信息窃取木马 Aoki 更新了采集清单，这次盯上的是 AI 编程助手。Symantec 威胁狩猎团队 10 月 15 日披露，该家族已能定向抓取 Claude、Codex、Cursor、Copilot、Gemini 等工具的配置与会话凭证，拿到手就等于拿到开发者本机通往仓库和流水线的钥匙。
事件概述
Aoki 今年早些时候首次出现，仍在活跃开发中。早期版本的目标是浏览器数据、加密货币钱包、密码管理器、通讯软件、游戏平台以及 VPN／FTP 客户端，属于很标准的”全家桶”式信息窃取器。新版把 AI 工具加进了目标列表，文件路径挑得非常具体：Claude 的 .claude.json 与桌面端 cookie，Codex 的 config.toml 与 .env，Cursor 的本地状态数据库，以及 GitHub Copilot、Gemini、Codeium、JetBrains AI Assistant、Kiro 的令牌，另外还有 ChatGPT cookie 与 AWS 凭证。
Symantec 没有识别出运营方，也没有找到与既有恶意软件家族的关联，从手法判断属于经济动机。传播方式与感染规模均未公开。
技术细节
这批文件的价值在于它们本身就是凭证，而且默认不受保护。.claude.json 里常带会话与项目配置，桌面端 cookie 直接对应登录态；Codex 的 config.toml 与 .env 存着模型服务地址、密钥和自定义环境变量；Cursor 的 state.vscdb 是 SQLite 库，历史对话、工作区与令牌都会留痕。
窃取方式没有新东西：扫描固定路径、打包、外传。公开情报里出现的 C2 域名包括 neihite.cc、dobeqnesmot.cc、hjazfioe.surf。
影响评估
AI 账号现在同时具备两种价值。一是可以直接花的钱：令牌能跑付费 API 配额，被拿去刷推理、做模型蒸馏，账单记在受害者头上，业内把这种做法叫 LLMjacking。二是可以直接用的权限：这些令牌往往连着私有仓库、CI/CD 流水线、云账号，攻击者不必再找服务器漏洞，从开发者笔记本一步进入生产。
更麻烦的是可见性。传统失陷信号是异常登录和外联，而这类木马只是在本地安静读几个文件，EDR 若没有针对这些路径的规则，日志里几乎看不出异常。真正容易先暴露的反而是 AI 平台账单曲线突然变陡。
修复建议
这是恶意软件而非漏洞，没有补丁可打，只能在终端与身份两侧收紧：
- 把 agent 配置文件按密钥管理：不进仓库、不进共享目录、定期轮换其中保存的密钥。
- AI 平台账号一律走企业 SSO 与多因素，禁止个人账号绑定公司仓库；令牌设置短有效期与最小作用域。
- 把 AI 平台用量异常纳入告警。单日 token 消耗突增、陌生 IP 调用，按失陷处理而不是按账单问题处理。
- 在 EDR 中为下列路径建读取监控规则，出现批量读取即告警。
~/.claude.json
~/.claude/ # 桌面端 cookie 与本地配置
~/.codex/config.toml ~/.codex/.env
~/.cursor/User/globalStorage/state.vscdb
~/.config/github-copilot/ ~/.aws/credentials主机层面还有一种低成本手段：在开发者机器的这些路径旁边放假凭证（蜜标），正常程序不会去读，一旦被读取就是高置信度告警，不需要先知道具体是哪一款木马。