NorForge détaille plus de 20 panneaux Cairn exposés utilisés lors d’intrusions pilotées par l’IA

Le 19 octobre 2026, NorForge, une société de recherche en sécurité, a publié Au cœur de Cairn, une enquête qui a recensé plus de 20 panneaux de commande du système de résolution de problèmes par IA Cairn accessibles au public et probablement liés à des activités d’intrusion malveillantes motivées par l’appât du gain. Selon la société, ces panneaux exposés donnent un aperçu détaillé de la manière dont les acteurs malveillants choisissent leurs cibles, assignent des tâches à des agents autonomes, exploitent des vulnérabilités et établissent un accès persistant aux systèmes compromis.

Le rapport a été rédigé par Snorre Fagerland, chercheur cofondateur chez NorForge, une entreprise détenue par ses salariés, fondée en 2026 et dotée d’une société mère américaine basée à Palo Alto ainsi que d’une filiale opérationnelle européenne. Comme les panneaux révèlent l’identité des cibles, les failles découvertes, des secrets de comptes, des clés d’API et l’état des compromissions, NorForge a déclaré avoir fortement expurgé les données extraites et ne pas divulguer les adresses des panneaux tant qu’ils n’auront pas été mis hors ligne. La société a ajouté qu’un nombre considérable d’opérations de red team apparemment légitimes avaient également été exposées de la même manière, ce qui pourrait mettre leurs clients en danger.

Comment les panneaux ont été découverts

NorForge a indiqué que ses recherches avaient commencé après la publication, en septembre 2026, d’un rapport de Gambit Security sur une campagne d’intrusion criminelle visant des places de marché en ligne et faisant appel à des systèmes d’IA tels que Hermes, Strix et Cairn, dont les interfaces Web sont souvent laissées sans protection sur l’Internet public. Des recherches rapides sur les moteurs Shodan et Censys ont révélé des hôtes exécutant ce qui semblait être des systèmes d’IA, et Cairn s’est avéré être, selon NorForge, l’une des plateformes les plus négligées. Des analyses répétées ont montré que de nouveaux panneaux apparaissaient rapidement, avec des informations sur les cibles, des éléments de langage et des instructions qui rattachaient bon nombre d’entre eux aux mêmes acteurs malveillants.

Dans son rapport intermédiaire du 22 septembre 2026, Gambit Security a indiqué qu’un opérateur motivé par l’appât du gain utilisait Strix pour rechercher des vulnérabilités, Cairn pour mener des exploitations autonomes de bout en bout et Hermes pour l’orchestration. Il a lancé 105 projets d’attaque entre le 10 et le 15 septembre seulement et compromis au moins 27 entreprises, dans le cadre d’activités remontant à juillet 2026. Gambit a signalé le vol de plus de 600 000 enregistrements de cartes de crédit non expirées appartenant à deux entreprises, la présence confirmée de scripts de détournement de données de cartes sur 19 sites et la détection, aux côtés du chercheur Varys, de plus de 100 autres sites infectés. L’examen des coûts de l’opérateur faisait état d’une moyenne de 25,46 $ pour 101 analyses terminées.

Au cœur du système Cairn

NorForge décrit Cairn moins comme un moteur autonome de tests d’intrusion que comme un moteur de résolution de problèmes fondé sur des états. Chaque tâche est un projet doté d’un point de départ appelé « origine » et d’un objectif final prédéfini. Le cadre progresse par cycles de faits (découvertes de l’agent) et d’intentions (ce qu’il a décidé de faire ensuite), tous consignés sur un tableau noir propre au projet, auquel les opérateurs humains peuvent également ajouter des indications. Un graphe de projet présenté en exemple, dirigé contre un grand détaillant en ligne américain, allait de l’origine à l’objectif et aboutissait à l’état que le système enregistre comme « objectif atteint » : l’injection d’un webshell sur le site. Une tâche d’opérateur capturée sur un autre panneau ouvert a révélé des secrets, notamment ce que NorForge a décrit comme un accès root au propre dépôt de données de l’attaquant.

