近年來生成式 AI 服務在企業與個人端的普及率激增，使得 AI 帳號與 API 金鑰成為網路犯罪分子的新目標。根據 The Hacker News 報導，身分識別服務供應商 Okta 在分析一份由 Telegram 頻道釋出的 7 GB 資訊竊取軟體（Infostealer）紀錄後發現，攻擊者正透過盜取 Session Token 等憑證，直接繞過多因素認證（MFA）來劫持 Google、Anthropic 與 OpenAI 等 AI 服務帳號。
這類攻擊的核心在於資訊竊取軟體，例如 Lumma Stealer 或 Vidar。這類惡意軟體被植入受害者系統後，會大量搜刮瀏覽器儲存的登入憑證、會話令牌（Session Token）以及 API 金鑰。一旦這些數據被竊取並在地下論壇出售，攻擊者無需知道使用者的密碼，只要在令牌失效前將其「重播」（Replay），就能直接偽裝成合法使用者進入系統。
會話令牌重播與身分驗證的技術細節
在現代網頁應用中，使用者登入後，伺服器會發放一個令牌以證明身分，這樣使用者在瀏覽不同頁面時就不用重複輸入密碼。Okta 的分析指出，這次洩露的數據中包含大量 JSON Web Tokens（JWT），這是一種開放標準的緊湊且自我包含的令牌。由於 JWT 包含了驗證身分所需的資訊，攻擊者只要持有有效的 JWT，就能直接跳過使用者名稱、密碼以及 MFA 的驗證過程，直接獲取帳號存取權。
此外，研究還發現了大量 JSON Web Encryption（JWE），這是對 JWT 進行加密後的結構。雖然 JWE 需要特定的金鑰才能解密，但對於攻擊者而言，只要直接將整個加密令牌重播回伺服器，只要該令牌尚未過期，伺服器依然會認可其合法性並允許登入。這意味著即使企業部署了強大的 MFA 機制，只要會話令牌被盜，防禦線將形同虛設。
除了 Session Token，API 金鑰（API Keys）的外洩同樣嚴重。API 金鑰是用於讓程式直接與 AI 模型溝通的密鑰，不需要經過瀏覽器登入介面。攻擊者獲取這些金鑰後，會進行所謂的 LLMjacking 攻擊。這種手法類似於早期的加密貨幣挖礦劫持，攻擊者盜用受害者的 API 額度來運行自己的 AI 任務，而高昂的運算費用則由受害者承擔。在某些極端案例中，攻擊者甚至利用從 GitHub 洩露的個人存取令牌（PAT）進入雲端環境，部署未經授權的 AI 基礎設施來擴展其運算資源。
防禦挑戰與黑市生態
目前的網路犯罪生態已演變成高度專業化的分工。地下市場不僅販售盜取的令牌包，還提供所謂的「反偵測瀏覽器」（Anti-detect Browsers），如 Camoufox 或 SeleniumBase。這些工具可以輕鬆載入從瀏覽器本地儲存（localStorage）中盜取的數據，並透過配置代理伺服器（Proxy）來偽造地理位置，藉此繞過系統對「不可能旅行」（Impossible Travel，指帳號在短時間內於兩個遙遠地點登入）的行為偵測。
值得關注的是，部分 JWT 中甚至包含以明文形式儲存的個人識別資訊（PII），例如姓名、電話或電子郵件。這些資訊不會隨令牌過期而消失，攻擊者可利用這些數據進行更精準的社交工程或釣魚攻擊，將初步的帳號劫持擴展為更大規模的企業滲透。
限制與對策建議
雖然 Session Token 重播威脅巨大，但並非無法防禦。若組織實施 IP 白名單（IP Allowlisting），限制僅允許特定 IP 範圍存取，則能有效阻斷大部分的重播攻擊。此外，Google 在 Chrome 瀏覽器中引入的設備綁定會話憑證（Device Bound Session Credentials, DBSC）技術，能將令牌與特定硬體設備進行加密綁定，使盜取的令牌在其他設備上失效。
針對 AI 服務的安全性，專家建議應採取以下措施：第一，縮短 Session Token 的有效期，強制使用者更頻繁地重新驗證；第二，對 API 金鑰實施嚴格的權限範圍（Scoping）限制，避免單一金鑰擁有過高權限；第三，採用 OAuth 2.0 流程並使用短效令牌；最後，推廣抗釣魚的 Passkeys 技術，雖然它不能完全阻止令牌盜取，但能從源頭降低憑證被竊的機率。
隨著頂尖 AI 模型的運算成本攀升，盜取帳號的經濟誘因將持續增加。企業必須意識到，單靠密碼與 MFA 已不足以保障 AI 資源的安全，必須將監控重點移向會話管理與令牌的異常使用偵測。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。