تكشف NorForge تفاصيل أكثر من 20 لوحة Cairn مكشوفة استُخدمت في اختراقات مدعومة بالذكاء الاصطناعي

نشرت شركة أبحاث الأمن NorForge في 19 أكتوبر 2026 تحقيقًا بعنوان نظرة من الداخل على Cairn، حدّد أكثر من 20 لوحة تحكم مكشوفة للعامة لإطار حلّ المشكلات بالذكاء الاصطناعي Cairn، ورجّح ارتباطها بأنشطة اختراق خبيثة مدفوعة بدوافع مالية. وقالت الشركة إن اللوحات المكشوفة تكشف بالتفصيل كيف يختار الفاعلون المهددون أهدافهم، ويوجّهون المهام إلى الوكلاء المستقلين، ويستغلون الثغرات، ويؤسسون وصولًا دائمًا إلى الأنظمة المخترقة.

أعدّ التقرير Snorre Fagerland، وهو باحث مؤسس في NorForge، وهي شركة مملوكة لموظفيها تأسست عام 2026، ولها شركة أم أمريكية مقرها في بالو ألتو وشركة تشغيلية تابعة في أوروبا. ونظرًا إلى أن اللوحات تكشف هويات الأهداف والثغرات المكتشفة وأسرار الحسابات ومفاتيح API وحالة الاختراق، قالت NorForge إنها حجبت بقوة البيانات المستخرجة، وإنها لن تكشف عناوين اللوحات إلى حين التمكن من إيقافها. وأضافت الشركة أنها عثرت أيضًا على عدد كبير من عمليات الفرق الحمراء التي تبدو مشروعة، وكانت مكشوفة بالطريقة نفسها، ما قد يعرّض عملاءها للخطر.

كيف ظهرت اللوحات

قالت NorForge إن عمليات البحث بدأت بعد أن أبلغت Gambit Security في سبتمبر 2026 عن حملة اختراق إجرامية استهدفت الأسواق الإلكترونية، واستخدمت أطر ذكاء اصطناعي، منها Hermes وStrix وCairn؛ وغالبًا ما تُترك الواجهات الإلكترونية لهذه الأدوات غير مؤمّنة على الإنترنت المفتوح. وكشفت عمليات بحث سريعة عبر محركَي Shodan وCensys عن مضيفين يشغّلون ما يبدو أنها أطر للذكاء الاصطناعي، وقالت NorForge إن Cairn تبيّن أنها من أكثر المنصات إهمالًا. وأظهرت عمليات المسح المتواصلة ظهور لوحات جديدة خلال وقت قصير، مع معلومات عن الأهداف واللغة والتعليمات التي ربطت كثيرًا منها بجهات التهديد نفسها.

في التقرير المرحلي الصادر في 22 سبتمبر 2026، قالت Gambit Security إن جهة تشغيل مدفوعة بدوافع مالية استخدمت Strix للبحث عن الثغرات، وCairn للاستغلال المستقل من البداية إلى النهاية، وHermes للتنسيق، وأطلقت 105 مشاريع هجومية بين 10 و15 سبتمبر وحدهما، واخترقت 27 شركة على الأقل، ضمن نشاط يعود إلى يوليو 2026. وأفادت Gambit بالاستيلاء على أكثر من 600,000 سجل لبطاقات ائتمان غير منتهية الصلاحية من شركتين، وبالتأكد من وجود نصوص لسرقة بيانات البطاقات على 19 موقعًا، مع رصد أكثر من 100 موقع مصاب إضافي بالتعاون مع الباحث Varys. كما أبلغت عن مراجعة لتكاليف المشغّل بلغ متوسطها 25.46 دولارًا عبر 101 عملية مسح مكتملة.

