ARTICLE · 1195048
紧急预警!新型Aoki信息窃取器盯上你的AI编码助手凭证,Claude、Cursor、Codex全中招
紧急预警!新型Aoki信息窃取器盯上你的AI编码助手凭证,Claude、Cursor、Codex全中招
2026年10月14日，赛门铁克（Symantec）威胁猎人团队披露，一个名为Aoki（又名Aokigahara）的信息窃取器发布了最新版本，其攻击目标出现重大扩展——专门采集AI编码助手的凭证和会话文件，将其视为与支付卡和加密货币信息同等价值的新型资产。 被瞄准的AI编码助手包括：Anthropic的Claude、OpenAI的Codex、Anysphere的Cursor、Windsurf的Codeium，以及Google的Gemini。最新样本还额外针对GitHub Copilot、JetBrains AI Assistant和Kiro的令牌，以及Amazon Web Services（AWS）凭证。 赛门铁克高级情报分析师Brigid O Gorman表示：“我们没有观察到下游活动，也不清楚这个信息窃取器可能部署在多少受害者身上。”
Aoki于2026年首次被观测到，在恶意软件分析平台MalwareBazaar上首次出现样本是在8月，其活动一直持续到本周。它在解密时使用的别名 “Aokigahara” 取自日本著名的青木原森林，但赛门铁克表示，恶意软件开发者的身份仍然未知。 赛门铁克将Aoki描述为 “高度 capable 且多功能的窃取器” ，其能力 “似乎仍在积极开发中”。该恶意软件没有后门命令列表——它只是收集所有可获得的数据并发送到C2服务器。这种“全量采集”模式使其对攻击者而言极为高效。 Aoki的攻击范围呈现出高度组织化的特征。在AI编码助手层面，它精确瞄准以下文件： .claude.json 和 Claude桌面版Cookie ChatGPT Cookie Codex的config.toml和.env文件 GitHub Copilot、Cursor、Gemini、JetBrains AI Assistant和Kiro的令牌 AWS凭证 这意味着，一旦开发者的机器被感染，攻击者不仅获取了AI服务的API密钥，还可能通过关联的仓库、云服务和CI/CD管道，获得进入整个开发者环境的跳板。 Aoki的“全量窃取”还覆盖了极为广泛的传统目标：超过20款浏览器（Chrome、Edge、Brave、Opera、Firefox、Waterfox、Pale Moon等）的Cookie、自动填充数据、信用卡信息、历史记录和Google令牌；超过50种加密货币钱包浏览器扩展（MetaMask、Phantom、Coinbase、Binance、Trust、OKX等）和桌面钱包（Exodus、Atomic、Electrum、Monero等）；以及密码管理器、Discord和Telegram会话、游戏应用、VPN和FTP客户端数据。 赛门铁克在报告中给出了清晰的解释： “API密钥和OAuth或会话令牌允许以合法开发者的身份和API配额进行恶意活动。它们还可能暴露与该账户关联的仓库、云服务和CI/CD管道，并可能绕过假定请求来自可信用户的安全措施。” 更重要的是，这种凭证具有直接的变现路径。赛门铁克指出： “与卡片数据一样，被盗的AI密钥可以直接变现，要么通过转售，要么通过刷爆受害者的账户使用量——这种做法有时被称为LLMjacking。” 与支付卡数据不同的是，AI凭证还能为攻击者提供进入开发者更广泛环境的途径。 赛门铁克的调查显示，Aoki是出于财务动机的。其攻击目标中对加密货币钱包和扩展的持续关注，以及通过被入侵用户联系人扩大攻击面的潜在意图（针对消息应用凭证），都指向经济驱动的犯罪团伙。 然而，赛门铁克并未发现Aoki与任何现有恶意软件家族存在关联，也没有确认其初始分发机制（如钓鱼邮件、恶意广告、破解软件等）。
Aoki对AI编码助手凭证的窃取，其危害远超单纯的API账单盗刷。开发者的AI编码助手账户通常关联着代码仓库、云基础设施、CI/CD流水线以及内部工具链。攻击者一旦获得这些凭证，可以： 以合法开发者身份操作，绕过“请求来自可信用户”的安全假设 访问私有代码仓库，窃取知识产权和核心业务逻辑 操控CI/CD管道，向生产环境注入恶意代码 访问云服务，窃取数据或部署挖矿程序 赛门铁克强调： “被盗令牌还可以暴露与该账户关联的仓库、云服务和CI/CD管道。” 许多企业尚未将AI编码助手的凭证纳入标准的秘密管理流程。开发者可能将API密钥硬编码在项目文件中、保存在本地配置里，或通过桌面应用长期保持登录会话。Aoki正是瞄准了这些未被妥善管理的“影子凭证” 。 Aoki同时针对加密货币钱包和AI凭证，这种“双轮驱动”策略意味着：无论受害者是Web3开发者还是使用AI工具的传统企业开发者，都在Aoki的射程之内。赛门铁克指出，Aoki对加密货币的关注表明攻击者以经济利益为驱动力。
