黑客的新猎物，是你的AI代理
📋 总体概括
Rust 编写的 MaaS 窃密木马 Warden Stealer 开始系统化收割 Claude、Codex、Grok、Cursor 的配置、令牌与对话数据；与此同时 Midnight Blizzard 子集群借酒店 Wi-Fi 复活 CaptiveCrunch 行动。AI 代理正在取代浏览器与钱包，成为攻击者眼中的新金矿，防御思路必须跟着换。
📄 正文
当安全社区还在讨论钱包插件和浏览器 Cookie 该怎么保护时，窃密木马的打击列表已经悄悄换页——这次写上去的，是 Claude、Codex、Grok 和 Cursor。
这不是概念验证，而是一个正在快速扩张的恶意软件即服务（MaaS）业务的正式产品功能。与此同时，Midnight Blizzard 的一个子集群借着酒店 Wi-Fi 复活了针对差旅人群的间谍行动，并给载荷换上了 Rust 引擎。两条线索指向同一个判断：攻击者的目光，正在从"你的账号"迁移到"你的 AI 代理"。
💰 窃密木马 3.0：从偷 Cookie 到偷 AI 的记忆
窃密木马的战利品清单，正在从浏览器 Cookie 换成 AI 代理的记忆。
据 GBHackers 披露，一个名为 Warden Stealer 的家族正在以 MaaS 模式快速扩张。它基于 Rust 编写，其特别之处在于：它是最早一批被观察到系统化收割 AI 代理数据的恶意软件家族之一。它盯上的不是传统意义上的"账号"，而是一整套代理工作区——
- AI 助手与编码代理的本地配置文件；
- 存放在本地的 API 令牌；
- 完整的 Prompt 历史记录；
- 会话数据库（你和 AI 聊过的所有内容）；
- Model Context Protocol（MCP）设置。
这套数据为什么值钱？我们拆开看就明白了：
| 被窃取的数据 | 攻击者拿到后能做什么 |
|---|---|
| 本地 API 令牌 | 直接调用付费模型，盗刷额度、转售访问权 |
| Prompt 历史 | 还原你的思维方式、项目上下文与商业意图 |
| 会话数据库 | 提取贴进对话里的代码、凭据、内部文档 |
| MCP 配置 | 顺藤摸瓜找到代理连接的第三方服务与凭据 |
| 代理配置文件 | 定位开发环境、复用自动化链路发起下一步攻击 |
换句话说，一份被偷走的 AI 代理工作区，等于把"你授权给 AI 的一切"打包带走。攻击链条大致是这样的：
产业逻辑也在这里发生了质变。过去窃密木马的变现路径是"偷 Cookie—登录账户—盗刷"—条线；现在多了一条：AI 代理是企业和第三方服务之间的自动化桥梁，MCP 配置里往往串着整条工具链的钥匙。偷到它，攻击者拿到的不是单点权限，而是一张进入企业自动化体系的地图。
有做终端安全的从业者私下感叹："以前 EDR 盯着浏览器路径就够了，现在客户开发机上多了十几个代理目录，谁都没纳入遥测。"这正是一代产品形态切换时的典型盲区。
🌐 老套路装上新引擎：酒店 Wi-Fi 上的国家级猎手
国家级攻击组织最大的升级，往往不是发明新套路，而是给老套路换引擎。
场景并不陌生：出差住酒店，连上大堂 Wi-Fi，弹出认证页面，点个"同意"就上网了。这个几十年来人人都会做的动作，正是 APT 组织最爱的入口之一。
据披露，Midnight Blizzard 的子集群 Storm-2945 已经恢复了代号 CaptiveCrunch 的间谍行动——滥用酒店与场馆 Wi-Fi 的强制门户（Captive Portal）网络感染差旅人员，进而攻陷其企业账户。时间线很清晰：
- 2026 年 9 月 29 日：观测到该子集群重新活跃；
- 2026 年 10 月 5 日：安全侧更新报告，确认行动复苏；
- 本次活动中部署了 Rust 变种的 CornFlake 窃密木马，其特征与持续进行的 AI 辅助恶意软件开发相一致。
