盗む先が「ブラウザ」から「.claude.json」へ──Aokiが、コーディングエージェントの認証ファイルを獲物リストに書き足した

認証情報を抜き取るマルウェア（インフォスティーラー）が、ブラウザのパスワードやクレジットカード番号だけでなく、手元のコーディングエージェントが保存している設定ファイルまで狙い始めました。Symantec の Threat Hunter Team は 2026年10月15日、「Aoki」（別名 Aokigahara）と呼ばれるスティーラーの最新検体が、AIコーディングアシスタントの認証情報を標的に加えたと報告しています。Aoki 自体は2026年の早い時期から観測されていましたが、AI関連ファイルを盗む機能は最近追加されたものだと同チームは指摘します。

獲物リストに加わった「AIの設定ファイル」

報告によれば、Aoki が新たに手を伸ばすのは、ふだん開発者が意識せずローカルに置いている認証・セッション関連のファイル群です。具体的には次のものが挙げられています。

もともと Aoki は、数十種類のブラウザから Cookie・自動入力データ・クレジットカード情報・履歴を抜き、暗号資産ウォレットやパスワードマネージャ、VPN 設定まで収集する「汎用型」のスティーラーでした。今回の変化は、その収集対象に AI コーディングツールの資格情報が明示的に組み込まれた点にあります。盗んだデータは /gate というエンドポイントを使って C&C（指令）サーバーへ送信されるとされています。なお、Aoki がどのような経路で端末に入り込むのか（配布方法）については、今回の報告では特定されていません。

鍵が1本漏れると、どこまで届くのか

API キーやセッショントークンが1本漏れることの重さは、従来のパスワード流出とは少し質が違います。これらのトークンは「あなたの代わりにAIを動かす鍵」だからです。報告では、盗まれたトークンによって攻撃者が正規ユーザー本人として振る舞い、そのアカウントの利用枠（課金の対象となる使用量）を消費したり、アカウントに紐づくサービスへ到達したりできると説明されています。

とりわけコーディングエージェントの資格情報は、単体で完結しません。エージェントはリポジトリ、クラウド、CI/CD パイプラインと接続して動くのが前提です。そのため .claude.json や Codex の config.toml・.env が漏れると、そこを足がかりにソースコードや連携先クラウド、ビルド基盤へ被害が広がりうると指摘されています。便利さと引き換えに、ローカルの一見地味な設定ファイルが「資産への入口」になっている、という構図です。

いま手を打つなら

SC Media などが伝える対応策は、特別な道具を要しない基本動作に集約されます。感染が疑われる場合は、以下をクリーンな別端末から行うことが推奨されています。

• 稼働中の AI セッションを失効（ログアウト・revoke）させる
• 露出した API キーと関連する認証情報をローテーション（再発行）する
• アカウントのアクティビティ（身に覚えのない利用がないか）を確認する

平時の備えとしては、AI ツールのフォルダへの予期しないアクセスや、見慣れない外向き通信を監視すること、そして長命（long-lived）の秘密情報を、ローカルアプリから読めるファイルに置きっぱなしにしないことが挙げられています。トークンは短命にして使い回さない、環境変数やシークレット管理の仕組みに寄せる、といった運用が現実的な防御になります。

コーディングエージェントの普及で、開発者の手元には「鍵のかかっていない引き出し」が増えました。攻撃側がそこに目を付けたという今回の報告は、利便性の裏でローカルの資格情報管理を見直す必要がある、という警鐘として受け止めるのが妥当でしょう。現時点では特定ベンダーの検知製品で防げるという案内が中心で、万能の対策があるわけではありません。まずは自分の .claude.json や config.toml に何が入っているかを一度確認しておくことを勧めます。

参照: Symantec（security.com）: Aoki Infostealer Now Targeting AI / Cybersecurity News: New Aoki Malware Targets ChatGPT, Claude, Codex and Gemini / SC Media: New infostealer targets AI coding assistant credentials / Security Online: Aoki Infostealer Harvests API Keys and Tokens