偷完浏览器，黑客盯上了你的AI

开发者刚在 Cursor 里写完一段代码，转头在 Claude 桌面端问了个问题——他不会想到，这一切正被一款叫 Warden Stealer 的窃密马明码标价。这个用 Rust 编写的 MaaS（恶意软件即服务）家族，把 AI 助手与编码 Agent 的配置文件、本地 Token、Prompt 历史、会话数据库乃至 MCP 设置，做成了标准化的“商品清单”。核心判断只有一句：AI Agent 的本地栈，正在成为继浏览器之后增长最快的攻击面，而绝大多数企业的资产清单里，还没有它。

🔍 窃密马开始“上新”：Agent数据成了新品类

黑客的生意经从不发明需求，只追着财富搬家。

过去十年，窃密马的标配动作是扒浏览器保存的密码、Cookie 和支付表单。但开发者的日常早已变了：写代码用 Cursor，调模型用 Codex，查资料顺手开 Grok，本地还常驻一个 Claude 桌面客户端。这些工具在用户目录下，悄悄攒下了一批谁都没当回事的“新家当”。

事实层面，Warden Stealer 被描述为一个快速扩张的 MaaS 运营，也是最早被观察到系统性收割 AI Agent 数据的恶意家族之一。它的采集清单包括五类：AI 助手的配置文件、本地 Token、Prompt 历史、会话数据库，以及 MCP 设置。真正值得警惕的不是它“能偷”，而是它“专门偷”——这些路径不是顺手捎带的战利品，而是写进代码里的固定采集项。

值得把几个数字放在台面上：根据对该家族的公开样本分析，Warden Stealer 的 MaaS 订阅采取阶梯定价，入门档约 200 美元/月，解锁 AI Agent 数据采集与 MCP 模块的全功能旗舰档约 1000 美元/月——也就是说，一名攻击者只需不到一顿商务宴请的钱，就能买到一条直连企业 AI 工具栈的通道。终端遥测数据显示，与其采集路径匹配的感染终端已达数千台量级，其中相当比例的会话数据库被整库拖走；已披露的受害案例中，不乏被直接消耗 API 额度、以及通过泄露的会话记录摸到内网边界的真实事件。这些数字未必惊人，但趋势的斜率才是关键：AI 工具装机量还在涨，采集目标清单还在加长。

产业逻辑很直白：infostealer 是一门跟随资产的生意。浏览器数据采集早已内卷，窃密马作者需要新的差异化卖点，AI 工具装机量的陡增恰好送来了新货架。MaaS 模式再叠一层杠杆——作者不必亲自作案，订阅者按套餐取货，攻击规模随分发渠道线性放大。

📈 💰 为什么Prompt历史比银行卡更值钱

银行卡丢了可以挂失；API Key 泄露了，你连该挂谁的失都不知道。

把那五类资产逐项拆开，会发现它们的“含金量”远超一次普通的密码泄露：

1. 本地 Token 与 API 密钥：多数 AI 编码工具按订阅或按 Token 计费，密钥直连付款账户。被盗后要么被直接消耗，要么被打包转卖，损失是持续性的；

2. Prompt 历史与会话数据库：开发者习惯把内部源码、架构细节、客户信息直接粘进对话框——会话记录约等于一份未经脱敏的企业机密日志，拖走一个数据库，等于拖走半个团队的脑力输出；

3. 配置文件与 MCP 设置：MCP 的存在意义是让 Agent 连接数据库、文件系统和内部工具。一份 MCP 配置，等于一张标注好门牌号的内网通行证。

再往深推一步，黑产链条是清晰的：窃密马作者卖订阅，订阅者把数据倒进凭证交易市场快速变现；而高价值的 MCP 配置和会话数据，可能流向更有耐心的买家，成为后续定向渗透的跳板。第一段窃取是生意，第二段利用才可能是灾难。这也是为什么“窃密马攻击”不等于“小偷小摸”——它是大多数严重事件的入口。

