Hallados buscando atacantes descuidados
En septiembre, Gambit Security recuperó un servidor de preparación de una campaña criminal contra mercados en línea y nombró los armazones de IA que había en él: Hermes, Strix y Cairn. La empresa de seguridad noruego-estadounidense NorForge tomó esa pista, apuntó los escáneres Shodan y Censys a la internet abierta y buscó instalaciones de Cairn cuyos operadores nunca hubieran puesto una contraseña a la interfaz web.
Encontró más de 20 que considera maliciosas, además de varias pruebas de intrusión aparentemente legítimas igual de expuestas. El informe resultante, publicado el 19 de octubre por el investigador principal de amenazas Snorre Fagerland, es una mirada inusualmente directa al uso de agentes autónomos para asaltar sitios comerciales, porque los propios paneles de los atacantes muestran cada paso.
Cairn no es una herramienta de ataque por diseño. NorForge lo describe como un motor de resolución de problemas basado en estados: cada trabajo es un proyecto con un origen y una meta, y los agentes avanzan entre ambos en ciclos de “intenciones” y “hechos”, publicando cada hallazgo en una pizarra compartida que leen los demás trabajadores. Un operador humano puede añadir pistas a esa misma pizarra. El autor de Cairn, que publica como le1xia0 en X, afirmó que el proyecto no se creó para piratear.
Tres grupos, y uno que lo industrializó
NorForge agrupa la actividad en tres conjuntos. El mayor, al que llama AIA0001 y considera malicioso con alta confianza, opera en chino a través de 14 paneles y más de 1.100 proyectos de ataque. Sus objetivos son sitios de comercio electrónico en Estados Unidos, Canadá, Japón y Australia, y la meta es el acceso persistente a la infraestructura de tienda y pagos.
Las instrucciones son industriales. Una típica, citada en el informe, dice a los agentes que los objetivos son “sitios reales confirmados de compras/comercio electrónico” en esos cuatro países, con un tráfico de entre 200.000 y 1,5 millones, ya comprobados con Playwright, la automatización de navegador de Microsoft, para confirmar que realmente se pueden hacer pedidos. El objetivo es la ejecución remota de código sin autenticación; la carga se especifica como un shell de subida, explícitamente no un shell web de ejecución de comandos.
El segundo grupo, AIA0002, trabaja en inglés con 10 paneles y se orienta al robo más que al acceso: tarjetas de crédito y criptomonedas, con muchos proyectos sin más instrucción técnica que “consigue tarjetas de crédito”. Un tercero, con un solo panel y 59 proyectos, solo recibe de NorForge una calificación de malicioso con baja confianza.
Unos 5 dólares por tarea y un 10% de aciertos
En AIA0001, cada tarea la ejecutó un trabajador llamado claudecode_deepseek-v4.1-flash, que NorForge interpreta como un armazón de Claude Code invocando el modelo V4.1 Flash de DeepSeek. La firma no tiene cifras de tokens y subraya la incertidumbre, pero estima la tarea media en torno a 5 dólares incluidos los proyectos que fracasan pronto; el más largo, con más de 1.000 intenciones y hechos, podría superar los 100.
En el conjunto de los grupos, NorForge sitúa la tasa media de éxito en torno al 10%. Dentro de AIA0001, el tiempo medio desde el inicio del proyecto hasta la meta cumplida fue algo menos de 23 horas, generando unos 140 hechos por proyecto. Un proyecto se prolongó más de cinco días.
Los investigadores verificaron ellos mismos una intrusión declarada, recuperando la dirección del shell de un proyecto completado contra un gran proveedor de piezas de ferretería. Estaba activo. Según la explicación del propio agente, la vía de entrada combinó acceso de escritura no autorizado a un almacén de sesiones memcached con deserialización insegura de objetos PHP y una cadena de gadgets en componentes heredados de Zend Framework.
Los paneles son en sí mismos la brecha
El segundo hallazgo es el que deberían atender los defensores. Un panel de Cairn abierto no solo revela que un sitio está siendo atacado: publica todo lo que los agentes aprendieron por el camino, más cualesquiera credenciales que el operador humano pegara dentro. NorForge pasó el escáner Trufflehog por los datos y encontró cientos de secretos, de los que la herramienta verificó un 11% como todavía válidos.
Los paneles también parecen exponer toda la interfaz administrativa: iniciar y detener proyectos, insertar datos, redirigir agentes hacia nuevos objetivos. NorForge dice que no comprobó si esos controles funcionan sin autenticación, por razones obvias, pero la implicación queda: agentes ofensivos autónomos tras una puerta sin cerrar.
Reuters, que revisó el informe antes de su publicación, citó a Deere, SharkNinja y Cummins entre las víctimas. Deere afirmó que tomó medidas correctoras y no vio indicios de acceso a información sensible; SharkNinja dijo que el ataque alcanzó un sitio independiente de soporte de producto y quedó contenido; Cummins indicó que investigaba un posible ataque a un sitio gestionado por uno de sus proveedores.
NorForge colabora con Reuters para avisar a las víctimas y pide a los alojadores que retiren los paneles. Que funcione depende de los alojadores. La señal más barata es aquella con la que termina el informe: los mismos operadores que dejaron sus paneles abiertos son los únicos cuyo instrumental pudo rastrearse.
