NorForge、AIを活用した侵入に使われたCairnの公開パネル20件超を詳述

セキュリティ調査会社NorForgeは2026年10月19日、Cairnの内部と題する調査を公開した。同社は、CairnのAI問題解決ハーネスの制御パネルが20件以上インターネット上に公開されており、金銭目的の悪意ある侵入活動に関連している可能性が高いと特定した。公開されたパネルからは、脅威アクターがどのように標的を選び、自律型エージェントにタスクを与え、脆弱性を悪用し、侵害したシステムへの永続的なアクセスを確立するのかが詳細にわかると、同社は述べた。

この報告書は、NorForgeの創設時からの研究者であるSnorre Fagerlandが執筆した。NorForgeは2026年に設立された従業員所有の企業で、米国の親会社はパロアルトに本社を置き、欧州に事業子会社を持つ。パネルから標的の身元、未発見の脆弱性、アカウントの秘密情報、APIキー、侵害状況が明らかになるため、NorForgeは抽出データを大幅に伏せ、パネルを停止できるまでアドレスを公表しないと述べた。同社はさらに、正当なものとみられるレッドチーム演習も相当数、同じ方法で公開されていたことが判明し、顧客が危険にさらされる可能性があると付け加えた。

パネルが発見された経緯

NorForgeによると、調査は、Gambit Securityが2026年9月に、Hermes、Strix、CairnなどのAIハーネスを利用してオンライン市場を標的とする犯罪目的の侵入キャンペーンを報告したことを受けて始まった。これらのツールのウェブインターフェースは、インターネット上でセキュリティ対策が不十分なまま公開されていることが多い。検索エンジンのShodanとCensysで簡単に検索したところ、AIハーネスとみられるものを稼働させているホストが見つかり、Cairnは最も管理が行き届いていないプラットフォームの一つであることが判明したとNorForgeは述べた。その後もスキャンを続けると、新たなパネルが次々と稼働を始め、標的情報、使用言語、指示内容から、その多くが同じ脅威アクターに結び付いていることがわかった。

Gambit Securityは2026年9月22日付の中間報告書で、金銭目的のオペレーターが、脆弱性の探索にStrix、自律型のエンドツーエンドの悪用にCairn、オーケストレーションにHermesを使用し、9月10日から15日までのわずか6日間で105件の攻撃プロジェクトを開始し、少なくとも27社を侵害したと述べた。この活動は2026年7月にまでさかのぼる。Gambitの報告によると、2社から有効期限前のクレジットカード情報が60万件以上窃取され、19サイトでカード情報を窃取するスクリプトが設置されていたことが確認された。また、研究者Varysとともに、さらに100を超える感染ウェブサイトが検出された。オペレーターによるコストの検証では、完了した101件のスキャンにかかった費用は平均25.46ドルだった。

Cairnハーネスの内部

NorForgeは、Cairnを自律型の侵入テストエンジンというより、状態ベースの問題解決エンジンと説明している。各タスクはプロジェクトとして構成され、開始点は「起点」、あらかじめ定められた最終目標は「ゴール」と呼ばれる。フレームワークは、「事実」（エージェントが得た発見）と「意図」（次に何をするかについてエージェントが決めたこと）のサイクルを重ねて進行する。これらはプロジェクト内のブラックボードにすべて記録され、人間のオペレーターもヒントを書き込める。米国の大手オンライン小売業者を標的にした、図示されたプロジェクトのグラフは、起点からゴールへと進み、ハーネスが「ゴール達成」と記録する状態、すなわちサイトへのウェブシェルの埋め込みに至っていた。別の公開パネルで記録されたオペレーターのタスクからは、NorForgeが攻撃者自身のデータ保管場所へのルートアクセスと説明したものを含む秘密情報が明らかになった。