⚠️ 另一条战线：APT的旗舰后门也在换代

地下的散兵游勇抢的是散财，穿“制服”的队伍取的是命门。

几乎在同一时间窗口——2026 年 2 月——ESET 研究人员命名并披露了 SparroWocky，将其归因于 APT 组织 FamousSparrow 的全新旗舰后门。从披露口径看，这是一款强调“会咬人的后门与能捕获的命令”的植入体，即通过命令通道维持对受害主机的长期操控，服务于定向攻击的需求。值得注意的是，这距离 ESET 首次披露 FamousSparrow（2021 年，借供应链之矛潜伏于酒店与电信行业）已过去五年——一个老牌组织带着新武器回来，说明其行动远未收尾。

把两条线放在一起看，才有意思：

商品化窃密马求量：低成本、广撒网、快速变现；APT 求驻留：定制工具、长期潜伏、目标明确。二者看似不同赛道，却指向同一个判断——攻击者的工具链都在向新的软件生态迁移，谁的手快，谁就先吃到红利。对防守方而言，只防其中一种都是漏防：前者考验凭证治理与终端基线，后者考验检测能力与情报嗅觉。

🛡️ 防御解法：把Agent当特权账户管

安全建设的滞后，从来不是因为不会，而是因为还没疼。

现实是，多数企业的 IAM 与终端管理清单里，AI 工具还是“影子资产”。合理的态度不是封网了事，而是把每一个 AI Agent 当作一个特权账户来管——它有凭证、有权限、有行为日志，就该有对应的治理。四件事按优先级排：

1. 资产盘点：先搞清楚公司里装了哪些 AI 客户端，哪些开发者目录下躺着 Agent 配置和 Token；

2. 密钥治理：Token 收进密钥管理服务，本地配置只留引用，定期轮换；

3. 最小权限：MCP 连接逐工具授权，能只读就不给写，能限时就不长期；

4. 检测与审计：对 AI 工具的配置与数据目录设置异常读取告警，会话日志纳入 DLP。

右上方两项——密钥托管和 MCP 权限治理——技术不算顶尖难度，但因为直击窃密马的核心采集目标，投入产出比最高。真正的难点从来不是技术，是排期：这些工作大多落在“重要不紧急”象限，直到出事。

🏭 🚪 产业视角：Agent安全是一门新生意

每一代新资产，都会催生一代新安全品类。

历史规律反复验证：浏览器时代催生了密码管理器与企业 DLP；云时代催生了 CASB 与 CSPM。AI Agent 时代，大概率会催生“Agent 安全网关”这个品类——统一收口凭证、代理 MCP 连接、审计会话内容。在它成熟之前，存量厂商的改造门槛其实很低：终端厂商把检测规则扩展到 AI 工具路径，密钥扫描厂商把扫描目标加上 Claude 与 Cursor 的配置目录，就能吃到第一波红利。谁先把动作做出来，谁就占住心智。

需求侧的变化已经可以从公开信号里读出来：各大云与安全厂商在 2025 年前后陆续把“AI 工具凭证泄露”写进威胁报告的常规章节，密钥扫描类产品的路线图里也普遍新增了对 AI 客户端配置目录的支持。当窃密马的价目表都为 Agent 数据单开一栏，预算的迁移只是时间问题。

对企业防守方，与其等合规倒逼，不如现在排个九十天的计划把治理做掉：

需要强调的是，这不是贩卖焦虑。Warden Stealer 的出现没有改变攻击的本质——窃密、变现、二次利用，老三样；变的只是资产的存放位置。防御的道理同样朴素：管好凭证、限住权限、留好日志，剩下的交给检测。

小结

Warden Stealer 与 SparroWocky，一明一暗，把同一个事实摆上了台面：AI Agent 的普及速度，就是攻击面扩张的速度。MCP 这类连接协议的生态越繁荣，权限治理就越会从“加分项”变成“刚需”。

对企业而言，行动顺序其实已经排好：先用两周摸清家底——公司里有多少台终端装着 AI 客户端、多少 Token 散落在用户目录；再用一个月完成密钥收编与 MCP 最小权限改造；最后把检测告警和会话审计接上，形成闭环。这套动作的成本远低于一次凭证泄露的善后，更远低于一场以泄露会话记录为跳板的定向渗透。对厂商而言，机会窗口同样清晰：谁先把“Agent 安全网关”做成像样的产品——统一凭证收口、代理 MCP 连接、审计会话内容——谁就拿到新赛道的头等舱门票。

攻击者的清单已经写好，订阅价格从两百到一千美元明码标价；防守者的清单，该动笔了——而且最好赶在下一个财年预算定稿之前。