NorForge beskriver over 20 eksponerede Cairn-paneler brugt i AI-drevne indtrængningsangreb

Sikkerhedsforskningsvirksomheden NorForge offentliggjorde den 19. oktober 2026 Indblik i Cairn, en undersøgelse, der identificerede mere end 20 offentligt tilgængelige kontrolpaneler til problemløsningsrammen Cairn AI, som sandsynligvis var knyttet til ondsindet, økonomisk motiveret indtrængningsaktivitet. De eksponerede paneler giver et detaljeret indblik i, hvordan trusselsaktører vælger mål, sætter autonome agenter til opgaver, udnytter sårbarheder og etablerer vedvarende adgang til kompromitterede systemer, oplyste virksomheden.

Rapporten er skrevet af Snorre Fagerland, en af NorForges grundlæggende forskere. NorForge er en medarbejderejet virksomhed, der blev grundlagt i 2026, med et amerikansk moderselskab med hovedsæde i Palo Alto og et europæisk driftsselskab. Da panelerne afslører målidentiteter, uafdækkede svagheder, kontooplysninger, API-nøgler og status for kompromittering, oplyste NorForge, at virksomheden har censureret de udtrukne data grundigt og tilbageholder paneladresserne, indtil panelerne kan tages offline. Virksomheden tilføjede, at den også fandt et betydeligt antal tilsyneladende legitime red-team-operationer eksponeret på samme måde, hvilket potentielt udsætter deres klienter for risiko.

Sådan kom panelerne frem

NorForge oplyste, at virksomhedens søgninger begyndte, efter at Gambit Security i september 2026 rapporterede om en kriminel indtrængningskampagne rettet mod online markedspladser, hvor der blev brugt AI-rammer som Hermes, Strix og Cairn. Værktøjernes webgrænseflader efterlades ofte ubeskyttede på det åbne internet. Hurtige søgninger i søgemaskinerne Shodan og Censys afslørede værter, der så ud til at køre AI-rammer, og ifølge NorForge viste Cairn sig at være en af de mest forsømte platforme. Fortsatte scanninger viste, at nye paneler hurtigt kom online, og oplysninger om mål, sprog og instruktioner knyttede mange af dem til de samme trusselsaktører.

I Gambit Securitys foreløbige rapport af 22. september 2026 oplyste virksomheden, at en økonomisk motiveret aktør brugte Strix til at søge efter sårbarheder, Cairn til autonom udnyttelse fra start til slut og Hermes til orkestrering. Aktøren iværksatte alene mellem 10. og 15. september 105 angrebsprojekter og kompromitterede mindst 27 virksomheder i en aktivitet, der går tilbage til juli 2026. Gambit rapporterede, at der var stjålet mere end 600.000 ikke-udløbne kreditkortoplysninger fra to virksomheder, at kortskimmerscripts med sikkerhed var installeret på 19 websteder, og at der sammen med forskeren Varys blev opdaget over 100 yderligere inficerede websteder. En gennemgang af aktørens omkostninger viste en gennemsnitlig udgift på 25,46 USD for 101 gennemførte scanninger.

Indblik i Cairn-rammen

NorForge beskriver Cairn mindre som en autonom motor til penetrationstest end som en tilstandsbaseret problemløsningsmotor. Hver opgave er et projekt med et startpunkt kaldet en oprindelse og et på forhånd defineret slutmål. Rammen arbejder i cyklusser med fakta (opdagelser, agenten har gjort) og hensigter (hvad den har besluttet at gøre som det næste), som alle offentliggøres på en projektspecifik tavle, hvor menneskelige operatører også kan tilføje stikord. En illustreret projektgraf rettet mod en stor amerikansk onlineforhandler gik fra oprindelse til mål og sluttede i den tilstand, som rammen registrerer som målet nået: en webshell indsat på webstedet. En indfanget operatøropgave på et andet åbent panel afslørede hemmeligheder, herunder det, NorForge beskrev som root-adgang til angriberens eget datadrop.