نظرة من الداخل على إطار Cairn

تصف NorForge Cairn بأنه إطار لحل المشكلات قائم على الحالات، أكثر من كونه محركًا مستقلًا لاختبار الاختراق. فكل مهمة مشروع له نقطة بداية تُسمى «الأصل» وغاية نهائية محددة مسبقًا، ويتقدم الإطار عبر دورات من الحقائق (الاكتشافات التي توصل إليها الوكيل) والنوايا (ما قرر الوكيل فعله لاحقًا)، وتُنشر جميعها على لوحة مشتركة داخل المشروع، يستطيع المشغّلون البشر أيضًا تزويدها بتلميحات. ويعرض أحد مخططات المشاريع الممثّلة مشروعًا يستهدف بائع تجزئة أمريكيًا كبيرًا عبر الإنترنت، وينتقل من نقطة الأصل إلى الغاية، وينتهي بالحالة التي يسجلها الإطار على أنها تحقيق للهدف: حقن واجهة ويب خبيثة في الموقع. وكشفت مهمة لمشغّل، التُقطت من لوحة مفتوحة أخرى، عن أسرار شملت ما وصفته NorForge بأنه صلاحية وصول الجذر إلى مستودع بيانات المهاجم نفسه.

ثلاث مجموعات من الأنشطة

تستخدم أكبر المجموعات، التي تحمل الرمز AIA0001، اللغة الصينية، وتمتد على 14 لوحة مستضافة عبر AS56594، Cgi Global Limited؛ وتقيّمها NorForge على أنها خبيثة بدرجة ثقة عالية. وتضم المجموعة أكثر من 1,100 مشروع هجومي، ما يجعلها بفارق كبير أكثر الجهات المكشوفة نشاطًا مما عثرت عليه الشركة. وذكرت NorForge أنها تستهدف مؤسسات، معظمها في الولايات المتحدة واليابان وأستراليا، ويبدو أن غايتها اكتساب وصول دائم إلى بنية التجارة الإلكترونية والمدفوعات لاستثمار ذلك لاحقًا. وقالت الشركة إن الأنشطة عبر جميع اللوحات المكشوفة بدت مدفوعة بدوافع مالية، من دون أي نشاط اختراق واضح ترعاه دولة.

تسرد مهمة آلية نموذجية من AIA0001، ترجمتها NorForge، مواقع تسوق حقيقية مؤكدة في أربعة بلدان (الولايات المتحدة وكندا واليابان وأستراليا)، يتراوح عدد زياراتها بين 200,000 و1.5 مليون، وقد جرى التحقق منها مسبقًا باستخدام إطار أتمتة المتصفح Playwright من Microsoft للتأكد من إمكانية إتمام الطلبات. ويتمثل الهدف المعلن في العثور على تنفيذ تعليمات برمجية عن بُعد من دون مصادقة، وتشمل الأولويات حقن SQL عبر تسجيل الدخول، ونقاط النهاية غير المصادق عليها، وتحميل الملفات، وإلغاء التسلسل، وتجاوز المصادقة، والاستيلاء على الحسابات؛ مع تسليم حمولة صدفة لتحميل الملفات بدلًا من واجهة ويب خبيثة تنفّذ الأوامر. وقالت NorForge إن مسار التغذية يعتمد على أتمتة واسعة النطاق، بما في ذلك أداة مشتركة لتوحيد أسماء النطاقات تعاني من خلل، إذ تحذف حرف w زائدًا من بادئة www، فتحوّل wholesale إلى holesale، ما سهّل رصد اللوحات المرتبطة.

