NorForge berichtet über mehr als 20 offengelegte Cairn-Panels, die bei KI-gesteuerten Angriffen eingesetzt werden

Das Sicherheitsforschungsunternehmen NorForge veröffentlichte am 19. Oktober 2026 Einblicke in Cairn, eine Untersuchung, in der mehr als 20 öffentlich zugängliche Steuerungspanels für das KI-Problemlösungs-Framework Cairn identifiziert wurden, die wahrscheinlich mit böswilligen, finanziell motivierten Eindringversuchen in Verbindung stehen. Die offengelegten Panels geben detailliert Aufschluss darüber, wie Angreifer Ziele auswählen, autonomen Agenten Aufgaben zuweisen, Schwachstellen ausnutzen und dauerhaften Zugriff auf kompromittierte Systeme erlangen, erklärte das Unternehmen.

Der Bericht wurde von Snorre Fagerland, einem Gründungsforscher bei NorForge, verfasst. NorForge ist ein 2026 gegründetes Unternehmen im Besitz seiner Beschäftigten, dessen US-Muttergesellschaft ihren Sitz in Palo Alto hat und das über eine europäische Betriebsgesellschaft verfügt. Da die Panels Zielidentitäten, bislang unentdeckte Schwachstellen, Kontogeheimnisse, API-Schlüssel und den Status einer Kompromittierung offenlegen, erklärte NorForge, extrahierte Daten konsequent geschwärzt zu haben. Die Adressen der Panels halte das Unternehmen zurück, bis diese abgeschaltet werden können. Außerdem seien zahlreiche offenbar legitime Red-Team-Einsätze auf dieselbe Weise offengelegt worden, wodurch ihre Kunden möglicherweise gefährdet seien.

Wie die Panels entdeckt wurden

NorForge zufolge begannen die Recherchen, nachdem Gambit Security im September 2026 über eine kriminelle Angriffskampagne gegen Online-Marktplätze berichtet hatte, bei der KI-Agenten-Frameworks wie Hermes, Strix und Cairn zum Einsatz kamen. Die Weboberflächen solcher Tools bleiben im offenen Internet oft ungesichert. Schnelle Suchen über die Suchmaschinen Shodan und Censys brachten Hosts ans Licht, auf denen offenbar KI-Agenten-Frameworks liefen. Cairn habe sich dabei als eine der am stärksten vernachlässigten Plattformen erwiesen, so NorForge. Bei weiteren Scans gingen in kurzer Folge neue Panels online. Zielinformationen, Sprache und Anweisungen stellten bei vielen von ihnen eine Verbindung zu denselben Angreifern her.

In ihrem Zwischenbericht vom 22. September 2026 erklärte Gambit Security, ein finanziell motivierter Angreifer habe Strix für die Suche nach Schwachstellen, Cairn für autonome Angriffe von Anfang bis Ende und Hermes für die Orchestrierung eingesetzt. Allein zwischen dem 10. und 15. September startete er 105 Angriffsprojekte und kompromittierte mindestens 27 Unternehmen; die Aktivitäten reichten bis in den Juli 2026 zurück. Gambit berichtete, dass mehr als 600.000 noch gültige Kreditkartendatensätze von zwei Unternehmen entwendet wurden. Auf 19 Websites seien Kartenskimming-Skripte nachweislich aktiv gewesen; gemeinsam mit dem Forscher Varys seien zudem mehr als 100 weitere infizierte Websites entdeckt worden. Eine Kostenübersicht des Angreifers ergab durchschnittlich 25,46 US-Dollar pro Scan bei insgesamt 101 abgeschlossenen Scans.

