9 月 28 日，安全厂商 SOCRadar 发布《AI Identity Exposure Report 2026》：窃密木马的黑市日志里，出现了关联超过 8 万个企业域名的 AI 账号凭据和活动会话。很多人看到这消息的第一反应是「赶紧改密码」。但这份报告恰恰说明：密码改了，被偷走的会话照样能用，连 MFA 都拦不住。这篇咱们把「AI 账号是怎么被偷、被卖、被用」这条链路拆清楚。
一、事件复盘
SOCRadar 分析了超过 100 万条窃密木马日志，其中关联 AI 服务的记录覆盖了 8 万多个企业域名。先说清楚一个容易误读的点：这不代表 8 万家企业被「入侵」了，而是这些企业的域名出现在被偷的数据里——员工设备中毒，AI 账号跟着遭殃。
研究者又从中挑了 482 家大型企业深挖：找到 5434 条日志，对应约 1500 个工作邮箱；其中 295 家企业在最近 90 天内出现过相关记录，横跨 36 个国家、8 个行业。
服务分布上，ChatGPT 和 OpenAI 相关记录约占详细样本的 90%，482 家里有 358 家至少有一条相关凭据或会话；Zapier、Notion、Hugging Face、Replit、Lovable、ElevenLabs 也在列。报告特别强调，ChatGPT 占比高不是 OpenAI 的安全弱点，而是它用得早、用得多，加上大量员工拿工作邮箱自己注册账号——也就是所谓的「影子 AI」。
这不是纸上谈兵。今年 8 月底 Anthropic 就警告过：部分用户的 Claude 会话被 Vidar、LummaC2、StealC、RedLine 等窃密木马偷走，攻击者登录后狂烧用量额度；Anthropic 吊销了相关会话、移除支付方式并退款。
二、技术核心拆解
窃密木马怎么拿到 AI 账号：这类木马会从浏览器里扒出保存的密码（解密本地数据库）、Cookie 和会话令牌，打包成一份「日志」卖到黑市或 Telegram 频道。你的 AI 账号密码存在浏览器里，就和存在一个不设防的柜子里差不多。
为什么 MFA 也拦不住：多因素认证守的是「登录」这一关。但会话 Cookie 是已经通过认证的通行证，攻击者拿它直接进场，根本不走密码加 MFA 的流程。这就是「会话劫持」：门锁再好，小偷拿的是你递出去的门禁卡。
三层后果要分开看：
- 功能/数据层：聊天记录里可能躺着源码、内部文档、客户信息、合同，甚至没发布的项目细节。
- 安全层：像 Zapier 这类自动化平台握着邮箱、网盘、CRM 的 OAuth 授权，会话被盗等于横向社会工程的一把万能钥匙。
- 合规层：API Key 被盗后攻击者刷你的付费额度甚至转卖访问权，这叫 LLMjacking——账单算你的，数据泄露责任也是你的。
三、常见技术误区
误区一：改了密码就安全了。会话 Cookie 不随密码修改而失效。正确动作是吊销所有活动会话、退出所有设备，并且先把中毒设备清理干净——否则下次登录，新会话马上又被偷走。Anthropic 在 Claude 会话劫持事件里给的也是同样的建议。
误区二：公司上了 SSO 就管住了 AI。SSO 只覆盖公司统一发放的账号，员工拿工作邮箱自己注册的影子 AI 根本不在管辖范围内，设备检查、账号回收都够不着它。而且 SSO 也中和不了已经被偷走的 Cookie。
误区三：AI 账号被盗最多丢几段聊天记录。真正的大头在 OAuth 连接和 API Key：前者一次授权连着邮箱、网盘、CRM 一串系统；后者被盗就是真金白银地被刷。AI 账号正在变成和企业邮箱、VPN 同级的「身份资产」，值得同等对待。
四、实操指引
个人用户可以这样做：工作 AI 账号尽量不在个人电脑浏览器里保存密码；定期「退出所有设备」清掉不认识的会话；敏感内容别进聊天记录；一旦发现设备中招，先全盘查杀再改密码、吊销会话，顺序别反。
企业和开发者建议往前再走一步：把 AI 服务纳入身份管理清单，主动发现影子 AI；正规使用走 SSO、缩短会话有效期、轮换刷新令牌；API Key 设置权限范围和配额上限，定期轮换，并监控异常时间、异常网络和异常设备的调用；如果在窃密日志情报里看到自家域名，第一动作是查那台设备，不是先改密码。
五、结尾
这份报告最有价值的提醒不是「又泄露了」，而是安全边界的变化：当员工把工作搬进一个个自己注册的 AI 账号，企业的攻击面就跟着散到了千百台设备上。AI 服务本身再安全，也架不住入口在你自己电脑里。把 AI 账号当身份资产管理，是现在就该补上的一课。
如果你所在团队还没盘点过「谁在用什么 AI 工具」，不妨从今天开始。也欢迎转发给管安全的同事，聊聊你们公司的影子 AI 有多少。