サイバー犯罪者が、Claude、Cline、Codex、Continue、Cursor、OpenCodeなどAIコーディングエージェントがローカルに保存するデータを狙う動きを強めています。
一般に「インフォスティーラー」と呼ばれる情報窃取型マルウェアは現在、AIツールのトークン、ソースコード、プロンプト履歴、プロジェクトデータ、そして連携サービスに紐づく認証情報を収集するようになっています。
セキュリティ研究者らによれば、これは単なる実験的な傾向ではありません。Amatera、Remus、CallbackBeaver、BeeStealer、HydraStealer、APEX Stealer、Otter Stealer、そしてmacOSを標的とするDjinn Stealerといったマルウェアファミリーが、すでにAI開発ツールを収集ルールに組み込んでいます。
Amateraは、ClineおよびContinueのデータを標的としていることが確認されており、Remusは Claude、Cursor、OpenCodeを標的にしています。
CallbackBeaverもCursorとClaudeを収集対象に追加しています。研究者らは直近30日間で5,000件を超えるCallbackBeaverの検体を確認しました。
この傾向の変化は、AI支援型のコーディングプラットフォームが、インフォスティーラーのエコシステム全体にとって価値のある標的になったことを示しています。
脅威アクターは、パスやファイル名、データベースのルールを更新するだけで、マルウェア自体を作り直すことなく、新たに人気を集めたAIツールを収集リストに追加できます。
AIコーディングエージェントは、単純なアプリケーション設定をはるかに超える情報をローカルに保存し得ます。ツールやユーザーの設定次第では、ローカルファイルにアクセストークン、リフレッシュトークン、アカウント情報、Model Context Protocol(MCP)の設定、APIキー、会話履歴、プロジェクトの参照情報、キャッシュされたソースコード情報などが含まれることがあります。
アクセストークンを盗まれると、犯罪者は有効期限が切れるまで被害者のAIアカウントを利用できてしまいます。さらにリフレッシュトークンがあれば新しいアクセストークンを生成でき、不正アクセスを延長することも可能です。攻撃者はこうした情報を悪用して有料のAI APIサービスを不正利用したり、利用枠を盗んだり、稼働中のアカウントを他の犯罪者に売却したりする恐れがあります。
MCPの設定情報はさらなるリスクを生みます。MCPは、ソースコード管理プラットフォーム、データベース、クラウド環境、チケット管理システム、コラボレーションツールなど、外部サービスとAIエージェントを連携させる仕組みです。
ローカルの設定ファイルに再利用可能なAPIキーやヘッダー、環境変数、認証情報が含まれている場合、インフォスティーラーへの感染がAIプラットフォームの枠を超えて他のシステムにまで被害を及ぼす可能性があります。
プロンプト履歴も同様に価値の高い情報です。開発者はAIアシスタントを使って、独自コードのレビューやインシデントのデバッグ、社内文書の要約、ログの解析、未発表の製品に関する議論などを日常的に行っています。
こうした会話には、リポジトリ名や社内ホスト名、インフラの詳細、セキュリティ管理策、APIシークレット、事業計画などが含まれている場合があります。
組織は、AIエージェントのデータをID管理・認証情報管理・エンドポイントセキュリティ対策の一部として扱うべきです。
gendigitalは、セキュリティチームが開発環境全体で使用されているAIツールを棚卸しし、各ツールが認証情報や履歴、プロジェクトデータ、MCP設定情報をどこに保存しているかを把握する必要があると指摘しています。
開発者は、パスワードや秘密鍵、APIトークン、顧客情報、本番環境のシークレットをAIへのプロンプトに含めないようにすべきです。
トラブルシューティングの過程でシークレットを共有してしまった場合は、直ちにローテーション(再発行)を行い、可能な限り保存済みの会話履歴からも削除する必要があります。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。TIフィードを統合し、貴社のSOCへ
翻訳元: https://cyberpress.org/infostealers-target-ai-coding-agents/