Tre aktivitetsklynger

Den største klynge, betegnet AIA0001, bruger kinesisk og omfatter 14 paneler, der hostes via AS56594, Cgi Global Limited. NorForge vurderer med stor sikkerhed, at klyngen er ondsindet. Den rummer mere end 1.100 angrebsprojekter, hvilket gør den til langt den mest aktive eksponerede aktør, virksomheden fandt. NorForge rapporterede, at den hovedsageligt retter sig mod organisationer i USA, Japan og Australien med det tilsyneladende formål at få vedvarende adgang til e-handels- og betalingsinfrastruktur, som senere kan udnyttes til økonomisk gevinst. Ifølge virksomheden virkede aktiviteten på tværs af alle de eksponerede paneler økonomisk motiveret, uden tegn på åbenlys statsstøttet indtrængningsaktivitet.

En typisk automatiseret AIA0001-opgave, oversat af NorForge, opregner bekræftede, reelle shoppingwebsteder i fire lande (USA, Canada, Japan og Australien) med mellem 200.000 og 1,5 millioner i trafik. Webstederne er på forhånd valideret med Microsofts browserautomatiseringsramme Playwright for at bekræfte, at der kan afgives ordrer. Det angivne mål er at finde uautentificeret fjernkørsel af kode, og prioriteterne omfatter SQL-injektion på loginsider, uautentificerede slutpunkter, filuploads, deserialisering, omgåelse af autentificering og overtagelse af konti. Opgaven skal levere en shell-payload til filupload i stedet for en webshell, der kan udføre kommandoer. NorForge oplyste, at den pipeline, der leverer opgaverne, bygger på omfattende automatisering, herunder en fælles, fejlbehæftet domænenormalisator, som fjerner ét w for meget fra www-præfikset og dermed ændrer wholesale til holesale. Det gjorde det let at finde relaterede paneler.

I et kort tidsrum, hvor en AIA0001-vært åbnede en webserver på en høj port til out-of-band-test, gennemgik NorForge en agentarbejders mappe og registrerede værktøjer, herunder Playwright og Chromium, gadgetkæde-payloads fra PHPGGC, et proof of concept og et Docker-baseret valideringsmiljø til Magento-sårbarheden StyleSmuggler, der er registreret som CVE-2026-75650, OWASP Amass, dnsrecon, webfuzzeren ffuf, Nmap og adgangskodeordlisten rockyou. En opdatering af en agentopgave tydede på, at Kali-containeropsætningen var blevet genbrugt fra et framework til en Tencent tsec-konkurrence i penetrationstest; NorForge sagde, at dette næsten helt sikkert skyldes kriminelle, der genbruger eksisterende værktøjer, og at der ikke er nogen grund til at tro, at Tencent havde noget med operationen at gøre. Alle observerede AIA0001-opgaver blev udført af en arbejder ved navn claudecode_deepseek-v4.1-flash, hvilket ifølge virksomheden kan betyde, at der er tale om et Claude Code-harness, som kører den kinesiske model DeepSeek 4.1 Flash, der blev udgivet i september 2026.

Uden faktiske data om tokenforbrug anslog NorForge, at en AIA0001-opgave i gennemsnit kostede omkring 5 dollar, inklusive mislykkede projekter, der afsluttes tidligt, mens projekter med over 1.000 hensigter og fakta kunne koste mere end 100 dollar. Virksomheden understregede, at tallene er behæftet med betydelig usikkerhed og kan afvige mærkbart fra de faktiske beløb, men konkluderede samtidig, at operationerne alligevel er relativt billige.

En anden klynge, AIA0002, bruger engelsk på tværs af 10 paneler, der hostes via AS20473, The Constant Company, i de fleste tilfælde på Vultr-VPS-instanser. Klyngen vurderes med høj sikkerhed at være ondsindet, selv om der er mindre sikkerhed om nogle af panelernes forbindelser, og mange af dem er gået offline, siden undersøgelsen begyndte. Operatørerne taler åbent om at stjæle kreditkort og kryptovalutaer og uploade de stjålne data til værter, de selv kontrollerer. I deres opgavebeskrivelser offentliggør de SSH-loginoplysninger til backend-værter til mellemopbevaring og giver ofte ingen tekniske instruktioner til at komme i gang ud over anvisninger som »hent kreditkort« eller »hent krypto«. Projektregistreringer viser arbejdere med navne som pi_openrouter_deepseek, hvilket tyder på, at de bruger kodeagentframeworket Pi med DeepSeek-modeller via OpenRouter, en tredjeparts gateway til model-API’er. Målene er især betalingstjenester for forhandlere, betalingswebsteder på gråmarkedet og farmaceutiske websteder, herunder et åbenlyst kriminelt websted for handel med stjålne kortoplysninger. Flere afrikanske handelswebsteder antyder, at aktøren muligvis er baseret på kontinentet, rapporterede NorForge. Aktøren bruger også Cairn som en tjenesteplatform til generelle formål, for eksempel til at flytte penge mellem kryptopunge.