Einblicke in das Cairn-Framework

NorForge beschreibt Cairn weniger als autonomes Penetrationstest-Tool denn als zustandsbasiertes Problemlösungs-Framework. Jede Aufgabe ist ein Projekt mit einem Startpunkt, dem sogenannten Ursprung, und einem vorab festgelegten Endziel. Das Framework arbeitet in Zyklen aus Fakten – Erkenntnissen, die der Agent gewonnen hat – und Absichten – dem, was er als Nächstes zu tun beschlossen hat. Diese werden auf einer projekinternen Pinnwand festgehalten, auf der auch menschliche Bediener Hinweise hinterlegen können. Ein dargestellter Projektgraph, der auf einen großen US-amerikanischen Onlinehändler ausgerichtet war, führte vom Ursprung bis zum Ziel und endete mit dem Zustand, den das Framework als erreichtes Ziel vermerkt: Eine Webshell war in die Website eingeschleust worden. Eine erfasste Aufgabe des Bedieners auf einem anderen offenen Panel gab Geheimnisse preis, darunter, wie NorForge es beschrieb, Root-Zugriff auf den eigenen Datendrop des Angreifers.

Drei Aktivitätscluster

Das größte Cluster mit der Bezeichnung AIA0001 verwendet die chinesische Sprache und umfasst 14 Panels, die über AS56594, Cgi Global Limited, gehostet werden. NorForge stuft es mit hoher Sicherheit als böswillig ein. Es enthält mehr als 1.100 Angriffsprojekte und ist damit mit Abstand der aktivste offengelegte Angreifer, den das Unternehmen gefunden hat. Laut NorForge richtet es sich vor allem gegen Organisationen in den USA, Japan und Australien. Offenbar soll dauerhafter Zugriff auf E-Commerce- und Zahlungsinfrastrukturen erlangt werden, um diese später finanziell auszunutzen. Die Aktivitäten auf allen offengelegten Panels schienen finanziell motiviert zu sein; offensichtliche staatlich gesponserte Angriffe habe es nicht gegeben, erklärte das Unternehmen.

Eine typische automatisierte Aufgabe von AIA0001 führt laut der von NorForge übersetzten Fassung bestätigte echte Shopping-Websites in vier Ländern auf – den USA, Kanada, Japan und Australien – mit einem Besucheraufkommen zwischen 200.000 und 1,5 Millionen. Mithilfe von Microsofts Framework Playwright zur Browserautomatisierung wurde zuvor geprüft, ob sich auf den Websites Bestellungen aufgeben lassen. Das erklärte Ziel ist, eine nicht authentifizierte Remote-Codeausführung zu finden. Zu den priorisierten Angriffswegen zählen SQL-Injection bei der Anmeldung, nicht authentifizierte Endpunkte, Datei-Uploads, Deserialisierung, das Umgehen der Authentifizierung und die Übernahme von Konten. Als Ergebnis soll eine Shell zum Hochladen von Dateien bereitgestellt werden, nicht eine Webshell, die Befehle ausführt. NorForge zufolge stützt sich die Pipeline zur Zuführung von Zielen auf umfangreiche Automatisierung. Dazu gehört ein gemeinsam genutzter, fehlerhafter Domain-Normalisierer, der ein w zu viel aus dem Präfix www entfernt und so aus wholesale holesale macht. Dadurch ließen sich zusammengehörige Panels leicht erkennen.

Während eines kurzen Zeitfensters, in dem ein AIA0001-Host für Out-of-Band-Tests auf einem hohen Port einen Webserver öffnete, durchsuchte NorForge das Verzeichnis eines Agenten-Workers und erfasste die dort vorhandenen Tools. Dazu gehörten Playwright und Chromium, Gadget-Chain-Payloads für PHPGGC, ein Proof of Concept und ein Docker-basiertes Validierungslabor für die Magento-Schwachstelle StyleSmuggler, die unter CVE-2026-75650 geführt wird, OWASP Amass, dnsrecon, der Web-Fuzzer ffuf, Nmap und die Passwort-Wortliste rockyou. Eine Aktualisierung einer Agentenaufgabe deutete darauf hin, dass die Kali-Containerkonfiguration aus einem Framework für Penetrationstest-Wettbewerbe von Tencent tsec übernommen worden war. NorForge erklärte, dass Kriminelle hier mit ziemlicher Sicherheit vorhandene Tools wiederverwenden und es keinen Grund zu der Annahme gebe, Tencent habe etwas mit dem Vorgang zu tun. Alle beobachteten AIA0001-Aufgaben wurden von einem Worker namens claudecode_deepseek-v4.1-flash ausgeführt. Laut dem Unternehmen könnte dies auf ein Claude-Code-Harness hindeuten, das das chinesische Modell DeepSeek 4.1 Flash verwendet, das im September 2026 veröffentlicht wurde.

