NorForge beschrijft meer dan 20 blootgestelde Cairn-panelen die zijn gebruikt bij AI-gestuurde cyberinbraken

Het beveiligingsonderzoeksbureau NorForge publiceerde op 19 oktober 2026 In Cairn, een onderzoek waarin meer dan 20 openbaar toegankelijke bedieningspanelen voor het AI-probleemoplossingsframework Cairn werden aangemerkt als vermoedelijk verbonden met kwaadwillige, financieel gemotiveerde cyberinbraakactiviteiten. De blootgestelde panelen geven een gedetailleerd beeld van hoe dreigingsactoren doelen kiezen, autonome agents opdrachten geven, kwetsbaarheden misbruiken en blijvende toegang verkrijgen tot gecompromitteerde systemen, aldus het bureau.

Het rapport is geschreven door Snorre Fagerland, een van de eerste onderzoekers bij NorForge, een bedrijf dat in 2026 werd opgericht en eigendom is van de werknemers. Het heeft een Amerikaanse moedermaatschappij met het hoofdkantoor in Palo Alto en een Europese operationele dochteronderneming. Omdat de panelen de identiteit van doelen, niet-ontdekte kwetsbaarheden, accountgeheimen, API-sleutels en de status van compromittering onthullen, heeft NorForge de uit de panelen verkregen gegevens naar eigen zeggen grondig geredigeerd. Ook houdt het bureau de adressen van de panelen geheim totdat ze offline kunnen worden gehaald. Het voegde eraan toe dat ook een aanzienlijk aantal ogenschijnlijk legitieme red-teamoperaties op dezelfde manier blootgesteld bleek te zijn, waardoor hun klanten mogelijk risico liepen.

Hoe de panelen aan het licht kwamen

NorForge zei dat het met zoeken begon nadat Gambit Security in september 2026 berichtte over een criminele cyberinbraakcampagne die zich richtte op online marktplaatsen en gebruikmaakte van AI-frameworks zoals Hermes, Strix en Cairn. De webinterfaces van deze tools zijn op het openbare internet vaak niet beveiligd. Snelle zoekopdrachten via de zoekmachines Shodan en Censys brachten hosts aan het licht waarop vermoedelijk AI-frameworks draaiden. Volgens NorForge bleek Cairn een van de meest verwaarloosde platforms te zijn. Bij verdere scans kwamen al snel nieuwe panelen online. Informatie over doelen, taalgebruik en instructies wees erop dat veel ervan verband hielden met dezelfde dreigingsactoren.

In het tussentijdse rapport van 22 september 2026 meldde Gambit Security dat een financieel gemotiveerde operator Strix gebruikte om naar kwetsbaarheden te zoeken, Cairn voor autonome exploitatie van begin tot eind en Hermes voor de coördinatie. Alleen al tussen 10 en 15 september startte de operator 105 aanvalprojecten en bracht die ten minste 27 bedrijven in gevaar; de activiteiten gingen terug tot juli 2026. Gambit meldde dat bij twee bedrijven meer dan 600.000 nog geldige creditcardgegevens waren buitgemaakt, dat op 19 websites scripts voor het stelen van kaartgegevens waren aangetroffen en dat samen met onderzoeker Varys nog eens meer dan 100 geïnfecteerde websites waren ontdekt. Uit een kostenanalyse van de operator bleek dat de gemiddelde kosten voor 101 afgeronde scans $25.46 bedroegen.

Binnen het Cairn-framework

NorForge beschrijft Cairn eerder als een toestandsgebaseerd probleemoplossingssysteem dan als een autonome engine voor penetratietests. Elke taak is een project met een beginpunt, de zogeheten oorsprong, en een vooraf vastgesteld einddoel. Het framework doorloopt cycli van feiten (ontdekkingen die de agent heeft gedaan) en intenties (wat de agent heeft besloten vervolgens te doen). Alles wordt geplaatst op een intern projectprikbord, waaraan menselijke operators ook aanwijzingen kunnen toevoegen. Een afgebeelde projectgrafiek, gericht op een grote Amerikaanse online retailer, liep van de oorsprong naar het doel en eindigde in de status die het framework registreert als ‘doel bereikt’: er was een webshell op de website geïnjecteerd. Een vastgelegde operatortaak op een ander openbaar toegankelijk paneel bracht geheimen aan het licht, waaronder wat NorForge omschreef als roottoegang tot de eigen datadrop van de aanvaller.

Drie activiteitclusters

Het grootste cluster, aangeduid als AIA0001, gebruikt Chineestalige tekst en omvat 14 panelen die worden gehost via AS56594, Cgi Global Limited. NorForge beoordeelt het met hoge zekerheid als kwaadwillig. Het bevat meer dan 1.100 aanvalprojecten en is daarmee veruit de actiefste blootgestelde actor die het bureau heeft aangetroffen. Volgens NorForge richt het cluster zich vooral op organisaties in de VS, Japan en Australië, kennelijk met als doel blijvende toegang te verkrijgen tot e-commerce- en betalingsinfrastructuur en die later te gelde te maken. Het bureau zei dat de activiteiten op alle blootgestelde panelen financieel gemotiveerd leken; er was geen duidelijke activiteit van door staten gesponsorde cyberinbraken.