两条信息值得划重点。其一，强制门户攻击之所以屡试不爽，是因为它把感染前置到了用户"还没接入任何企业防护"的那一瞬间——你的 VPN 还没连，你的 EDR 策略还没生效，网络位置本身就把你划出了保护圈。其二，载荷从传统编译语言迁移到 Rust，意味着更难的逆向分析、更低的查杀特征命中率；而"与 AI 辅助恶意软件开发相一致"的判断则表明，AI 正在同时出现在攻击的两侧：一侧是被偷的数据，一侧是制造武器的工具。
把两条线索放在一张表里看，趋势更直观：
| 维度 | Warden Stealer | CaptiveCrunch 行动 |
|---|---|---|
| 属性 | 商业化 MaaS 窃密 | 国家背景间谍行动 |
| 开发语言 | Rust | Rust 变种 |
| 目标人群 | 使用 AI 代理的开发者与企业 | 酒店网络中的差旅人员 |
| 窃取内容 | AI 代理配置、令牌、对话数据 | 差旅凭据与企业账户 |
| 共同信号 | 系统化收割 AI 工作区 | 与 AI 辅助恶意软件开发特征一致 |
一边是"卖铲子的"黑产把 AI 数据做成了标准商品，一边是"国家队"把 AI 当成武器研发的加速器。供给端和需求端同时升温，这不是巧合，是同一场迁移。
⚙️ 拿下只是开始：被忽视的 Linux 持久化暗面
对于窃密和间谍活动来说，进入系统只是一半，住下来才是目的。
近期安全社区还系统梳理了几种鲜为人知的持久化技术，其中两类尤其值得运营 Linux 环境的团队注意：一是 ABRT 事件劫持，利用 CentOS/RHEL 上自动错误报告工具的事件处理机制植入后门；二是 Apport Hook 劫持，在 Ubuntu 的崩溃报告链路中做手脚。它们的共同点是：都藏身于系统自带的"可信工具"里，管理员习惯性认为这些组件是基础设施的一部分，很少怀疑它们会被反手利用。
这件事放在 AI 代理时代看，权重完全变了。
AI 编码代理通常跑在哪里？开发者的 Linux 工作站、构建服务器、CI/CD 节点——恰恰是持久化技术最肥沃的土壤。一旦攻击者在这样的机器上完成持久化，Warden Stealer 式的窃密就从"一次性收割"升级为"长期监控"：你每更新一次 MCP 配置、每在对话里粘贴一段代码、每轮换一次令牌，攻击者都能坐享其成。
产业层面的判断是：持久化检测的基线建设，正在从"服务器运维问题"变成"AI 安全问题"。过去蓝队对系统组件做完整性监控，主要是防挖矿和勒索；现在多了一个理由——防你的 AI 代理被人长期窃听。
🛡️ 防御视角：把 AI 工作区当成生产环境来管
别再把 AI 工作区当私人笔记，它是生产环境。
综合这几起披露，防御侧需要补的课其实很具体。一圈圈内人士的共识正在形成：AI 代理的本地目录，安全等级应该对齐生产环境的凭据存储，而不是对齐聊天记录。
| 防御层次 | 具体动作 |
|---|---|
| 令牌治理 | API 密钥短时效、最小权限、异常调用量告警 |
| MCP 供应链 | 审计代理连接的第三方服务，收敛连接面 |
| 终端遥测 | 把代理配置目录、会话数据库路径纳入 EDR 覆盖 |
| 系统完整性 | 监控 ABRT、Apport 等系统组件的配置变更 |
| 差旅网络 | 禁自动连公共 Wi-Fi，接入即启 VPN，敏感操作走内网 |
| 数据纪律 | 高敏代码与凭据不进对话，密钥管理交给专用工具 |
再看远的几步：对安全厂商而言，谁先把"AI 代理资产测绘"做进产品——自动发现端点上的代理实例、盘点其令牌与连接——谁就抢到了下一波需求；对企业而言，AI 使用政策里必须补上"代理数据分级"这一章，因为 MCP 配置本质上就是一张凭据清单。
据多位接近一线应急响应的人士观察，已经有企业在事件复盘时发现，攻击者的实际落脚点并不是业务系统，而是开发机上的代理目录——这条路径此前从未出现在任何威胁模型里。
小结
Warden Stealer 的出现和 CaptiveCrunch 的复活，共同标记了一个转折点：AI 代理从效率工具变成了攻击者的高价值目标，而"AI 参与恶意软件开发"正在从趋势判断变成可观测的事实。对企业来说，接下来半年的功课很明确——把代理工作区纳入资产清单，把令牌管起来，把终端遥测补齐。攻击者已经把 AI 当成了新金矿，防御方至少要先把矿山的门锁上。
本文由本站 AI 辅助聚合生成，原始来源如下：