Китайскоязычная преступная группа использовала автономных ИИ-агентов для атак на сайты компаний, почти не привлекая людей к самой работе. Операцию заметили потому, что панели управления агентами оставались открытыми в интернете. Получили ли злоумышленники какие-либо данные, неизвестно. В сообщениях фигурируют более 1 200 сайтов, но исследователи отдельно говорят о более чем 1 100 проектах атак в самом крупном кластере. Это не доказывает, что каждый проект был нацелен на отдельный сайт или закончился успешным взломом.
Активность обнаружил Снорре Фагерланд из компании NorForge. Примерно 2 октября, год в отчёте не указан, он сканировал интернет в поисках доступных экземпляров Cairn — открытого инструмента для ИИ, который популярен среди хакеров. Фагерланд нашёл около двух десятков экземпляров, использовавшихся для подозрительных операций. Открытые панели позволяли наблюдать за действиями операторов и агентов в реальном времени.
Cairn предназначен для авторизованного тестирования на проникновение, хотя у него есть и другие применения. Оператор задаёт агенту начальную точку и цель, после чего тот выполняет задачу шаг за шагом, публикуя находки на общей доске. Человек может добавлять подсказки. В обнаруженных случаях инструмент направляли на интернет-магазины без разрешения их владельцев.
NorForge выделила три кластера панелей и сочла вероятно вредоносными более двадцати экземпляров. Самый активный кластер исследователи назвали AIA0001: его операторы общались на китайском языке, а 14 панелей были связаны более чем с 1 100 проектами атак. Целями стали магазины и платёжные системы в США, Японии и Австралии. По оценке NorForge, злоумышленники стремились закрепиться в системах и сохранить доступ для дальнейшего использования.
Типичное задание предлагало найти способ выполнить код на сайте магазина, а затем установить загрузчик веб-оболочки. Такая форма сохраняет загруженные файлы, но сама по себе не исполняет команды. Позднее её можно заменить более опасным инструментом. В одном случае NorForge проверила заявление об успешном проникновении на сайт крупного продавца аппаратных компонентов и обнаружила работающую веб-оболочку. Компания также независимо подтвердила взлом очень крупного американского ритейлера: агенты нашли настройку cookie, которая направляла запросы на уязвимый сервер.
Deere сообщила, что приняла меры для устранения проблемы и не обнаружила признаков доступа к чувствительной информации. SharkNinja заявила, что атака затронула отдельный сайт поддержки продукции, а угрозу удалось локализовать. Cummins сообщила о расследовании возможной атаки на сайт, которым управляет один из её поставщиков. В одном описанном агентом эпизоде цепочка включала несанкционированную запись в хранилище сессий memcached, небезопасную обработку сохранённых PHP-объектов и слабое место в старом коде Zend Framework. Это пример одного случая, а не универсальная схема для всех жертв.
По данным NorForge, успешный взлом занимал в среднем чуть меньше 23 часов. Общая доля успеха среди инструментов, которые наблюдала компания, составила около 10%, но кластеры преследовали разные цели, поэтому напрямую сравнивать их нельзя. Среднюю стоимость одной задачи оценили примерно в пять долларов, включая неудачные и досрочно завершённые попытки; эта оценка приблизительна и сопровождается значительной неопределённостью. Все задачи AIA0001 запускались от имени рабочего процесса
Открытая панель Cairn создаёт отдельную угрозу: она может раскрыть список целей, найденные уязвимости, собранные учётные данные и ключи. Проверив данные панелей сканером секретов Trufflehog, NorForge обнаружила сотни секретов; 11% удалось подтвердить как действующие. Интерфейсы, по-видимому, позволяли запускать и останавливать проекты, добавлять данные и менять цели. NorForge не проверяла, можно ли управлять этими функциями без входа в систему. В другом кластере, работавшем на английском языке, оказались открыты SSH-логины операторов к их тестовым серверам. Исследователи сообщили, что не входили в эти системы.
Проблема касается и легальных специалистов: NorForge нашла компании, занимающиеся тестированием на проникновение, чьи панели тоже оставались доступными посторонним. На них находились реальные клиентские тесты, а значит, данные клиентов подвергались аналогичному риску. Защитникам стоит проверить, не доступна ли извне панель управления агентами: такие интерфейсы часто отвечают на порту 8000. Подозрительными могут быть и забытые формы загрузки файлов в скрытых каталогах.
В одном из рабочих каталогов NorForge обнаружила тестовую лабораторию и пример эксплуатации критической уязвимости Magento StyleSmuggler — CVE-2026-75650. Доказательств, что её использовали при описанных взломах, нет. Владельцам магазинов на затронутых версиях следует установить хотфикс Adobe: уязвимы Adobe Commerce 2.4.4–2.4.9 и Magento Open Source 2.4.6–2.4.9. Между операциями, упомянутыми в отчёте, источники связи не приводят; установить их взаимосвязь по имеющимся данным нельзя.
