第一批专偷AI的黑客出现了

安全圈最近流传一句半开玩笑的话：以前黑客偷你的浏览器，现在偷你的脑子。

这句话的背景是 Warden Stealer——一个基于 Rust 编写、以恶意软件即服务（MaaS）模式快速扩张的窃密木马。它的特别之处不在于技术多复杂，而在于猎物换人了：它系统地收割 Claude、Codex、Grok、Cursor 这类 AI 助手和编程代理在本机存储的一切——配置文件、本地令牌、提示词历史、会话数据库，甚至 MCP（Model Context Protocol）设置。这是公开报道中最早被观察到把 AI Agent 数据当作标准化猎物的恶意软件家族之一。

这不只是一个新样本入库的事件。它意味着：你放在 AI 里的工作记忆，已经在地下市场有了标价。

🔍 黑客不偷模型，偷的是你的钥匙串

很多人第一次听到这条消息时的反应是：是不是大模型被攻破了？

不是。Warden Stealer 没有碰 Anthropic、OpenAI 或 xAI 的任何服务器。它瞄准的是你电脑硬盘上那个被所有人忽略的角落——AI 客户端的本地数据目录。

用 Cursor 或 Claude Desktop 写代码的人都知道，为了省去反复登录，API 密钥、OAuth 令牌几乎都是明文或弱加密落盘的；聊得越深，本地会话数据库越大；接了 MCP 服务的开发者，配置文件里甚至躺着能直达公司内部系统的地址和凭证。这些东西安全吗？在木马眼里，这是一串没有上锁的抽屉。

这不是理论风险。安全研究员 Johann Rehberger（Embrace The Red）从 2024 年起就多次公开演示：AI 桌面客户端的提示注入漏洞可以导致本地数据外泄；安全公司 Invariant Labs 也在 2025 年 4 月披露了 MCP「工具投毒」攻击——恶意 MCP 服务器可以操纵客户端读取和转发本不该暴露的信息。本地数据目录被第三方程序读取，只是把这条路走得更直接。

产业逻辑其实很直白：AI Agent 已经成了个人和企业权限密度最高的单点之一。一个开发者的 Cursor 里，可能同时握着 GitHub、云账号和内部协作系统的钥匙。窃密木马从『偷 cookie 登号』进化到『偷 Agent 全量上下文』，本质是跟随高价值数据的迁移。

一句话概括：模型在云端很安全，可你本地那串令牌，从来没人替你看着。

🧩 一条完整的攻击链已经跑通

从分发到变现，Warden Stealer 的链条并不新奇，新奇的是每一环都为 AI 数据做了适配。

攻击链大致是这样的：

Rust 的选择也有讲究——内存安全语言编译出的样本更难被特征匹配，逆向成本更高。这已经是近两年新家族的主流技术路线：Fortinet 在 2024 年 6 月分析过的 Fickle Stealer，就是早期走 Rust 路线的窃密家族之一。Warden 只是把这个成熟的工程配方，对准了新的数据面。

真正的产业信号在最后一环。MaaS 意味着 Warden Stealer 不是黑客自己用的工具，而是一件商品：分发能力可以租，数据可以批量回收，AI 凭证和会话记录是新上架的 SKU。据多位长期跟踪地下市场的安全研究者私下交流，这类『AI 数据包』目前更像是新兴品类，定价体系尚未稳定，但正因为供给稀缺，早期上架者反而抢到了溢价。

变现路径也顺着这个逻辑展开：运营方靠订阅制向买家分发窃密能力，回收的数据再流入凭据交易市场，被用于盗刷 API、批量倒卖，或以窃来的会话记录做定向钓鱼——从盗刷到内网渗透，每一步都有人接盘。AI 数据进入这条管道后，风险不再止步于『账号被盗』，而是顺着令牌和 MCP 配置一路渗进企业内网。

换句话说，攻击者完成了一次标准的赛道切换：哪里有价值密度，木马就长到哪里。三年前他们盯着加密货币钱包文件，今天盯着你的 MCP 配置。工具变了，逻辑一行没改。

📊 开发者工具链，已经是多方攻击者的共同靶场

把 Warden Stealer 放进整个威胁版图里看，它的位置相当微妙：技术门槛并不高，但选择的数据面价值极高——这正是典型的新物种卡位。传统通用窃密木马还困在浏览器 Cookie 和游戏账号的低价值区，而 Warden Stealer 用一套中等复杂度的工程，切走了高价值生态位。

它也不是孤例。开发者工具链近年来已经反复被证明是高价值攻击面：

• Lazarus