Trois groupes d’activité

Le groupe le plus important, désigné AIA0001, utilise le chinois et comprend 14 panneaux hébergés via AS56594, Cgi Global Limited ; NorForge estime avec un niveau de confiance élevé qu’il est malveillant. Il regroupe plus de 1 100 projets d’attaque, ce qui en fait de loin l’acteur exposé le plus actif recensé par la société. Selon NorForge, il cible principalement des organisations aux États-Unis, au Japon et en Australie, apparemment dans le but d’obtenir un accès persistant à des infrastructures de commerce électronique et de paiement afin de les monétiser ultérieurement. D’après la société, l’activité observée sur l’ensemble des panneaux exposés semblait motivée par des considérations financières, sans signe manifeste d’intrusions commanditées par un État.

Une tâche automatisée typique d’AIA0001, traduite par NorForge, répertorie des sites marchands réels et confirmés dans quatre pays (les États-Unis, le Canada, le Japon et l’Australie), dont le trafic se situe entre 200 000 et 1,5 million, et qui ont été préalablement vérifiés au moyen de Playwright, le cadre d’automatisation de navigateur de Microsoft, afin de confirmer qu’il est possible d’y passer commande. L’objectif déclaré est de trouver des vulnérabilités d’exécution de code à distance sans authentification. Les priorités comprennent l’injection SQL sur la page de connexion, les points de terminaison sans authentification, les téléversements de fichiers, la désérialisation, le contournement de l’authentification et la prise de contrôle de comptes. La tâche prévoit de fournir une charge utile de type shell téléverseur plutôt qu’un webshell capable d’exécuter des commandes. NorForge a indiqué que le pipeline d’alimentation reposait sur une automatisation poussée, notamment sur un normalisateur de domaines partagé et défectueux qui supprime un « w » de trop dans le préfixe « www », transformant « wholesale » en « holesale », ce qui facilitait le repérage des panneaux associés.

Pendant une brève période, lorsqu’un hôte AIA0001 a ouvert un serveur web sur un port élevé pour des tests hors bande, NorForge a parcouru le répertoire de travail d’un agent et dressé l’inventaire des outils qui s’y trouvaient, notamment Playwright et Chromium, des charges utiles PHPGGC constituées de chaînes de gadgets, une preuve de concept et un laboratoire de validation basé sur Docker pour la vulnérabilité StyleSmuggler de Magento, référencée sous le numéro CVE-2026-75650, OWASP Amass, dnsrecon, le fuzzer web ffuf, Nmap et la liste de mots de passe rockyou. Une mise à jour de tâche d’un agent indiquait que la configuration du conteneur Kali avait été adaptée à partir d’un framework de compétition de tests d’intrusion tsec de Tencent ; NorForge a déclaré qu’il s’agissait presque certainement de criminels réutilisant des outils existants et qu’il n’y avait aucune raison de croire que Tencent ait eu quoi que ce soit à voir avec cette opération. Toutes les tâches AIA0001 observées ont été effectuées par un agent nommé claudecode_deepseek-v4.1-flash, ce qui, selon l’entreprise, pourrait signifier qu’un environnement d’exécution Claude Code faisait tourner le modèle chinois DeepSeek 4.1 Flash, lancé en septembre 2026.

En l’absence de données réelles sur l’utilisation des jetons, NorForge a estimé le coût moyen d’une tâche AIA0001 à environ 5 $, en incluant les projets infructueux qui s’arrêtent prématurément, tandis que les projets dépassant 1 000 intentions et faits pourraient coûter plus de 100 $. L’entreprise a souligné que ces estimations comportaient une grande part d’incertitude et pouvaient être nettement erronées, tout en concluant que les opérations restent relativement peu coûteuses malgré tout.

Un deuxième groupe, AIA0002, utilise l’anglais sur 10 panneaux hébergés par l’intermédiaire d’AS20473, The Constant Company, généralement sur des instances VPS de Vultr. Il est considéré comme malveillant avec un niveau de confiance élevé, même si certains liens vers les panneaux sont moins fiables et que beaucoup sont devenus inaccessibles depuis le début de l’enquête. Ses opérateurs parlent ouvertement de voler des cartes de crédit et des cryptomonnaies, ainsi que de téléverser les données dérobées sur des hôtes qu’ils contrôlent. Dans leurs consignes de tâche, ils exposent les identifiants SSH des serveurs de préproduction en arrière-plan et, souvent, ne fournissent aucune instruction technique de départ, se contentant de directives telles que « récupérer des cartes de crédit » ou « récupérer des cryptomonnaies ». Les registres des projets font état d’agents nommés pi_openrouter_deepseek, ce qui laisse penser qu’ils utilisent le framework d’agent de programmation Pi avec des modèles DeepSeek via OpenRouter, une passerelle tierce d’API de modèles. Les cibles sont principalement des services de paiement pour commerçants, des sites de paiement du marché gris et des sites pharmaceutiques, dont un site de fraude aux cartes bancaires clairement criminel. Plusieurs sites de commerce africains laissent penser que l’acteur pourrait être basé sur ce continent, a rapporté NorForge. L’acteur utilise également Cairn comme moteur de service polyvalent, par exemple pour transférer des fonds entre des portefeuilles de cryptomonnaies.