轮换所有AI编码助手的API密钥和令牌：检查Claude、Codex、Cursor、Codeium、Gemini、GitHub Copilot等服务的凭证是否可能暴露 审计.claude.json、config.toml、.env等文件的访问权限：确保这些包含敏感凭证的文件不被恶意软件轻易读取 监控异常API使用量：AI服务的API调用量突然飙升可能是“LLMjacking”的迹象 将AI凭证纳入秘密管理系统：避免硬编码，使用专用的密钥管理工具 部署端点检测与响应（EDR）：监控异常的文件读取行为，特别是对浏览器数据目录和AI助手配置文件的批量访问 科力锐勒索拦截系统基于勒索病毒加密永恒不变的“读、加密、写”行为特征，提供已知防护、未知防护、诱捕拦截、可信安全区、勒索拦截与灾备联动五大能力。其未知勒索行为检测采用AI智能学习技术，为每个主机建模分析生成唯一的合法行为DNA指纹库，任何非法行为将会触发深度检测及告警。 针对Aoki这类信息窃取型恶意软件，科力锐的响应处置中心可对高危进程、异常文件、感染主机进行有效隔离，快速阻断数据外传通道。其灾备方案确保在攻击导致数据损坏后快速恢复业务。 亚信安全依托AI XDR架构，以自研安全大模型信立方为核心，实现“主动、自动、联动”的体系化安全防护。其AI威胁推理分析引擎依赖于攻击行为而非漏洞特征，可精准识别各种0day和未知威胁。 针对Aoki通过合法开发者身份进行恶意活动的特点，亚信安全的AI安全基线威胁感知引擎通过机器学习技术动态构建主机层面行为和网络流量的安全基线，可精准识别复杂多变的攻击行为。其AI智能联动响应处置可自动执行IP封禁、子网隔离、恶意文件删除等操作，实现全流程无人值守闭环管理。
Aoki的更新揭示了一个正在加速的趋势：AI凭证正在成为网络犯罪的新“硬通货”。 赛门铁克的判断清晰而直接：被盗的AI密钥“可以直接变现，要么通过转售，要么通过刷爆受害者的账户使用量”。而比经济损失更严重的是，这些凭证同时是一把进入开发者整个技术栈的钥匙——代码仓库、云环境、CI/CD管道，全部暴露在攻击者的视野之下。 Aoki的“全量采集”模式——没有后门命令列表，只是收集所有可得数据并发送——意味着其检测难度更高，因为恶意行为分散在大量正常的文件读取操作中。开发者本地的.claude.json、config.toml、.env文件，在正常开发过程中被频繁访问，Aoki的窃取行为可以完美地隐藏在这些合法操作的噪声中。 防御的关键在于将AI凭证纳入与支付卡、加密货币同等优先级的管理范畴： 轮换与隔离：AI API密钥应像数据库密码一样定期轮换，并存储在专用的秘密管理工具中 行为监控：EDR需要调优以标记对AI助手配置文件和大规模浏览器数据目录的异常批量读取 外联管控：监控非工作时段的大流量外传，以及向未知IP的异常连接 最小权限：AI编码助手账户不应拥有超出其实际需求的仓库、云资源和CI/CD权限 当AI编码助手成为开发者的“数字同事”，它们的凭证就成了攻击者进入你整个技术栈的“后门钥匙”。 紧急预警！全球网络攻击同比暴涨48%，每39个AI提示就有1个在泄露敏感数据 紧急预警！PoeLLM恶意软件感染3400+台AI服务器，C2地址竟藏在一首诗里
AI API密钥正在成为黑客眼中的“新加密货币”，窃取后可转售、可盗刷、可直捣开发者整个云环境
事件概述
事件经过
Aoki是谁？一个“沉默而高效”的新型窃取器
攻击手法：从.bashrc到桌面Cookie的全面窃取
为什么AI凭证成了“新黄金”？
财务动机明确，但归因困难
事件危害
从“偷密钥”到“进环境”：一次感染，全线暴露
“影子AI”的凭证管理盲区
加密货币与AI凭证的“双轮驱动”
防御建议
立即行动清单
科力锐：勒索拦截 + 灾备应急恢复
亚信安全：AI XDR赋能的一体化终端安全
总结
网络安全领域深耕几十年，每日分享当下最新网络安全事件，喜欢的朋友可以点点关注~