Изображение носит иллюстративный характер
Активность обнаружил Снорре Фагерланд из компании NorForge. Примерно 2 октября, год в отчёте не указан, он сканировал интернет в поисках доступных экземпляров Cairn — открытого инструмента для ИИ, который популярен среди хакеров. Фагерланд нашёл около двух десятков экземпляров, использовавшихся для подозрительных операций. Открытые панели позволяли наблюдать за действиями операторов и агентов в реальном времени.
Cairn предназначен для авторизованного тестирования на проникновение, хотя у него есть и другие применения. Оператор задаёт агенту начальную точку и цель, после чего тот выполняет задачу шаг за шагом, публикуя находки на общей доске. Человек может добавлять подсказки. В обнаруженных случаях инструмент направляли на интернет-магазины без разрешения их владельцев.
NorForge выделила три кластера панелей и сочла вероятно вредоносными более двадцати экземпляров. Самый активный кластер исследователи назвали AIA0001: его операторы общались на китайском языке, а 14 панелей были связаны более чем с 1 100 проектами атак. Целями стали магазины и платёжные системы в США, Японии и Австралии. По оценке NorForge, злоумышленники стремились закрепиться в системах и сохранить доступ для дальнейшего использования.
Типичное задание предлагало найти способ выполнить код на сайте магазина, а затем установить загрузчик веб-оболочки. Такая форма сохраняет загруженные файлы, но сама по себе не исполняет команды. Позднее её можно заменить более опасным инструментом. В одном случае NorForge проверила заявление об успешном проникновении на сайт крупного продавца аппаратных компонентов и обнаружила работающую веб-оболочку. Компания также независимо подтвердила взлом очень крупного американского ритейлера: агенты нашли настройку cookie, которая направляла запросы на уязвимый сервер.
Deere сообщила, что приняла меры для устранения проблемы и не обнаружила признаков доступа к чувствительной информации. SharkNinja заявила, что атака затронула отдельный сайт поддержки продукции, а угрозу удалось локализовать. Cummins сообщила о расследовании возможной атаки на сайт, которым управляет один из её поставщиков. В одном описанном агентом эпизоде цепочка включала несанкционированную запись в хранилище сессий memcached, небезопасную обработку сохранённых PHP-объектов и слабое место в старом коде Zend Framework. Это пример одного случая, а не универсальная схема для всех жертв.
По данным NorForge, успешный взлом занимал в среднем чуть меньше 23 часов. Общая доля успеха среди инструментов, которые наблюдала компания, составила около 10%, но кластеры преследовали разные цели, поэтому напрямую сравнивать их нельзя. Среднюю стоимость одной задачи оценили примерно в пять долларов, включая неудачные и досрочно завершённые попытки; эта оценка приблизительна и сопровождается значительной неопределённостью. Все задачи AIA0001 запускались от имени рабочего процесса
claudecode_deepseek-v4.1-flash. Это может указывать на модель DeepSeek V4.1 Flash, запущенную через Claude Code от Anthropic, но исследователи не подтвердили такую идентификацию. Открытая панель Cairn создаёт отдельную угрозу: она может раскрыть список целей, найденные уязвимости, собранные учётные данные и ключи. Проверив данные панелей сканером секретов Trufflehog, NorForge обнаружила сотни секретов; 11% удалось подтвердить как действующие. Интерфейсы, по-видимому, позволяли запускать и останавливать проекты, добавлять данные и менять цели. NorForge не проверяла, можно ли управлять этими функциями без входа в систему. В другом кластере, работавшем на английском языке, оказались открыты SSH-логины операторов к их тестовым серверам. Исследователи сообщили, что не входили в эти системы.
Проблема касается и легальных специалистов: NorForge нашла компании, занимающиеся тестированием на проникновение, чьи панели тоже оставались доступными посторонним. На них находились реальные клиентские тесты, а значит, данные клиентов подвергались аналогичному риску. Защитникам стоит проверить, не доступна ли извне панель управления агентами: такие интерфейсы часто отвечают на порту 8000. Подозрительными могут быть и забытые формы загрузки файлов в скрытых каталогах.
В одном из рабочих каталогов NorForge обнаружила тестовую лабораторию и пример эксплуатации критической уязвимости Magento StyleSmuggler — CVE-2026-75650. Доказательств, что её использовали при описанных взломах, нет. Владельцам магазинов на затронутых версиях следует установить хотфикс Adobe: уязвимы Adobe Commerce 2.4.4–2.4.9 и Magento Open Source 2.4.6–2.4.9. Между операциями, упомянутыми в отчёте, источники связи не приводят; установить их взаимосвязь по имеющимся данным нельзя.
