信息窃取器日志暴露可重放的 AI 令牌，可绕过 MFA

网络犯罪分子正通过信息窃取器日志劫持人工智能 (AI) 用户账户，以创建可非法访问 Google、Anthropic 等模型提供商工具的"被盗密钥"。

Lumma Stealer 或 Vidar 等信息窃取器具备从被攻陷系统中收集各类数据的能力，包括凭据、会话令牌和 API 密钥。

数据一旦被盗，购买了这些现成产品访问权限的威胁行为者就会以窃取器日志的形式将其在地下论坛上出售，以便实施后续攻击。

"会话令牌和 API 密钥之所以特别受到威胁行为者的青睐，是因为通常可以重放这些机密并绕过基于凭据的身份验证，"Okta 威胁情报总监 Jeremy Kirk 在与 The Hacker News 分享的一份报告中表示。

"一旦成功重放，威胁行为者实际上就登录了 LLM 服务，而无需真正登录。使用这些万能密钥使滥用更具挑战性，但并非不可能检测到。"

这家身份服务提供商表示，其分析了 2026 年 8 月 2 日在 Telegram 频道上发布的一个 7 GB 信息窃取器转储，发现该窃取器日志包含来自 162 个国家的 5,871 台受感染机器的数据。

其中包含数千个与 Google、Microsoft、Anthropic、Amazon、Gamma、Notion、Character.ai、Cursor、Poe.com 和 Pika AI 等服务对应的未过期身份验证令牌。在数据集中的 44,791 个唯一 JSON Web 令牌 (JWT) 中，有 555 个 JWT 可能与 AI 服务的身份验证相关。

与会话令牌类似，有效的 JWT 可被滥用以获得直接的账户访问权限，同时绕过使用用户名和密码的常规身份验证以及多因素身份验证 (MFA)。

Okta 表示，其还识别出 2,937 个代表加密 JWT 的身份验证相关 JSON Web 加密 (JWE) 数据结构。据称，其中大部分令牌是由使用 NextAuth.js 的 OpenAI 设置的。尽管这些密钥只能由持有密钥的一方解密和解析，但只要未过期，攻击者仍可重放这些令牌并获得账户访问权限。

总计，据称被盗数据在发布当天包含 1,843 个未过期的 JWT 和 JWE。令人担忧的是，44,791 个 JWT 中有 17.7%被发现包含明文个人身份信息 (PII)，例如姓名、电话号码或电子邮件地址。

"这是另一个有问题的方面，因为该信息不会过期或消失，并且它直接将用户与特定服务关联起来，这可能对社会工程攻击或网络钓鱼有用，"Kirk 表示。

这里值得一提的一个关键方面是，在组织使用 IP 白名单的情况下，会话重放攻击可能不起作用，该安全功能会阻止除特定、已批准的 IP 地址或范围之外的所有网络流量。此外，Google 已在 Chrome 中增加了对设备绑定会话凭据 (DBSC) 的支持，以将一个会话令牌以加密方式绑定到一台设备，从而使被盗令牌无法在另一个系统上使用。

除了凭据和令牌外，使用 TruffleHog 对窃取器转储的分析还发现了 4 个 AI 相关服务（如 Google Gemini、OpenAI、Groq 和 OpenRouter）的 24 个仍然有效的 API 密钥。拥有此类密钥的攻击者可将其武器化，用于间谍活动、敲诈勒索或资源窃取，并累积 AI 令牌账单。

恶意行为者滥用 API 密钥未经授权访问受害者的大型语言模型 (LLM) 并使用这些服务实现其目标，或将该访问权限出售给其他网络犯罪分子，这被称为 LLMjacking。该技术类似于秘密使用系统资源挖掘加密货币同时将沉重的计算账单转嫁给受害者的攻击活动。

随着 AI 在企业环境中的采用激增，从信息窃取器中获取的数据使网络犯罪分子可货币化的组合更加多样化，威胁领域中出现了新的黑市网站，用于购买被盗令牌包和反检测浏览器。

在 Okta 标记的一条 Telegram 帖子中，一家未具名的供应商被发现以折扣价出售 Claude、Cursor、ChatGPT 和 Gemini 的访问权限，此外还提供全天候支持和退款保证。另一项名为 Poison Claude 的服务声称提供对 Anthropic 的 Opus 4.8、Opus 4.7、Opus 4.6 和 Sonnet 4.6 模型的访问权限。

"使用被盗会话数据访问账户需要特定工具，"Okta 表示。"所谓的'反检测'浏览器具有旨在使用被盗身份验证数据并规避安全控制的功能。"

"其他工具，例如开源反检测浏览器 Camoufox 或自动化工具 SeleniumBase，可以轻松地从文件中加载从浏览器 sessionStorage 和 localStorage 窃取的数据。许多此类工具允许用户配置代理，使其能够绕过'不可能的旅行'检测或行为触发器，否则这些检测会标记未经授权的访问。"

这一进展正值 Google 披露其在网络犯罪地下市场中观察到"寻求购买 AI 相关账户的角色越来越多，宣传这些账户的卖家也越来越多"之际，恰逢威胁行为者对 AI 的使用日益增长。这些论坛上的帖子显示了对 Claude 和 Gemini 凭据的买家需求，以及与 Cursor Pro 和 Devin 等自主编码 IDE 的结合使用。

在至少一次由 Google 的 Mandiant 团队处理的事件响应中，发现一个威胁行为者通过一个暴露的 GitHub Personal Access Token (PAT) 获得了对受害者云环境的初始访问权限，并利用它部署了未经授权的 AI 基础设施并扩展高性能计算资源。

"高级模型访问和高性能计算的成本是威胁行为者寻求将 AI 实战化的主要障碍之一，"Google 威胁情报组 (GTIG) 表示。"这导致网络犯罪社区中对 AI 账户的定向攻击、窃取和销售不断增加，同时涉及攻陷企业云环境以劫持计算资源的入侵事件也在增多。"

这些发现凸显了保护 AI 系统访问权限、监控会话令牌重用、限定 API 密钥范围，以及使用带有短期令牌的 OAuth 2.0 流程（令牌在被盗时能快速过期）的迫切需要。

"随着前沿模型访问变得越来越昂贵，窃取而非付费购买的动机也在增长，"Kirk 表示。"更强的身份验证以及诸如 passkeys 等防钓鱼技术的使用使得用户名和密码的账户接管变得更加困难，但它无法阻止被盗的会话令牌或 API 密钥。"