AIDEFEND in Action AIA-0113 實際事件發布於 AIA: 2026年10月26日

Remus：竊資軟體開始鎖定 AI 用戶端憑證與本機紀錄

Remus 是取得 Windows 裝置執行機會後，竊取應用程式資料的惡意程式。SpyCloud 發現它的可設定蒐集目標已包含 Codex、Cursor 與 OpenCode 等 AI 用戶端目錄。這裡要保護的是可重複使用的憑證與留在本機的操作紀錄；只限制 agent 的工具，無法圍堵已在主機其他位置執行的惡意程式。

Credential TheftMalwareClient SecurityCredential GovernanceAI Coding Agent

3 項對應的 AIDEFEND 防禦手法

來源: Remus: A New Infostealer

作者: SpyCloud Labs

原文發布: 2026年9月10日

威脅分析

攻擊者讀取的是用戶端，不是模型：惡意程式一旦在裝置上執行，就能把應用程式目錄列為蒐集目標。AI 憑證可能被拿去存取服務；已保存的檔案則不必再向模型提問，就可能暴露先前的工作內容。
確認控制真正管得到哪裡：用戶端管理的 MCP 快取可以設定到期清除，受管理的秘密值也可以移出明文設定檔。但對能完整存取同一使用者工作階段的攻擊者，這兩項措施都不是完整阻擋。
檔案失竊與憑證冒用是兩種損害：減少本機成品能縮小可被偷走的資料；向發行方撤銷憑證能限制後續存取，卻無法收回已外傳內容。

適用的 3 項 AIDEFEND 防禦手法

AID-H-028.003

Client-Side Data Hygiene & Leakage Prevention

高

針對用戶端自行管理的 MCP 快取與暫存成品，盤點實際路徑、減少機敏內容保存時間，依政策設定到期日，並在重新啟動及清理失敗時驗證刪除結果。這能減少日後竊資軟體可取得的歷史資料。控制範圍是用戶端成品，不是整個瀏覽器紀錄或所有 Codex、Cursor、OpenCode 對話；持續執行的竊資軟體仍可能在資料到期前讀取。用戶端開發者可以在寫入自行管理的 MCP 日誌前，移除秘密值與不必要的個人資料，不必等到保存期限屆滿。以合成憑證測試巢狀欄位與錯誤處理，再直接檢查寫出的檔案。這能減少竊資軟體日後從這些日誌取得的機敏內容，但不會清理所有產品的對話資料庫、執行中記憶體或原始憑證檔。

AID-E-001.001

Root & Long-Lived Credential Object Eviction

高

確認有可信的失竊證據後，從乾淨的管理環境識別受影響的長期 AI API 金鑰或用戶端秘密值，向各自發行方替換，再驗證舊憑證無法使用、替代憑證只有必要權限。指引中的 AWS 範例需要改接實際 AI 服務的管理介面。這能限制後續冒用，不能清除主機惡意程式，也無法收回已外傳的檔案。

AID-H-028.002

Client Credential Secure Storage & Lifecycle Management

中

對部署方可管理的 MCP 用戶端憑證，以有明確存取範圍的作業系統鑰匙圈或機密管理服務，取代設定檔中的明文秘密值，並測試未授權身分確實無法讀取。只有用戶端真正支援這種整合時，才能減少可直接複製的檔案目標。同使用者權限的惡意程式若能解鎖鑰匙圈、攔截取用過程或讀取記憶體，仍可能竊取憑證；也不能假設所有被點名的 AI 產品都能直接套用。

身為資安防禦者，我們應該這麼做

盤點 AI 用戶端設定、秘密值與自行管理的成品路徑。以合成秘密值確認安全儲存與保存期限確實生效，並涵蓋日誌、備份及當機成品。
懷疑主機遭入侵時，先隔離與調查裝置。從乾淨裝置處理 AI 帳號，輪替受影響長期金鑰，並在服務支援的範圍內另外撤銷已核發工作階段。
驗證舊金鑰已無法使用，並檢查提供者的存取紀錄。啟用 MFA 或修改本機設定檔，都不能證明被複製的工作階段 token 已失效。
用戶端自己管理的協定日誌，除了到期清除，寫入前也要移除機敏內容，並測試巢狀欄位與錯誤路徑。

結論

AIDEFEND 引導 AI 用戶端管理者減少本機資料暴露，並驗證失竊憑證確實失效。這些措施要與主機事件處理配合，降低竊資軟體能取得及持續使用的資源，而不是把 AI 控制當成裝置清毒工具。

最後更新: 2026年10月26日