Da keine tatsächlichen Daten zur Token-Nutzung vorlagen, schätzte NorForge die durchschnittlichen Kosten einer AIA0001-Aufgabe auf etwa 5 US-Dollar. Darin enthalten waren auch erfolglose Projekte, die vorzeitig abgebrochen wurden. Projekte mit mehr als 1.000 Intents und Fakten könnten dagegen über 100 US-Dollar kosten. Das Unternehmen betonte, dass diese Zahlen mit erheblicher Unsicherheit behaftet seien und deutlich danebenliegen könnten, kam jedoch zu dem Schluss, dass die Operationen selbst dann relativ günstig seien.

Ein zweiter Cluster, AIA0002, verwendet auf 10 Panels Englisch. Diese werden über AS20473, The Constant Company, gehostet und laufen meist auf Vultr-VPS-Instanzen. NorForge bewertet den Cluster mit hoher Zuversicht als bösartig, hält jedoch einige Verknüpfungen zwischen den Panels für weniger sicher; viele davon sind seit Beginn der Untersuchung nicht mehr erreichbar. Die Betreiber sprechen offen darüber, Kreditkarten und Kryptowährungen zu stehlen und die erbeuteten Daten auf von ihnen kontrollierte Hosts hochzuladen. In ihren Aufgabenstellungen geben sie SSH-Zugangsdaten zu internen Staging-Hosts im Backend preis und machen häufig keine technischen Vorgaben für den Einstieg, sondern beschränken sich auf Anweisungen wie „Kreditkarten beschaffen“ oder „Kryptowährungen beschaffen“. Aus den Projektdatensätzen gehen Worker mit Namen wie pi_openrouter_deepseek hervor. Das deutet auf das Coding-Agent-Framework Pi hin, das über OpenRouter, ein Drittanbieter-API-Gateway für Modelle, DeepSeek-Modelle nutzt. Die Ziele konzentrieren sich auf Zahlungsdienste für Händler, Zahlungsseiten aus dem Graumarkt und Pharmaseiten, darunter eine eindeutig kriminelle Carding-Website. Mehrere afrikanische Handelsseiten lassen darauf schließen, dass der Akteur möglicherweise auf diesem Kontinent ansässig ist, berichtete NorForge. Außerdem setzt der Akteur Cairn als universelle Service-Engine ein, etwa um Geld zwischen Kryptowährungs-Wallets zu transferieren.

Ein dritter Cluster, AIA0003, legt ein einzelnes Panel mit 59 Projekten offen. Es wird auf AS200019 bei AlexHost gehostet und verwendet ausschließlich Englisch. Zu den Zielen gehören sowohl kleinere E-Commerce-Websites als auch sehr große US-amerikanische Handelsplattformen. Die Projekte geben zunächst vor, autorisierte Sicherheitsprüfungen zu sein, werden dann aber nach und nach explizit und zielen auf Shell-Zugriff, Zugang zu Admin-Panels oder Datenbankzugriff ab. NorForge stuft diesen Akteur mit geringer Zuversicht als bösartig ein und beschreibt sein Vorgehen als eher explorativ.