خلال فترة وجيزة فتح فيها أحد مضيفي AIA0001 خادم ويب على منفذ مرتفع لإجراء اختبارات خارج النطاق، تصفّح NorForge دليل أحد عمال الوكلاء وأحصى الأدوات الموجودة فيه، ومنها Playwright وChromium، وحمولات سلاسل الأدوات الاستغلالية PHPGGC، وإثبات مفهوم ومختبر تحقق قائم على Docker لثغرة StyleSmuggler في Magento، المسجلة بالمعرّف CVE-2026-75650، وOWASP Amass وdnsrecon وأداة ffuf لفحص الويب وNmap وقائمة كلمات المرور rockyou. وأشار تحديث لإحدى مهام الوكلاء إلى أن إعداد حاوية Kali أُعيد استخدامه من إطار عمل مسابقات اختبار الاختراق Tencent tsec؛ وقالت NorForge إن هذا يعني على الأرجح شبه المؤكد أن مجرمين يعيدون استخدام أدوات موجودة، وإنه لا يوجد ما يدعو للاعتقاد بأن Tencent كان لها أي دور في العملية. ونفّذ جميع مهام AIA0001 التي رُصدت عاملٌ واحد اسمه claudecode_deepseek-v4.1-flash، وهو ما قالت الشركة إنه قد يعني وجود بيئة تشغيل لـ Claude Code تستخدم نموذج DeepSeek 4.1 Flash الصيني، الذي أُطلق في سبتمبر 2026.

في غياب بيانات فعلية عن استخدام الرموز، قدّرت NorForge متوسط تكلفة مهمة AIA0001 بنحو 5 دولارات، شاملةً المشاريع غير الناجحة التي تنتهي مبكرًا، في حين قد تتجاوز تكلفة المشاريع التي يزيد عدد النوايا والحقائق فيها على 1,000 مبلغ 100 دولار. وشددت الشركة على أن هذه الأرقام تنطوي على قدر كبير من عدم اليقين، وقد تكون بعيدة بوضوح عن الواقع، لكنها خلصت إلى أن هذه العمليات تظل منخفضة التكلفة نسبيًا.

تستخدم مجموعة ثانية، هي AIA0002، اللغة الإنجليزية في 10 لوحات مستضافة عبر AS20473، التابع لشركة The Constant Company، ومعظمها مثيلات VPS من Vultr. وتُقيّم المجموعة على أنها خبيثة بدرجة ثقة عالية، مع أن الثقة في بعض روابط اللوحات أقل، وأن كثيرًا منها أصبح غير متاح منذ بدء التحقيق. ويناقش مشغلوها علنًا سرقة بطاقات الائتمان والعملات المشفرة، ورفع البيانات المسروقة إلى مضيفات يسيطرون عليها، كما يكشفون في تكليفاتهم بيانات تسجيل الدخول عبر SSH إلى مضيفات التجهيز الخلفية، وكثيرًا ما لا يقدمون أي تعليمات تقنية أولية سوى توجيهات مثل «اجلب بطاقات الائتمان» أو «اجلب العملات المشفرة». وتُظهر سجلات المشاريع عمالًا بأسماء pi_openrouter_deepseek، ما يرجح استخدام إطار عمل وكيل البرمجة Pi مع نماذج DeepSeek عبر OpenRouter، وهي بوابة واجهة برمجة تطبيقات لنماذج تابعة لجهة خارجية. وتتركز الأهداف على خدمات الدفع لدى التجار، ومواقع الدفع في السوق الرمادية، ومواقع الأدوية، بما فيها موقع إجرامي بوضوح للاحتيال ببطاقات الدفع. وأفادت NorForge بأن استهداف عدة مواقع تجارة أفريقية يوحي بأن الجهة الفاعلة قد تكون مقيمة في تلك القارة. كما تستخدم الجهة Cairn محركًا خدميًا متعدد الأغراض، مثلًا لتحويل الأموال بين محافظ العملات المشفرة.

تكشف مجموعة ثالثة، هي AIA0003، عن لوحة واحدة تسرد 59 مشروعًا، مستضافة على AS200019 التابع لـ AlexHost، وتستخدم اللغة الإنجليزية حصريًا. وتمزج أهدافها بين مواقع تجارة إلكترونية أصغر ومنصات تجارية أمريكية ضخمة، وتبدأ مشاريعها بالادعاء أنها تقييمات مصرح بها، ثم تصبح تدريجيًا صريحة بشأن الحصول على وصول إلى shell أو لوحة الإدارة أو قاعدة البيانات. وتقيّم NorForge هذه الجهة على أنها خبيثة بدرجة ثقة منخفضة، وتصف نهجها بأنه أكثر استكشافية.

