Hittade genom att leta efter slarviga angripare
I september återtog Gambit Security en förberedelseserver från en kriminell kampanj mot näthandelsplatser och namngav de AI-ramverk som låg på den: Hermes, Strix och Cairn. Det norsk-amerikanska säkerhetsföretaget NorForge tog det som ett spår, riktade skannrarna Shodan och Censys mot det öppna nätet och letade efter Cairn-installationer vars operatörer aldrig satt något lösenord på webbgränssnittet.
Det hittade fler än 20 som bedöms som illvilliga, plus ett antal till synes legitima penetrationstester som låg lika öppna. Rapporten, publicerad den 19 oktober av hotforskaren Snorre Fagerland, är en ovanligt direkt inblick i hur autonoma agenter används för att bryta sig in på kommersiella webbplatser — eftersom angriparnas egna paneler visar varje steg.
Cairn är inte ett angreppsverktyg till sin konstruktion. NorForge beskriver det som en tillståndsbaserad problemlösningsmotor: varje jobb är ett projekt med en utgångspunkt och ett mål, och agenterna rör sig mellan dem i cykler av “avsikter” och “fakta” och lägger varje fynd på en delad anslagstavla som de andra arbetarna läser. En mänsklig operatör kan lägga till egna tips på samma tavla. Cairns upphovsperson, som skriver som le1xia0 på X, uppger att projektet inte byggdes för intrång.
Tre grupperingar, och en som industrialiserade det
NorForge delar in aktiviteten i tre grupperingar. Den största, som kallas AIA0001 och bedöms som illvillig med hög säkerhet, arbetar på kinesiska över 14 paneler och fler än 1 100 angreppsprojekt. Målen är e-handelsplatser i USA, Kanada, Japan och Australien, och syftet är varaktig åtkomst till butiks- och betalningsinfrastruktur.
Uppdragsgivningen är industriell. En typisk instruktion, citerad i rapporten, talar om för agenterna att målen är “bekräftade verkliga shopping- och e-handelssajter” i de fyra länderna med mellan 200 000 och 1,5 miljoner i trafik, redan kontrollerade med Microsofts webbläsarautomatisering Playwright för att bekräfta att beställningar faktiskt går att lägga. Målet är fjärrkörning av kod utan autentisering; nyttolasten anges som ett uppladdningsskal, uttryckligen inte ett kommandokörande webbskal.
Den andra grupperingen, AIA0002, arbetar på engelska över 10 paneler och är inriktad på stöld snarare än åtkomst — kreditkort och kryptovalutor, med många projekt utan annan teknisk instruktion än “hämta kreditkort”. En tredje, med en enda panel och 59 projekt, bedömer NorForge som illvillig endast med låg säkerhet.
Omkring 5 dollar per uppgift och tio procents träff
I AIA0001 utfördes varje uppgift av en arbetare med namnet claudecode_deepseek-v4.1-flash, vilket NorForge tolkar som ett Claude Code-ramverk som anropar DeepSeeks modell V4.1 Flash. Företaget har inga tokensiffror och betonar osäkerheten, men uppskattar den genomsnittliga uppgiften till omkring 5 dollar inklusive de projekt som avbryts tidigt. Det längsta, med fler än 1 000 avsikter och fakta, kan överstiga 100 dollar.
Över grupperingarna sätter NorForge den genomsnittliga framgångsgraden till omkring 10 procent. Inom AIA0001 var den genomsnittliga tiden från projektstart till uppnått mål knappt 23 timmar, med omkring 140 fakta per projekt. Ett projekt pågick i mer än fem dygn.
Forskarna kontrollerade själva ett påstått intrång genom att hämta skalets adress från ett avslutat projekt mot en stor leverantör av järnvaror. Det var i drift. Enligt agentens egen redogörelse kombinerade vägen in obehörig skrivåtkomst till ett memcached-sessionslager med osäker deserialisering av PHP-objekt och en gadgetkedja i äldre Zend Framework-komponenter.
Panelerna är själva intrånget
Det andra fyndet är det försvarare bör agera på. En öppen Cairn-panel avslöjar inte bara att en sajt angrips; den publicerar allt agenterna lärde sig på vägen, plus de inloggningsuppgifter den mänskliga operatören klistrat in. NorForge körde hemlighetsskannern Trufflehog över materialet och hittade hundratals hemligheter, varav verktyget bekräftade 11 procent som fortfarande giltiga.
Panelerna verkar också blottlägga hela administrationsgränssnittet — att starta och stoppa projekt, mata in data, rikta om agenter mot nya mål. NorForge uppger att man inte testade om kontrollerna fungerar utan inloggning, av uppenbara skäl, men innebörden kvarstår: autonoma offensiva agenter bakom en olåst dörr.
Reuters, som läste rapporten före publicering, namngav Deere, SharkNinja och Cummins bland offren. Deere uppgav att man vidtagit åtgärder och inte sett tecken på att känslig information nåtts; SharkNinja sade att angreppet träffade en fristående produktsupportsajt och begränsades; Cummins uppgav att man utredde ett möjligt angrepp mot en sajt som drivs av en av bolagets leverantörer.
NorForge samarbetar med Reuters för att varna offren och ber värdtjänsterna ta ned panelerna. Om det fungerar beror på värdarna. Den billigare signalen är den rapporten slutar med: samma operatörer som lämnade panelerna öppna är de enda vars verktygslåda över huvud taget gick att spåra.
