令牌是连着工具清单一起走的

速览

有三个数字承载着整套论证，而它们一个都不关于模型行为。

这份研究点明了哪个家族盯上了什么：Amatera 收集 Cline 与 Continue 的数据，Remus 收集 Claude、Cursor 与 OpenCode，CallbackBeaver 把 Cursor 与 Claude 加进了自己的范围；此外 BeeStealer、STG Stealer、HydraStealer、APEX Stealer 以及主攻 macOS 的 Djinn Stealer 也与 AI 智能体数据的收集有关联。而这些规则本身是远程管理的——目录、文件名、数据库、扩展名、搜索上限——这正是决定了经济账的那个细节。

没人需要去攻击那个智能体

智能体安全里几乎每一项控制，都假定被攻击的对象是智能体。提示注入防御、工具投毒审查、沙箱逃逸加固、批准门控、范围一致性——这一切谈的都是「当对手把文本或代码塞进一个正在运行的循环时会发生什么」。那些工作是必要的，而这里说的不是那件事。这里循环压根没有运行。一个已经在机器上的进程读走四五个文件，然后离开。

让这件事成为一个「不同的问题」而不是「一个更小的问题」的，是磁盘上那些东西的形状。在一个服务端系统里，一份凭据、这份凭据所能触达的系统清册，以及它被使用的历史记录，分处三个彼此独立的信任域，各有三套不同的评审流程。而一套智能体安装把这三者塌缩进同一个目录、同一个用户账号之下，而那台笔记本不在任何人的生产清册里。这次塌缩不是某个具体工具的 bug——它就是「开箱即用」的含义。

真正该内化的是投递的经济账。因为那些收集规则是配置而不是代码，所以「一个新智能体火起来」与「一个窃密软件开始收集它的工件」之间的时滞，就只是一个运营者推一条规则所需的时间。Gen 在 2026 年上半年记录到的窃密软件检测覆盖了 330 万名独立受保护用户，月度总量在 50 万以上。这张分发网络已经建好、已经付过钱、正在运转。你的工具链只是它配置里的一行。

决定有效期的是「那一对」，不是那枚令牌

去读一款在售产品的凭据存储，这道算术就摆在那里。Claude Code 能用操作系统钥匙串时就把登录态放进钥匙串，否则退回到 ~/.claude/.credentials.json、权限位 0600——这是 Linux 上的默认，也是 Windows 以及钥匙串被锁住时所走的那条路径。2026 年 9 月 1 日针对该项目提交的一份报告记录道，这个文件里放着一个在用的访问令牌，旁边是一枚有效期二十七天的刷新令牌，而观察到的两个过期时间相差一个月。按这个领域的标准看，这里没有任何草率之处。这就是常态的形状，而这正是它可以推广的原因。

其后果是：访问令牌那个短 TTL，并没有在做人们以为它在做的那份安全工作。刷新令牌无需重新认证即可续期；如果刷新过程中没有人、没有设备校验、也没有鉴证参与，那这条回路里就没有任何环节能注意到「续期的人换了」。那一对的有效期就是刷新令牌的有效期，而那枚一小时的访问令牌已经悄悄从一项安全属性变成了一项延迟属性。设计评审里该问的不是「我们的 TTL 是多少」——而是「如果这个目录被整份复制走，这份副本还能用多久」。

0600 也该被同样地降一降。作为针对同一台主机上另一个用户的控制，它是正确且有用的。而窃取凭据的恶意软件正是以那个用户的身份在跑，于是权限位是被满足了而不是被绕过了：什么都没坏，什么都不告警，而那个文件被读取的方式与主人自己读它的方式完全一样。钥匙串在解锁状态下也是同一回事——而在一台有人正在工作的开发机上，解锁才是常态。

赃物的后一半是那张工具清单

按「持有者仅凭它能做什么」给这些工件定价，得到的排序会把通常的直觉翻过来。凭据文件是人人都会想到的那一件，而它同时也是唯一一件既带着钟表、又带着开关的。MCP 服务器配置两样都没有，而它比里面任何单一密钥都更值钱：它是一份被枚举出来、经过挑选、保持最新的清单，列着你的机构认为值得给智能体接上的那些系统，连抵达它们的端点与请求头名称一并在内。这把一次泛泛的盗窃变成一次有针对性的盗窃，并且回答了那个通常要花掉入侵者数周吵闹扫描的问题——不是有什么存在，而是什么要紧。

