assistant e Kiro, além de credenciais da AWS.
Os dados citados são credenciais e sessões
Entre os exemplos de arquivos estão .claude.json, cookies do Claude para desktop e do ChatGPT, além de config.toml e .env do Codex. O relato descreve o roubo de credenciais, tokens e dados de sessão, não o de código-fonte em geral. A ressalva é o estado local do Cursor, que pode conter contexto de conversas e trechos de código.
O que credenciais roubadas poderiam permitir
Segundo a Security.com, credenciais e tokens roubados poderiam permitir atividades usando a identidade ou a cota de um usuário legítimo e expor repositórios conectados, serviços de nuvem ou pipelines de CI/CD — processos automatizados de integração e entrega de software.