Bestätigte Kompromittierungen und Erfolgsquoten

NorForge bestätigte einen behaupteten Einbruch, indem das Unternehmen die in einer abgeschlossenen Aufgabe zu einem großen Anbieter von Hardwareteilen protokollierte Shell-URL aufrief. Die URL lieferte eine aktive Upload-Webshell aus. Der eigenen Erklärung des Agenten zufolge wurde der Einbruch durch unbefugten Schreibzugriff auf einen memcached-Sitzungsspeicher ermöglicht, kombiniert mit unsicherer Deserialisierung von PHP-Objekten und einer ausnutzbaren Gadget-Chain in älteren Zend-Framework-Komponenten.

Über die beobachteten Kampagnen hinweg schätzte NorForge die durchschnittliche Erfolgsquote auf etwa 10 Prozent. Viele der übrigen Aufgaben erreichten Teilziele oder sammelten Informationen, die bei späteren Versuchen genutzt werden konnten. Bei den AIA0001-Aufgaben, die ihre Ziele erreichten, verging vom Projektstart bis zum Erreichen des Ziels durchschnittlich etwas weniger als 23 Stunden. Dabei fielen durchschnittlich 140 Fakten pro Projekt an, wobei ein Projekt länger als fünf Tage lief. Das Unternehmen warnte, die Zahlen seien lediglich eine Momentaufnahme, da sich Modelle und Harnesses sehr schnell weiterentwickelten.

Offengelegte Geheimnisse und Maßnahmen zur Abschaltung

Ein Scan der Daten aus den offengelegten Cairn-Instanzen mit dem Geheimnis-Scanner Trufflehog förderte buchstäblich Hunderte Geheimnisse verschiedener Art zutage, von relativ belanglosen bis zu äußerst schwerwiegenden. 11 Prozent davon wurden als gültig bestätigt, berichtete NorForge. Die Panels schienen außerdem überhaupt nicht geschützt zu sein und legten offenbar den vollständigen administrativen Funktionsumfang des Harnesses offen. Dazu gehörten Steuerelemente zum Starten und Stoppen von Projekten, zum Eingreifen in laufende Operationen, zum Einfügen neuer Daten, zum Umleiten von Agenten auf andere Ziele und zum Neustarten älterer Projekte. NorForge erklärte, nicht überprüft zu haben, ob sich diese Steuerelemente ohne Autorisierung nutzen lassen.

In seinem Fazit erklärte NorForge, die Angreifer gefährdeten in ihrer Eile, schnell Ergebnisse zu erzielen, ihre eigene operative Sicherheit und setzten ihre Ziele einer weitaus größeren Angriffsfläche aus als beabsichtigt. Zugleich liefen legitime Red Teams Gefahr, Geheimnisse ihrer Kunden zu sammeln und im offenen Internet zu veröffentlichen. Der Bericht endet mit sechs anonymisierten Fallstudien zu einer australischen E-Commerce-Website, einem Angriff auf das Kassensystem eines Restaurants, drei US-amerikanischen Einzelhändlern und einem japanischen Einzelhändler. NorForge erklärte, einen dieser Fälle bestätigt zu haben: die Kompromittierung eines sehr großen US-amerikanischen Einzelhändlers, bei der der Agent die einzelne Cookie-Einstellung fand, über die ein verwundbarer Backend-Server ausgewählt wurde.

NorForge erklärte, mit Reuters zusammenzuarbeiten, um Opfer zu benachrichtigen, die offenbar kompromittiert wurden, und zu versuchen, die betreffenden Cairn-Panels vom Netz nehmen zu lassen. Dieser Versuch hänge maßgeblich davon ab, wie die Hosting-Anbieter auf Aufforderungen zur Entfernung reagierten. Das Unternehmen veröffentlichte teilweise geschwärzte Kompromittierungsindikatoren für die Panels und Staging-Server und erklärte, die ungeschwärzte Liste seriösen Sicherheitsforschern auf Anfrage zur Verfügung zu stellen.