Un troisième groupe, AIA0003, expose un seul panneau répertoriant 59 projets, hébergé sur AS200019, AlexHost, et utilise exclusivement l’anglais. Ses cibles vont de petits sites de commerce électronique à de très grandes plateformes commerciales américaines. Au départ, ses projets prétendent consister en des évaluations autorisées, avant de devenir progressivement explicites sur l’obtention d’un accès shell, d’un accès au panneau d’administration ou d’un accès à la base de données. NorForge estime, avec un faible niveau de confiance, que cet acteur est malveillant et le décrit comme davantage porté à l’exploration.

Compromissions vérifiées et taux de réussite

NorForge a vérifié une intrusion revendiquée en récupérant l’URL du shell consignée dans une tâche achevée visant un grand fournisseur de pièces informatiques ; l’URL renvoyait vers un webshell de téléversement actif. Selon l’explication de l’agent lui-même, cette intrusion a été rendue possible par un accès en écriture non autorisé à un magasin de sessions memcached, associé à une désérialisation dangereuse d’objets PHP et à une chaîne de gadgets exploitable dans des composants de l’ancien Zend Framework.

Pour l’ensemble des campagnes observées, NorForge a estimé le taux de réussite moyen à environ 10 % ; de nombreuses autres tâches ont atteint des objectifs partiels ou recueilli des informations exploitables lors de tentatives ultérieures. Pour les tâches AIA0001 ayant atteint leurs objectifs, le délai moyen entre le début du projet et l’atteinte de l’objectif était légèrement inférieur à 23 heures, et chaque projet a généré en moyenne 140 faits, même si un projet a duré plus de cinq jours. L’entreprise a précisé que ces chiffres ne représentaient qu’un instantané, car les modèles et les environnements d’exécution évoluent très rapidement.

Secrets exposés et efforts de démantèlement

L’analyse des données provenant des instances Cairn exposées à l’aide du scanner de secrets Trufflehog a révélé littéralement des centaines de secrets de différents types, allant de relativement anodins à extrêmement graves ; 11 % d’entre eux ont été vérifiés comme valides, a rapporté NorForge. Les panneaux semblaient également totalement dépourvus de protection et exposaient ce qui paraissait être l’ensemble des fonctionnalités d’administration de l’environnement d’exécution, notamment des commandes permettant de démarrer et d’arrêter des projets, de perturber des opérations en cours, d’insérer de nouvelles données, de rediriger les agents vers d’autres cibles et de relancer d’anciens projets. NorForge a précisé ne pas avoir vérifié si ces commandes fonctionnaient sans autorisation.

Dans sa conclusion, NorForge a déclaré que les attaquants compromettaient leur propre sécurité opérationnelle dans leur course aux résultats rapides et exposaient leurs cibles à une surface d’attaque bien plus vaste que prévu, tandis que les équipes de sécurité offensive légitimes risquaient de recueillir des secrets de leurs clients et de les publier sur Internet. Le rapport se termine par six études de cas expurgées portant sur un site de commerce électronique australien, la compromission d’un système de point de vente d’un restaurant, trois détaillants américains et un détaillant japonais. NorForge a déclaré en avoir validé une : la compromission d’un très grand détaillant américain, au cours de laquelle l’agent a trouvé l’unique paramètre de cookie qui sélectionnait un serveur principal vulnérable.

NorForge a déclaré coopérer avec Reuters pour informer les victimes qui semblent avoir été compromises et tenter de faire retirer les panneaux Cairn incriminés, une démarche qui dépend, selon l’entreprise, en grande partie de la réaction des hébergeurs aux demandes de retrait. L’entreprise a publié des indicateurs de compromission expurgés concernant les panneaux et les serveurs de préproduction, et a indiqué qu’elle fournirait la liste complète sur demande aux chercheurs en sécurité dûment établis.