Fundet ved at lede efter sjuskede angribere
I september hentede Gambit Security en forberedelsesserver ud af en kriminel kampagne mod netmarkedspladser og navngav de AI-stilladser, der lå på den: Hermes, Strix og Cairn. Det norsk-amerikanske sikkerhedsfirma NorForge tog det som et spor, rettede scannerne Shodan og Censys mod det åbne net og ledte efter Cairn-installationer, hvor operatørerne aldrig havde sat en adgangskode på webgrænsefladen.
Firmaet fandt mere end 20, som det vurderer som ondsindede, plus flere tilsyneladende legitime indtrængningstest, der lå lige så åbne. Rapporten, offentliggjort den 19. oktober af trusselsforsker Snorre Fagerland, giver et usædvanligt direkte indblik i, hvordan autonome agenter bruges til at bryde ind på kommercielle websteder — fordi angribernes egne paneler viser hvert skridt.
Cairn er ikke et angrebsværktøj af design. NorForge beskriver det som en tilstandsbaseret problemløsningsmotor: hvert job er et projekt med et udgangspunkt og et mål, og agenterne bevæger sig mellem dem i cyklusser af “intentioner” og “fakta” og lægger hvert fund på en delt tavle, som de andre arbejdere læser. En menneskelig operatør kan tilføje egne hints til samme tavle. Cairns ophavsperson, der skriver som le1xia0 på X, oplyser, at projektet ikke blev bygget til indbrud.
Tre grupperinger, og én der industrialiserede det
NorForge deler aktiviteten i tre grupperinger. Den største, kaldet AIA0001 og vurderet som ondsindet med høj sikkerhed, arbejder på kinesisk over 14 paneler og mere end 1.100 angrebsprojekter. Målene er netbutikker i USA, Canada, Japan og Australien, og formålet er varig adgang til butiks- og betalingsinfrastruktur.
Opgavegivningen er industriel. En typisk instruks, citeret i rapporten, fortæller agenterne, at målene er “bekræftede virkelige shopping- og e-handelswebsteder” i de fire lande med mellem 200.000 og 1,5 millioner i trafik, allerede kontrolleret med Microsofts browserautomatisering Playwright for at bekræfte, at ordrer faktisk kan afgives. Målet er fjernkørsel af kode uden godkendelse; nyttelasten er angivet som en upload-skal, udtrykkeligt ikke en kommandokørende webskal.
Den anden gruppering, AIA0002, arbejder på engelsk over 10 paneler og er rettet mod tyveri snarere end adgang — kreditkort og kryptovaluta, med mange projekter uden anden teknisk instruks end “hent kreditkort”. En tredje, med et enkelt panel og 59 projekter, vurderer NorForge kun som ondsindet med lav sikkerhed.
Omkring 5 dollar per opgave og ti procents træf
I AIA0001 blev hver opgave udført af en arbejder ved navn claudecode_deepseek-v4.1-flash, som NorForge læser som et Claude Code-stillads, der kalder DeepSeeks model V4.1 Flash. Firmaet har ingen tokental og understreger usikkerheden, men anslår den gennemsnitlige opgave til omkring 5 dollar inklusive de projekter, der afbrydes tidligt. Det længste, med mere end 1.000 intentioner og fakta, kan overstige 100 dollar.
På tværs af grupperingerne sætter NorForge den gennemsnitlige succesrate til omkring 10 procent. Inden for AIA0001 var den gennemsnitlige tid fra projektstart til nået mål knap 23 timer, med omkring 140 fakta per projekt. Ét projekt kørte i mere end fem døgn.
Forskerne kontrollerede selv ét påstået indbrud ved at hente skaladressen fra et afsluttet projekt mod en stor leverandør af isenkram. Den var i drift. Ifølge agentens egen forklaring kombinerede vejen ind uautoriseret skriveadgang til et memcached-sessionslager med usikker deserialisering af PHP-objekter og en gadgetkæde i ældre Zend Framework-komponenter.
Panelerne er selve bruddet
Det andet fund er det, forsvarere bør handle på. Et åbent Cairn-panel afslører ikke kun, at et websted angribes; det offentliggør alt, agenterne lærte undervejs, plus de loginoplysninger, den menneskelige operatør indsatte. NorForge kørte hemmelighedsscanneren Trufflehog over materialet og fandt hundredvis af hemmeligheder, hvoraf værktøjet bekræftede 11 procent som stadig gyldige.
Panelerne ser også ud til at blotlægge hele administrationsgrænsefladen — at starte og stoppe projekter, indsætte data, rette agenter mod nye mål. NorForge oplyser, at man ikke testede, om kontrollerne virker uden godkendelse, af indlysende grunde, men implikationen står: autonome offensive agenter bag en ulåst dør.
Reuters, der læste rapporten før offentliggørelsen, navngav Deere, SharkNinja og Cummins blandt ofrene. Deere oplyste, at selskabet havde taget skridt og ikke set tegn på adgang til følsomme oplysninger; SharkNinja sagde, at angrebet ramte et selvstændigt produktsupportwebsted og blev inddæmmet; Cummins oplyste, at man undersøgte et muligt angreb på et websted drevet af en af selskabets leverandører.
NorForge samarbejder med Reuters om at advare ofre og beder hostingudbyderne tage panelerne ned. Om det virker, afhænger af værterne. Det billigste signal er det, rapporten slutter med: de eneste operatører, hvis værktøj overhovedet kunne spores, er dem, der lod panelerne stå åbne.