3つの活動クラスター

最大のクラスターはAIA0001と命名され、中国語を使用し、AS56594（Cgi Global Limited）経由でホストされた14のパネルにまたがる。NorForgeは、これが悪意ある活動である可能性は高いと評価している。このクラスターには1,100件を超える攻撃プロジェクトがあり、同社が発見した公開アクターの中で、活動規模は群を抜いて大きい。NorForgeの報告によると、主に米国、日本、オーストラリアの組織を標的とし、後の収益化に向けて電子商取引や決済インフラへの永続的なアクセスを得ることを狙っているとみられる。公開されていたすべてのパネルを通じて、活動には金銭目的がうかがわれ、国家が支援する侵入活動を示す明白な証拠はなかったと同社は述べた。

NorForgeが翻訳した、AIA0001の典型的な自動タスクには、4カ国（米国、カナダ、日本、オーストラリア）の実在するショッピングサイトが確認済みの標的として列挙されている。各サイトのトラフィックは20万から150万で、Microsoftのブラウザー自動化フレームワークPlaywrightを使って事前検証され、注文可能であることが確認されていた。明示された目標は、認証を必要としないリモートコード実行を見つけることだった。優先項目には、ログイン機能へのSQLインジェクション、認証不要のエンドポイント、ファイルアップロード、デシリアライゼーション、認証の回避、アカウント乗っ取りが含まれていた。さらに、コマンドを実行するウェブシェルではなく、アップローダー型のシェルペイロードを送り込むよう指示されていた。NorForgeによると、標的リストを供給するパイプラインは大規模な自動化に依存しており、共有のドメイン正規化ツールにはバグがあった。このツールはwwwの接頭辞からwを1文字余分に削り、wholesaleをholesaleに変えてしまうため、関連するパネルを簡単に見つけることができた。

AIA0001のホストの1台が帯域外テストのために高位ポートでウェブサーバーを短時間稼働させた際、NorForgeはエージェントのワーカーディレクトリを調べ、PlaywrightやChromium、PHPGGCのガジェットチェーン・ペイロード、CVE-2026-75650として追跡されているStyleSmugglerのMagento脆弱性を検証するための概念実証とDockerベースの検証ラボ、OWASP Amass、dnsrecon、ウェブファザーのffuf、Nmap、パスワードリストのrockyouなどのツールを確認した。あるエージェントのタスク更新から、KaliコンテナのセットアップがTencent tsecのペネトレーションテスト競技会向けフレームワークを転用したものだと分かった。NorForgeは、これはほぼ間違いなく犯罪者が既存のツールを再利用しているものであり、Tencentがこの活動に関与していたと考える理由はないと述べた。確認されたAIA0001のタスクはすべて、claudecode_deepseek-v4.1-flashという名前のワーカーが実行していた。同社によると、これは2026年9月に公開された中国製モデルDeepSeek 4.1 Flashを実行するClaude Codeのハーネスである可能性がある。

実際のトークン使用量データがないため、NorForgeはAIA0001のタスク1件あたりの平均コストを約5ドルと推定した。この金額には、早期に終了する未成功のプロジェクトも含まれる。一方、インテントとファクトが1,000件を超えるプロジェクトでは、100ドルを超える可能性がある。同社は、これらの数値にはかなりの不確実性があり、大きく外れている可能性もあると強調したうえで、それでも活動のコストは比較的低いと結論づけた。

2つ目のクラスターAIA0002は、AS20473を通じてホスティングされた10個のパネルで英語を使用しており、ホスティング事業者はThe Constant Company、インスタンスの大半はVultrのVPSだ。同クラスターは、高い確度で悪意あるものと評価されている。ただし、パネルへのリンクの一部は確証が低く、調査開始以降に停止したものも多い。運営者はクレジットカードや暗号資産の窃取、盗んだデータを自らの管理下にあるホストへアップロードする行為について公然と話し、タスクの指示にバックエンドのステージングホストへのSSHログイン情報を記載している。また、「クレジットカードを取得せよ」「暗号資産を取得せよ」といった指示以外に、技術的な着手方法を示さないことも多い。プロジェクトの記録にあるpi_openrouter_deepseekというワーカー名からは、サードパーティーのモデルAPIゲートウェイであるOpenRouter経由でDeepSeekのモデルを利用する、コーディングエージェントフレームワークのPiが使われていることがうかがえる。NorForgeによると、標的は主に加盟店向け決済サービス、グレーマーケットの決済サイト、製薬関連サイトで、明らかに犯罪に関与するカード不正利用サイトも含まれていた。また、アフリカの商取引サイトが複数標的になっていることから、攻撃者が同大陸を拠点としている可能性も示唆されるという。攻撃者はCairnを汎用サービスエンジンとしても利用しており、たとえば暗号資産ウォレット間の資金移動に使っている。

