Aoki Infostealer celuje w poświadczenia asystentów AI do programowania

Wprowadzenie do problemu / definicja

Aoki to złośliwe oprogramowanie typu infostealer, którego zadaniem jest kradzież danych uwierzytelniających, tokenów sesyjnych, plików konfiguracyjnych oraz innych artefaktów pozwalających uzyskać dostęp do usług i zasobów ofiary. Najnowsze obserwacje wskazują, że malware rozszerzył swoje możliwości o przechwytywanie danych powiązanych z asystentami AI wykorzystywanymi przez programistów.

To istotna zmiana z perspektywy bezpieczeństwa, ponieważ przejęcie poświadczeń do narzędzi AI może oznaczać nie tylko nadużycia rozliczeniowe, ale również dostęp do repozytoriów kodu, środowisk chmurowych oraz procesów CI/CD. W praktyce atakujący nie musi już ograniczać się do klasycznych haseł zapisanych w przeglądarkach.

W skrócie

Aoki, relatywnie nowa rodzina infostealerów obserwowana w 2026 roku, zaczęła kraść poświadczenia i artefakty sesyjne związane z popularnymi narzędziami AI dla deweloperów. Wśród potencjalnych celów wskazywane są m.in. Claude, ChatGPT, Codex, Cursor, Codeium, Gemini, GitHub Copilot, JetBrains AI Assistant oraz Kiro, a także poświadczenia AWS.

Malware rozszerza klasyczny model kradzieży haseł o przejmowanie tokenów i konfiguracji narzędzi AI.
Atakujący mogą wykorzystywać skradzione dane do nadużyć finansowych, przejęcia sesji i dostępu do środowisk developerskich.
Zagrożenie dotyczy nie tylko pojedynczych użytkowników, ale całego łańcucha wytwarzania oprogramowania.

Kontekst / historia

Przez lata infostealery koncentrowały się głównie na danych zapisanych w przeglądarkach, menedżerach haseł, portfelach kryptowalutowych i plikach cookies. Wcześniejsze warianty Aoki wpisywały się właśnie w ten model działania. Obecne rozszerzenie listy celów pokazuje jednak, że cyberprzestępcy szybko dostosowują się do zmian w sposobie pracy firm technologicznych.

Rosnąca rola asystentów AI w codziennych zadaniach programistycznych sprawia, że stały się one atrakcyjnym zasobem dla operatorów malware. Takie narzędzia często mają dostęp do lokalnych projektów, historii pracy, kont organizacyjnych, usług chmurowych i automatyzacji wdrożeń. Oznacza to, że kompromitacja jednego zestawu tokenów może otworzyć drogę do znacznie szerszego ataku niż tradycyjna kradzież pojedynczego hasła.

Analiza techniczna

Nowe warianty Aoki mają pozyskiwać pliki konfiguracyjne, ciasteczka oraz tokeny sesyjne wykorzystywane przez narzędzia AI dla programistów. Wśród przechwytywanych artefaktów wskazuje się m.in. pliki związane z Claude, ciasteczka ChatGPT, konfiguracje oraz zmienne środowiskowe używane przez Codex, a także tokeny dla innych asystentów kodowania i poświadczenia AWS.

Z technicznego punktu widzenia jest to wyjątkowo groźne, ponieważ nowoczesne usługi AI często korzystają z trwałych tokenów, lokalnych cache’y sesyjnych, plików ustawień i integracji z IDE. Dla atakującego taki pakiet danych bywa cenniejszy niż samo hasło, ponieważ może pozwolić na odtworzenie aktywnej sesji bez konieczności ponownego logowania.

Przejęcie aktywnej sesji użytkownika.
Wykonywanie operacji w imieniu legalnego dewelopera.
Nadużywanie limitów API i abonamentów powiązanych z kontem ofiary.
Uzyskanie pośredniego dostępu do repozytoriów, chmury i narzędzi DevOps.
Rozpoznanie środowiska developerskiego przed kolejnym etapem ataku.

Skradzione dane mogą być wykorzystywane do tzw. LLMjackingu, czyli nieautoryzowanego używania cudzego limitu API lub planu subskrypcyjnego usług AI. Problem wykracza jednak poza koszty. Jeśli konto asystenta AI jest połączone z repozytoriami, systemami CI/CD, wtyczkami IDE lub infrastrukturą chmurową, jego przejęcie może stać się realnym punktem wejścia do środowiska produkcyjnego.

