Encontrados à procura de atacantes descuidados
Em setembro, a Gambit Security recuperou um servidor de preparação de uma campanha criminosa contra mercados online e nomeou os arreios de IA que lá estavam: Hermes, Strix e Cairn. A empresa de segurança norueguesa-americana NorForge pegou nessa pista, apontou os verificadores Shodan e Censys à internet aberta e procurou instalações de Cairn cujos operadores nunca tivessem posto uma palavra-passe na interface web.
Encontrou mais de 20 que considera maliciosas, além de vários testes de intrusão aparentemente legítimos igualmente expostos. O relatório, publicado a 19 de outubro pelo investigador principal de ameaças Snorre Fagerland, é um olhar invulgarmente direto sobre o uso de agentes autónomos para entrar em sites comerciais, porque os próprios painéis dos atacantes mostram cada passo.
O Cairn não é, por conceção, uma ferramenta de ataque. A NorForge descreve-o como um motor de resolução de problemas baseado em estados: cada trabalho é um projeto com uma origem e um objetivo, e os agentes avançam entre ambos em ciclos de “intenções” e “factos”, colocando cada descoberta num quadro partilhado que os outros trabalhadores leem. Um operador humano pode acrescentar pistas ao mesmo quadro. O autor do Cairn, que publica como le1xia0 no X, afirmou que o projeto não foi construído para pirataria.
Três grupos, e um que industrializou a coisa
A NorForge divide a atividade em três grupos. O maior, a que chama AIA0001 e considera malicioso com confiança elevada, trabalha em chinês em 14 painéis e mais de 1.100 projetos de ataque. Os alvos são sites de comércio eletrónico nos Estados Unidos, Canadá, Japão e Austrália, e o objetivo é acesso persistente à infraestrutura de loja e pagamentos.
As instruções são industriais. Uma típica, citada no relatório, diz aos agentes que os alvos são “sites reais confirmados de compras e comércio eletrónico” nesses quatro países, com tráfego entre 200.000 e 1,5 milhões, já verificados com o Playwright, a automação de navegador da Microsoft, para confirmar que é mesmo possível fazer encomendas. O objetivo é a execução remota de código sem autenticação; a carga é especificada como um shell de carregamento, explicitamente não um shell web de execução de comandos.
O segundo grupo, AIA0002, trabalha em inglês em 10 painéis e orienta-se para o roubo mais do que para o acesso: cartões de crédito e criptomoedas, com muitos projetos sem outra instrução técnica além de “obter cartões de crédito”. Um terceiro, com um único painel e 59 projetos, só é classificado como malicioso com baixa confiança.
Cerca de 5 dólares por tarefa e 10% de sucesso
No AIA0001, cada tarefa foi executada por um trabalhador chamado claudecode_deepseek-v4.1-flash, que a NorForge lê como um arreio Claude Code a chamar o modelo V4.1 Flash da DeepSeek. A empresa não tem números de tokens e sublinha a incerteza, mas estima a tarefa média em cerca de 5 dólares, incluindo os projetos que falham cedo; o mais longo, com mais de 1.000 intenções e factos, poderia passar dos 100.
No conjunto dos grupos, a NorForge situa a taxa média de sucesso em cerca de 10%. Dentro do AIA0001, o tempo médio entre o início do projeto e o objetivo cumprido foi de pouco menos de 23 horas, gerando cerca de 140 factos por projeto. Um projeto durou mais de cinco dias.
Os investigadores verificaram eles próprios uma intrusão declarada, buscando o endereço do shell num projeto concluído contra um grande fornecedor de ferragens. Estava ativo. Segundo a explicação do próprio agente, a via de entrada combinou acesso de escrita não autorizado a um armazém de sessões memcached com desserialização insegura de objetos PHP e uma cadeia de gadgets em componentes antigos do Zend Framework.
Os painéis são, eles próprios, a brecha
O segundo achado é aquele sobre o qual os defensores devem agir. Um painel Cairn aberto não revela apenas que um site está a ser atacado: publica tudo o que os agentes aprenderam pelo caminho, mais as credenciais que o operador humano lá colou. A NorForge passou o verificador Trufflehog pelos dados e encontrou centenas de segredos, dos quais a ferramenta confirmou 11% como ainda válidos.
Os painéis parecem também expor toda a interface administrativa: iniciar e parar projetos, inserir dados, redirecionar agentes para novos alvos. A NorForge diz não ter testado se esses controlos funcionam sem autenticação, por razões óbvias, mas a implicação mantém-se: agentes ofensivos autónomos atrás de uma porta destrancada.
A Reuters, que leu o relatório antes da publicação, nomeou a Deere, a SharkNinja e a Cummins entre as vítimas. A Deere afirmou ter tomado medidas e não ter visto sinais de acesso a informação sensível; a SharkNinja disse que o ataque atingiu um site autónomo de apoio ao produto e foi contido; a Cummins indicou estar a investigar um possível ataque a um site gerido por um dos seus fornecedores.
A NorForge coopera com a Reuters para avisar as vítimas e pede aos alojadores que retirem os painéis. Se resultará, depende deles. O sinal mais barato é aquele com que o relatório termina: os únicos operadores cujo instrumental foi rastreável são os que deixaram os painéis abertos.