En tredje klynge, AIA0003, har et enkelt panel med en liste over 59 projekter, hostet på AS200019 hos AlexHost, og bruger udelukkende engelsk. Målene spænder fra mindre e-handelswebsteder til meget store amerikanske kommercielle platforme. Projekterne hævder til at begynde med at være autoriserede sikkerhedsvurderinger, men bliver gradvist mere eksplicitte om at skaffe shell-adgang, adgang til administratorpaneler eller databaseadgang. NorForge vurderer med lav sikkerhed, at aktøren er ondsindet, og beskriver den som mere udforskende.

Bekræftede kompromitteringer og succesrater

NorForge bekræftede en påstået indtrængen ved at hente shell-URL’en, der var registreret i en afsluttet opgave rettet mod en stor leverandør af hardwaredele; URL’en viste en aktiv webshell til upload. Ifølge agentens egen forklaring blev indtrængningen muliggjort af uautoriseret skriveadgang til et memcached-sessionslager kombineret med usikker deserialisering af PHP-objekter og en udnyttelig gadgetkæde i ældre Zend Framework-komponenter.

På tværs af de observerede kampagner anslog NorForge den gennemsnitlige succesrate til omkring 10 %. Mange af de øvrige opgaver nåede delmål eller indsamlede oplysninger, som kunne bruges i senere forsøg. For AIA0001-opgaver, der nåede deres mål, var den gennemsnitlige tid fra projektstart til målopnåelse lige under 23 timer, og hvert projekt genererede i gennemsnit 140 fakta, selv om ét projekt kørte i mere end fem dage. Virksomheden understregede, at tallene er et øjebliksbillede, fordi modeller og harnesses udvikler sig meget hurtigt.

Eksponerede hemmeligheder og forsøg på at få paneler lukket

Da secrets-scanneren Trufflehog blev kørt på data fra de eksponerede Cairn-instanser, fandt den bogstaveligt talt hundredvis af hemmeligheder af forskellig art, fra forholdsvis trivielle til ekstremt alvorlige; 11 % blev bekræftet gyldige, rapporterede NorForge. Panelerne så også ud til at være helt ubeskyttede og eksponerede, hvad der lignede harnessets fulde administratorfunktioner, herunder funktioner til at starte og stoppe projekter, gribe ind i igangværende operationer, indsætte nye data, omdirigere agenter til andre mål og genstarte gamle projekter. NorForge sagde, at virksomheden ikke testede, om funktionerne virker uden autorisation.

I sin konklusion sagde NorForge, at angriberne går på kompromis med deres egen operationelle sikkerhed i jagten på hurtige resultater og udsætter deres mål for en langt større angrebsflade end tilsigtet, mens legitime red teams risikerer at indsamle klienthemmeligheder og offentliggøre dem på det åbne internet. Rapporten afsluttes med seks anonymiserede casestudier, der omfatter et australsk e-handelswebsted, et kompromitteret kassesystem på en restaurant, tre amerikanske detailhandlere og en japansk detailhandler. NorForge sagde, at virksomheden validerede ét af tilfældene: en kompromittering af en meget stor amerikansk detailhandler, hvor agenten fandt den ene cookieindstilling, der valgte en sårbar backendserver.

NorForge oplyste, at virksomheden samarbejder med Reuters om at underrette ofre, der tilsyneladende er blevet kompromitteret, og forsøger at få de ansvarlige Cairn-paneler taget ned. Ifølge NorForge afhænger indsatsen i høj grad af, hvordan hostingudbyderne reagerer på anmodninger om nedtagning. Virksomheden offentliggjorde redigerede kompromitteringsindikatorer for panelerne og stagingserverne og oplyste, at den efter anmodning vil give den uredigerede liste til reelle sikkerhedsforskere.