Dodatkowym czynnikiem ryzyka jest fakt, że Aoki pozostaje malware aktywnie rozwijanym. To oznacza, że lista wspieranych aplikacji, metod eksfiltracji i typów przechwytywanych artefaktów może nadal rosnąć wraz z popularyzacją kolejnych narzędzi AI w środowiskach developerskich.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem aktywności Aoki jest wzrost ryzyka przejęcia tożsamości dewelopera. W środowiskach firmowych może to oznaczać nieautoryzowany dostęp do kodu źródłowego, sekretów zapisanych lokalnie, danych klientów, usług chmurowych oraz procesów wdrożeniowych. Jeżeli atakujący przejmie ważne tokeny sesyjne, część klasycznych zabezpieczeń opartych na logowaniu może zostać ominięta.

Ryzyko biznesowe ma kilka wymiarów. Z jednej strony pojawiają się bezpośrednie straty finansowe wynikające z nadużycia kluczy API i rozliczania aktywności AI na konto ofiary. Z drugiej strony rośnie prawdopodobieństwo wycieku własności intelektualnej, w tym kodu źródłowego, dokumentacji technicznej, promptów i konfiguracji projektów. W najgorszym scenariuszu kompromitacja stacji roboczej programisty może stać się początkiem ataku na łańcuch dostaw oprogramowania.

Nieautoryzowany dostęp do repozytoriów i usług chmurowych.
Wycieki kodu źródłowego i danych projektowych.
Nadużycia finansowe związane z kosztami API i subskrypcji.
Ryzyko modyfikacji pipeline’ów CI/CD i artefaktów wdrożeniowych.
Trudniejsze wykrywanie incydentu ze względu na wykorzystanie legalnych sesji.

Rekomendacje

Organizacje powinny traktować poświadczenia do narzędzi AI równie rygorystycznie jak dostęp do chmury, platform IAM czy systemów DevOps. Pierwszym krokiem powinna być pełna inwentaryzacja wykorzystywanych asystentów AI, wraz z identyfikacją miejsc przechowywania tokenów, plików konfiguracyjnych i zależności od kont organizacyjnych.

Kolejnym elementem jest ograniczanie uprawnień zgodnie z zasadą najmniejszych przywilejów. Asystenci AI, wtyczki IDE i konta API nie powinny mieć szerszego dostępu do repozytoriów, sekretów czy usług chmurowych, niż jest to absolutnie konieczne do wykonywania zadań.

Warto również skrócić żywotność tokenów, wymuszać ich regularną rotację oraz wdrożyć możliwość szybkiego unieważniania sesji. Jeśli dostawcy usług oferują monitoring aktywności, alerty bezpieczeństwa i granularne zarządzanie kluczami API, funkcje te powinny zostać domyślnie włączone.

Inwentaryzacja narzędzi AI i lokalnych artefaktów uwierzytelniających.
Ograniczenie uprawnień zgodnie z zasadą least privilege.
Rotacja tokenów i szybkie unieważnianie aktywnych sesji.
Rozszerzenie playbooków SOC i IR o kompromitację narzędzi AI.
Wzmocnienie ochrony endpointów deweloperskich przez EDR/XDR i hardening.
Szkolenie programistów z ryzyk związanych z lokalnym przechowywaniem sesji i sekretów.

Z perspektywy reagowania na incydenty nie wystarczy już sam reset hasła. Zespoły bezpieczeństwa powinny uwzględniać unieważnienie tokenów sesyjnych, rotację kluczy API, analizę logów z narzędzi AI i systemów CI/CD oraz przegląd stacji roboczej pod kątem innych śladów działania infostealera.

Podsumowanie

Ewolucja Aoki pokazuje, że cyberprzestępcy szybko dostosowują swoje narzędzia do realiów pracy nowoczesnych zespołów programistycznych. Kradzież poświadczeń do asystentów AI nie jest już scenariuszem teoretycznym, lecz praktycznym wektorem ataku prowadzącym do nadużyć finansowych, przejęcia tożsamości i kompromitacji łańcucha dostaw oprogramowania.

Dla organizacji to wyraźny sygnał, że bezpieczeństwo AI w procesie developmentu powinno być traktowane jako element podstawowej higieny cyberbezpieczeństwa. Ochrona tokenów, sesji i integracji narzędzi AI staje się dziś równie ważna jak zabezpieczanie kont administracyjnych czy dostępów do infrastruktury chmurowej.