Funnet ved å lete etter slurvete angripere
I september hentet Gambit Security ut en forberedelsesserver fra en kriminell kampanje mot nettmarkedsplasser og navnga KI-rammeverkene som lå på den: Hermes, Strix og Cairn. Det norsk-amerikanske sikkerhetsselskapet NorForge tok det som et spor, rettet skannerne Shodan og Censys mot det åpne nettet og lette etter Cairn-installasjoner der operatørene aldri hadde satt passord på nettgrensesnittet.
Selskapet fant mer enn 20 som vurderes som ondsinnede, i tillegg til flere tilsynelatende legitime inntrengingstester som lå like åpne. Rapporten, publisert 19. oktober av trusselforsker Snorre Fagerland, gir et uvanlig direkte innblikk i hvordan autonome agenter brukes til å bryte seg inn på kommersielle nettsteder — fordi angripernes egne paneler viser hvert steg.
Cairn er ikke et angrepsverktøy i utgangspunktet. NorForge beskriver det som en tilstandsbasert problemløsningsmotor: hver jobb er et prosjekt med et utgangspunkt og et mål, og agentene beveger seg mellom dem i sykluser av “intensjoner” og “fakta” og legger hvert funn på en delt tavle som de andre arbeiderne leser. En menneskelig operatør kan legge til egne hint på samme tavle. Cairns opphavsperson, som skriver som le1xia0 på X, oppgir at prosjektet ikke ble bygget for innbrudd.
Tre grupperinger, og én som industrialiserte det
NorForge deler aktiviteten i tre grupperinger. Den største, kalt AIA0001 og vurdert som ondsinnet med høy sikkerhet, arbeider på kinesisk over 14 paneler og mer enn 1 100 angrepsprosjekter. Målene er netthandelssteder i USA, Canada, Japan og Australia, og hensikten er varig tilgang til butikk- og betalingsinfrastruktur.
Oppdragsgivingen er industriell. En typisk instruks, sitert i rapporten, forteller agentene at målene er “bekreftede virkelige handels- og netthandelsnettsteder” i de fire landene med mellom 200 000 og 1,5 millioner i trafikk, allerede kontrollert med Microsofts nettleserautomatisering Playwright for å bekrefte at bestillinger faktisk kan legges inn. Målet er fjernkjøring av kode uten autentisering; nyttelasten er angitt som et opplastingsskall, uttrykkelig ikke et kommandokjørende nettskall.
Den andre grupperingen, AIA0002, arbeider på engelsk over 10 paneler og er rettet mot tyveri snarere enn tilgang — kredittkort og kryptovaluta, med mange prosjekter uten annen teknisk instruks enn “hent kredittkort”. En tredje, med ett enkelt panel og 59 prosjekter, vurderer NorForge som ondsinnet bare med lav sikkerhet.
Rundt 5 dollar per oppgave og ti prosent treff
I AIA0001 ble hver oppgave utført av en arbeider med navnet claudecode_deepseek-v4.1-flash, som NorForge leser som et Claude Code-rammeverk som kaller DeepSeeks modell V4.1 Flash. Selskapet har ingen tokentall og understreker usikkerheten, men anslår den gjennomsnittlige oppgaven til rundt 5 dollar inkludert prosjekter som avbrytes tidlig. Det lengste, med mer enn 1 000 intensjoner og fakta, kan overstige 100 dollar.
På tvers av grupperingene setter NorForge den gjennomsnittlige suksessraten til rundt 10 prosent. Innenfor AIA0001 var gjennomsnittstiden fra prosjektstart til nådd mål knapt 23 timer, med om lag 140 fakta per prosjekt. Ett prosjekt gikk i mer enn fem døgn.
Forskerne kontrollerte selv ett påstått innbrudd ved å hente skalladressen fra et avsluttet prosjekt mot en stor leverandør av jernvarer. Det var i drift. Ifølge agentens egen forklaring kombinerte veien inn uautorisert skrivetilgang til et memcached-sesjonslager med usikker deserialisering av PHP-objekter og en gadgetkjede i eldre Zend Framework-komponenter.
Panelene er selve bruddet
Det andre funnet er det forsvarere bør handle på. Et åpent Cairn-panel avslører ikke bare at et nettsted angripes; det publiserer alt agentene lærte underveis, pluss de påloggingsdetaljene den menneskelige operatøren limte inn. NorForge kjørte hemmelighetsskanneren Trufflehog over materialet og fant hundrevis av hemmeligheter, hvorav verktøyet bekreftet 11 prosent som fortsatt gyldige.
Panelene ser også ut til å blottlegge hele administrasjonsgrensesnittet — å starte og stoppe prosjekter, mate inn data, rette agenter mot nye mål. NorForge opplyser at man ikke testet om kontrollene virker uten pålogging, av åpenbare grunner, men implikasjonen står: autonome offensive agenter bak en ulåst dør.
Reuters, som leste rapporten før publisering, navnga Deere, SharkNinja og Cummins blant ofrene. Deere oppga at selskapet hadde iverksatt tiltak og ikke sett tegn til at sensitiv informasjon var nådd; SharkNinja sa at angrepet traff et frittstående produktstøttenettsted og ble begrenset; Cummins opplyste at man undersøkte et mulig angrep mot et nettsted drevet av en av selskapets leverandører.
NorForge samarbeider med Reuters om å varsle ofre og ber vertstjenestene ta ned panelene. Om det virker, avhenger av vertene. Det billigste signalet er det rapporten slutter med: de eneste operatørene hvis verktøy i det hele tatt lot seg spore, er de som lot panelene stå åpne.