3つ目のクラスターAIA0003では、59件のプロジェクトを掲載した単一のパネルが公開されており、AS200019のAlexHostでホスティングされ、英語のみを使用している。標的には、小規模なECサイトと、非常に大規模な米国の商業プラットフォームが混在する。各プロジェクトは当初、許可を得たセキュリティ評価だと主張するものの、次第にシェルアクセス、管理パネルへのアクセス、あるいはデータベースへのアクセスの取得を明言するようになる。NorForgeは、この攻撃者が悪意あるものである確度は低いと評価し、より探索的な活動だと説明している。

確認された侵害と成功率

NorForgeは、大手ハードウェア部品販売業者を標的とした完了済みタスクに記録されていたシェルのURLにアクセスし、実際に稼働するアップローダー型ウェブシェルが配信されたことから、主張されていた侵入の1件を確認した。エージェント自身の説明によると、この侵入は、memcachedのセッションストアへの不正な書き込みアクセスに、安全性を欠くPHPオブジェクトのデシリアライズと、旧式のZend Frameworkコンポーネントに存在する悪用可能なガジェットチェーンが組み合わさったことで可能になった。

NorForgeは、確認したキャンペーン全体の平均成功率を約10%と推定した。残りのタスクの多くも、部分的な目標を達成したり、後の試行に利用できる情報を収集したりしていた。目標を達成したAIA0001のタスクでは、プロジェクト開始から目標達成までの平均時間は23時間弱で、プロジェクトあたり平均140件のファクトを生成していた。ただし、5日を超えて稼働したプロジェクトも1件あった。同社は、モデルやハーネスが非常に速いペースで進化しているため、これらの数値はある時点の状況を示すスナップショットにすぎないと注意を促した。

露出した秘密情報と停止要請の取り組み

NorForgeによると、露出したCairnインスタンスのデータを秘密情報スキャナーのTrufflehogで調べたところ、比較的軽微なものから極めて深刻なものまで、文字どおり何百件もの各種秘密情報が見つかり、そのうち11%は有効だと確認された。また、パネルは完全に保護されていないように見え、ハーネスの管理機能がすべて公開されているかのようだった。その機能には、プロジェクトの開始・停止、進行中の活動への干渉、新しいデータの挿入、エージェントの標的変更、過去のプロジェクトの再開を行うためのコントロールが含まれていた。NorForgeは、許可なしにこれらのコントロールが機能するかどうかは試していないと述べた。

結論としてNorForgeは、攻撃者は迅速に成果を得ようとするあまり、自らの作戦上のセキュリティを損ない、標的を意図された範囲よりはるかに広い攻撃対象領域にさらしていると述べた。また、正規のレッドチームも、顧客の秘密情報を収集し、それをインターネット上で公開してしまうリスクに直面しているという。報告書は、オーストラリアのECサイト、レストランのPOSシステムへの侵害、米国の小売業者3社、日本の小売業者1社を扱った、匿名化済みの事例研究6件で締めくくられている。NorForgeはそのうち1件を検証したと述べた。これは非常に大規模な米国の小売業者への侵害で、エージェントは脆弱なバックエンドサーバーを選択する単一のCookie設定を見つけていた。

NorForgeは、侵害を受けたとみられる被害者への通知でReutersと協力しており、問題のCairnパネルの停止にも取り組んでいると述べた。この取り組みは、ホスティング事業者が削除要請にどう対応するかに大きく左右されるという。同社は、パネルとステージングサーバーに関する編集済みの侵害指標を公開し、正当なセキュリティ研究者から要請があれば、編集前のリストを提供すると述べた。