对话历史是各团队低估得最狠的那件工件。就内容而言，一名资深工程师一周的智能体历史，接近于「相关仓库的读取权限加上事故频道」：被粘贴进去的密钥、源码、客户名称，以及那些攻击者原本得自己重建的、关于你们架构的推理。与令牌不同，它无法被撤销。唯一对它适用的控制是保留期——这意味着你为了方便而设的那个保留窗口，同时也是一项事故响应决定。

项目元数据以近乎零的攻击者成本把这一套收了尾：仓库、主机、分支、工单。不用解析、不含密钥，只是对「这是哪家机构、它跑的是什么」给出一个精确答案。四件工件合在一起，是一份凭据、一张「凭据能触达什么」的地图、一份「它被用来做过什么」的历史，以及一份「这是谁的」的身份认定。那不是一次密钥泄漏。那是一份入职资料包。

你现有的检测为何看不见它

回放发生在你所埋点的一切之外。一枚被收割走的供应商令牌从别处被使用，打的是供应商的 API，于是你的网关、你的出站放行名单与你的链路存储从未观察到它——那些覆盖的是离开你网络的流量，而这股流量压根没进来过。笔记本上那个端点软件也许会抓到窃密程序，这值得拥有；但等你开始调查的时候，那份凭据正从一个你与之毫无关系的地址上被使用。

这把检测推到了两个地方，而两者都不光彩。第一个是供应商侧的遥测：来自新地区或新客户端指纹的使用、在持有它的那台笔记本睡着时的使用、一份凭据上的两个并发会话。多数团队从没问过他们的模型供应商这里面有哪些是他们能拿到的，而答案通常比他们预想的多。第二个是一个被种下的信号。一条任何合法流程都绝不会调用、却指向一个你自己拥有的端点的 MCP 服务器定义，是这个面上唯一毫不含糊的探测器——除了读过那个文件的人，谁也不会去碰它；而当被观察的对象是一个「把能够着的一切都读一遍」的智能体时，这恰恰是行为式检测给不了你的那条性质。

结构性的修复比听上去更窄，而它在这个问题的两半里是同一条：别再让同一件工件既带着名字、又带着路由。一份「引用密钥」而不是「装着密钥」的配置，是一件工件而不是两件。它仍然点出你的系统——只要智能体要去用它们，这部分就无法避免——但它不再向它们认证，于是这份索引不再是一把钥匙。

这个月该做什么

按回报大致排序，而且其中没有一项需要走预算周期。

• 把内联密钥从 MCP 配置里剥掉。按名字引用，在启动时从操作系统钥匙串或一个短租期的中介那里解析。一天的活，而它移走了这一集合里杠杆最大的那件工件。
• 把「那一对」的有效期写下来。为你权限最高的那份智能体凭据，记下刷新令牌的有效期，而不是访问令牌的。如果这个数字是以周计的，那它就是单台笔记本失陷之后你的暴露窗口。
• 拿秒表给一次撤销计时。撤销一份真实的智能体凭据，并记录下一次使用它的调用在何时失败。通常会浮出两件事：原先没人知道谁有权执行这次撤销，而这场演练会翻出一份没人列过的副本。
• 给每套安装种一条蜜标 MCP 条目。这是你在开发者端点上部署过的、最便宜的毫不含糊的信号。
• 给本地对话历史设上保留上限。挑一个窗口。默认值会永久保留一切，因为用户就想要这样；而历史是撤销伸不到的那一件工件。
• 把有特权的那套安装与用来探索的那套分开。能触达生产的那个智能体，不该是那个会打开任意仓库、跑任意 MCP 服务器的同一套安装。

这篇文章不是在说「别再在本地跑智能体」，也不是在为一个新的产品品类辩护。它说的是这样一个观察：开发者端点在过去两年里的某个时点变成了一个生产面，没人更新过清册，而维护大众市场凭据窃取流水线的那些人，比维护智能体安全项目的那些人更早注意到了这件事。

延伸阅读

本站：

• 凭据有效期——为什么你的暴露窗口是「那一对」的有效期，而不是单枚令牌的 TTL。
• 端点上的智能体工件——五类工件、那份清册，以及那场撤销演练。
• 配置即侦察——那张工具清单单独值多少，以及你留着它的六份副本。
• 面向智能体的密钥管理——那些止步于服务器的做法，以及它们为何不该止步。
• 面向智能体系统的蜜标——这个面上唯一毫不含糊的信号的放置规则。
• 检测智能体失陷——当被观察对象天生异常时，行为基线为何会失效。

来源：

• Gen Threat Labs——窃密软件与你的 AI 智能体（2026 年 9 月 8 日）
• anthropics/claude-code issue #91158——凭据文件内容与令牌有效期
• Claude Code 认证文档——各平台的凭据存储位置