Исследователи SpyCloud сообщили о масштабной активности инфостилера WardenStealer. С 3 августа 2026 года в собранных журналах обнаружено более 130 тысяч уникальных заражений. Анализ WardenStealer и Aoki показал, что вредоносы похищают сессионные cookie, OAuth-токены, API-ключи и конфигурационные файлы ИИ-сервисов. Среди целей — Claude Code, Codex, Cursor, GitHub Copilot, а также настольные приложения Claude и ChatGPT. Украденные токены могут сохранять доступ к аккаунтам даже после смены пароля. Исследователи также выявили сервисы перепродажи ИИ-ключей, выплачивающие поставщикам долю дохода от их использования. Такая схема способствует распространению LLMjacking. 130 тысяч — число заражений, а не подтверждённых взломов ИИ-аккаунтов. Оценка SpyCloud не проходила независимую проверку. Специалисты рекомендуют отзывать активные сессии и перевыпускать скомпрометированные ключи.