Hackare jagar ChatGPT och Claude direkt på datorn

Säkerhetsföretaget SpyCloud har analyserat informationsstjälande skadeprogram som WardenStealer och Aoki. De fungerar i grunden som klassiska infostealers och försöker redan komma över lösenord, webbläsarkakor, kryptoplånböcker och annan känslig information.

Nu har AI-verktygen lagts till på listan.

SpyCloud har hittat filer från bland annat Claude Code, OpenAI Codex, Cursor, GitHub Copilot samt skrivbordsapparna för Claude och ChatGPT i stulna loggar.

Företaget har sedan augusti samlat in uppgifter från över 130 000 unika WardenStealer-infektioner. Det betyder inte att 130 000 ChatGPT- eller Claude-konton har kapats. Siffran gäller datorer som SpyCloud kopplat till själva skadeprogrammet.

De stjäl mer än användarnamn och lösenord

Det mest intressanta är vilken information skadeprogrammen letar efter.

I Claude Code har SpyCloud bland annat hittat filer som innehåller OAuth-token för användarkontot och token kopplade till anslutna MCP-servrar.

I Codex kan autentiseringsfilen innehålla OpenAI API-nyckel samt access- och refresh-token.

Aoki söker dessutom efter sessionsinformation från ChatGPT, Claude, GitHub Copilot och Cursor.

Det handlar alltså om digitala bevis på att användaren redan har autentiserats, inte bara om det lösenord som användes för att logga in från början.

Läs mer: Så ser du om ditt ChatGPT-konto har blivit hackat

Därför kan lösenordsbytet vara otillräckligt

Normalt är ett av de första råden efter ett kapat konto att byta lösenord.

Det är fortfarande viktigt, men SpyCloud varnar för att vissa stulna AI-token och sessionskakor kan fortsätta fungera efter att lösenordet ändrats.

Anledningen är att tjänsten redan har utfärdat en token som visar att sessionen är autentiserad. Om den token inte återkallas kan den i vissa fall fortsätta ge åtkomst tills den löper ut eller aktivt spärras.

Samma sak gör att tvåfaktorsautentisering inte alltid räddar en session som redan har stulits. Angriparen behöver då inte nödvändigtvis genomföra en helt ny inloggning.

Det betyder inte att MFA är meningslöst. Det skyddar fortfarande mot många attacker där någon enbart kommit över lösenordet.

Men en stulen aktiv session är ett annat problem.

Läs mer: Hackare kapar Claude-konton – använder andras AI-kvot

AI-verktygen kan vara kopplade till betydligt mer

För utvecklare kan konsekvenserna bli större än att någon annan använder ChatGPT eller Claude på deras bekostnad.

AI-kodverktyg kan vara anslutna till GitHub, molnplattformar, kodarkiv och automatiserade byggsystem. MCP används dessutom för att låta AI-agenter kommunicera med externa verktyg och datakällor.

Om en stulen token har sådana behörigheter kan angriparen potentiellt få tillgång till den miljö som AI-verktyget redan har rätt att använda.

SpyCloud har även sett konfigurationsfiler och instruktioner som beskriver hur lokala AI-agenter arbetar.

Det gör den infekterade utvecklardatorn till ett attraktivt mål även om det egentliga slutmålet ligger någon annanstans.

Symantecs Threat Hunter Team har separat analyserat Aoki och bekräftar att nyare versioner söker efter bland annat Claude, Codex, Cursor, Gemini och GitHub Copilot. Forskarna beskriver funktionen som en relativt ny del av skadeprogrammet.

Det är inte ChatGPT eller Claude som har hackats

Det är viktigt att skilja den här typen av attack från ett intrång hos OpenAI eller Anthropic.

SpyClouds rapport visar inte att angriparna har brutit sig in i ChatGPT, Claude eller GitHub Copilots centrala system.

Skadeprogrammet måste först finnas på användarens egen dator. Därifrån letar det efter filer och sessionsdata som AI-apparna lagrar lokalt.

Samma grundmetod har länge använts för att stjäla webbläsarkakor, lösenord och kryptoplånböcker. Det som förändrats är att kriminella nu har börjat behandla AI-konton och API-nycklar som ytterligare en värdefull tillgång.

Gen Digital har tidigare sett samma utveckling hos flera andra informationsstjälande skadeprogram och beskriver hur AI-agentdata snabbt lagts till bland deras vanliga mål.

Läs mer: Hackare kom åt OpenAI och Claude – användare fick notan

Stulna AI-nycklar säljs vidare

Det finns också en ekonomisk förklaring till utvecklingen.

SpyCloud har hittat marknadsplatser där tillgång till AI-tjänster och API-krediter säljs långt under det ordinarie priset.

En angripare kan använda en stulen API-nyckel för att skicka egna förfrågningar medan kostnaden hamnar på det riktiga kontot. Ett kapat abonnemang kan på samma sätt användas eller säljas vidare.

För företag finns dessutom värdet i vad kontot är anslutet till.

Ett utvecklarkonto som kommer åt privata kodarkiv eller molntjänster är potentiellt betydligt mer värdefullt än själva AI-abonnemanget.

Misstänkt infektion kräver mer än ett nytt lösenord

Den som misstänker att en dator har drabbats bör först behandla själva datorn som komprometterad.

SpyCloud rekommenderar att exponerade API-nycklar och token ersätts, aktiva sessioner återkallas och kontona övervakas efter ovanlig API-användning.

Det bör göras från en enhet som inte misstänks vara infekterad. Annars riskerar de nya uppgifterna att stjälas igen.

Ett vanligt lösenordsbyte bör fortfarande ingå, men ska inte ses som hela lösningen när ett informationsstjälande skadeprogram har funnits på datorn.

API-nycklar behöver roteras. Aktiva sessioner behöver avslutas. Anslutningar till andra tjänster behöver också kontrolleras.

Läs mer: Hackare sprider falsk Claude-app via Google

AI-kontot har blivit en del av datorns attackyta

Utvecklingen säger också något om hur snabbt AI-verktyg har blivit en del av vanliga IT-miljöer.

För några år sedan fokuserade infostealers framför allt på webbläsare, kryptoplånböcker, mejl och spelkonton.

Nu kan samma dator innehålla en AI-agent med åtkomst till källkod, GitHub, molntjänster och företagets interna verktyg.

För angriparna behöver det därför inte finnas något nytt avancerat AI-hack.

Det kan räcka att använda ett gammalt och välkänt skadeprogram och helt enkelt lägga till några nya mappar på listan över filer som ska stjälas.