عمليات اختراق مؤكدة ومعدلات النجاح

تحققت NorForge من عملية اختراق واحدة مُدّعاة، وذلك بزيارة رابط shell المسجل في مهمة مكتملة استهدفت موردًا كبيرًا لقطع الأجهزة؛ إذ كان الرابط يشغّل webshell حيًا لرفع الملفات. ووفقًا لشرح الوكيل نفسه، أُتيح الاختراق بسبب صلاحية كتابة غير مصرح بها على مخزن جلسات memcached، إلى جانب إلغاء تسلسل غير آمن لكائنات PHP وسلسلة أدوات استغلالية قابلة للاستغلال في مكونات Zend Framework القديمة.

قدّرت NorForge متوسط معدلات النجاح بنحو 10% في الحملات التي رُصدت، فيما حققت مهام كثيرة أخرى أهدافًا جزئية أو جمعت معلومات يمكن الاستفادة منها في محاولات لاحقة. وفي مهام AIA0001 التي حققت أهدافها، بلغ متوسط الوقت من بدء المشروع إلى تحقيق الهدف أقل بقليل من 23 ساعة، وأنتج كل مشروع في المتوسط 140 حقيقة، رغم أن أحد المشاريع استمر أكثر من خمسة أيام. وحذرت الشركة من أن هذه الأرقام تمثل صورة في لحظة زمنية معينة، إذ تتطور النماذج وبيئات التشغيل بسرعة كبيرة.

أسرار مكشوفة وجهود لإزالة المحتوى

أفادت NorForge بأن تشغيل ماسح الأسرار Trufflehog على البيانات الواردة من مثيلات Cairn المكشوفة كشف مئات الأسرار حرفيًا، تتفاوت خطورتها من بسيطة نسبيًا إلى بالغة الخطورة، وقد ثبتت صلاحية 11% منها. كما بدت اللوحات بلا أي حماية على الإطلاق، وكشفت ما بدا أنه كامل الوظائف الإدارية لبيئة التشغيل، بما في ذلك أدوات بدء المشاريع وإيقافها، والتدخل في العمليات الجارية، وإدخال بيانات جديدة، وإعادة توجيه الوكلاء إلى أهداف مختلفة، وإعادة تشغيل المشاريع القديمة. وقالت NorForge إنها لم تختبر ما إذا كانت هذه الأدوات تعمل من دون تصريح.

قالت NorForge في ختام تقريرها إن المهاجمين يعرّضون أمن عملياتهم للخطر في سعيهم المحموم إلى تحقيق نتائج سريعة، ويكشفون أهدافهم لمساحة هجوم أوسع بكثير مما هو مقصود، في حين تواجه فرق الاختبار الأمني الهجومي الشرعية خطر جمع أسرار العملاء ونشرها على الإنترنت المفتوح. ويختتم التقرير بست دراسات حالة منقحة الأسماء، تشمل موقعًا أستراليًا للتجارة الإلكترونية، واختراقًا لنظام نقاط البيع في مطعم، وثلاثة متاجر تجزئة أمريكية، ومتجرًا يابانيًا. وقالت NorForge إنها تحققت من إحدى الحالات، وهي اختراق لمتجر تجزئة أمريكي ضخم، عثر فيه الوكيل على إعداد ملف تعريف الارتباط الوحيد الذي يحدد خادم الواجهة الخلفية المعرض للخطر.

قالت NorForge إنها تتعاون مع Reuters لإخطار الضحايا الذين يبدو أنهم تعرضوا للاختراق، وتسعى إلى إزالة لوحات Cairn المخالفة، وهي جهود قالت إنها تعتمد إلى حد كبير على استجابة مزوّدي الاستضافة لطلبات الإزالة. ونشرت الشركة مؤشرات اختراق منقّحة للوحات وخوادم التجهيز، وقالت إنها ستزوّد الباحثين الأمنيين المعتمدين بالقائمة غير المنقّحة عند الطلب.