Een typische geautomatiseerde taak van AIA0001, vertaald door NorForge, vermeldt bevestigde, echte winkelsites in vier landen (de VS, Canada, Japan en Australië) met tussen de 200.000 en 1,5 miljoen bezoeken. Met het browserautomatiseringsframework Playwright van Microsoft was vooraf gecontroleerd of er bestellingen konden worden geplaatst. Het opgegeven doel is het vinden van niet-geauthenticeerde uitvoering van code op afstand. De prioriteiten omvatten SQL-injectie bij het inloggen, niet-geauthenticeerde eindpunten, bestandsuploads, deserialisatie, het omzeilen van authenticatie en het overnemen van accounts. De taak levert een shell-payload voor uploads op, en geen webshell waarmee commando’s kunnen worden uitgevoerd. Volgens NorForge steunt de aanvoerketen op verregaande automatisering, waaronder een gedeelde, foutgevoelige domeinnaamnormalisator die één w te veel verwijdert uit het voorvoegsel www. Daardoor verandert wholesale in holesale, waardoor verwante panelen gemakkelijk te herkennen waren.

Tijdens een korte periode waarin één AIA0001-host voor tests buiten de band een webserver op een hoge poort opende, doorzocht NorForge de map van een agentworker en inventariseerde het de aanwezige hulpmiddelen. Daaronder waren Playwright en Chromium, PHPGGC-payloads met gadget chains, een proof-of-concept en een op Docker gebaseerd validatielab voor de StyleSmuggler-kwetsbaarheid in Magento, die wordt bijgehouden als CVE-2026-75650, OWASP Amass, dnsrecon, de ffuf-webfuzzer, Nmap en de RockYou-wachtwoordenlijst. Uit een update van een agenttaak bleek dat de Kali-containerconfiguratie was aangepast vanuit een framework voor een Tencent tsec-penetratietestwedstrijd. Volgens NorForge gaat het vrijwel zeker om criminelen die bestaande tools hergebruiken; er is geen reden om aan te nemen dat Tencent iets met de operatie te maken had. Alle waargenomen AIA0001-taken werden uitgevoerd door een worker met de naam claudecode_deepseek-v4.1-flash. Volgens het bedrijf zou dit kunnen betekenen dat er een Claude Code-harnas draaide met het Chinese DeepSeek 4.1 Flash-model, dat in september 2026 werd uitgebracht.

Zonder daadwerkelijke gegevens over het tokenverbruik schatte NorForge de gemiddelde kosten van een AIA0001-taak op ongeveer $5, inclusief mislukte projecten die vroegtijdig eindigen. Projecten met meer dan 1.000 intenties en feiten zouden meer dan $100 kunnen kosten. Het bedrijf benadrukte dat de onzekerheid rond deze cijfers aanzienlijk is en dat de werkelijke bedragen er flink naast kunnen zitten. Toch concludeerde het dat de operaties relatief goedkoop zijn.

Een tweede cluster, AIA0002, gebruikt Engels op 10 panelen die via AS20473, The Constant Company, worden gehost, in de meeste gevallen op VPS-instanties van Vultr. NorForge beoordeelt het cluster met grote zekerheid als kwaadaardig, al is er minder zekerheid over sommige koppelingen tussen de panelen en zijn veel panelen sinds het begin van het onderzoek offline gegaan. De beheerders bespreken openlijk het stelen van creditcards en cryptovaluta en het uploaden van gestolen gegevens naar hosts die zij zelf beheren. In hun taakopdrachten vermelden ze SSH-aanmeldgegevens voor backend-staginghosts en geven ze vaak geen technische startinstructies, behalve opdrachten als “haal creditcards op” of “haal crypto op”. Uit projectgegevens blijkt dat workers de namen pi_openrouter_deepseek gebruikten, wat wijst op het Pi-programmeeragentframework dat via OpenRouter, een API-gateway van een derde partij voor modellen, DeepSeek-modellen gebruikt. De doelwitten zijn vooral betaaldiensten voor verkopers, betaalsites op de grijze markt en farmaceutische websites, waaronder een overduidelijk criminele site voor creditcardfraude. Verschillende Afrikaanse handelssites wijzen erop dat de actor mogelijk op dat continent gevestigd is, aldus NorForge. De actor gebruikt Cairn ook als een veelzijdige servicemotor, bijvoorbeeld om geld tussen cryptowallets over te maken.

Een derde cluster, AIA0003, stelt één paneel beschikbaar waarop 59 projecten staan vermeld. Het wordt gehost op AS200019, AlexHost, en gebruikt uitsluitend Engels. De doelwitten lopen uiteen van kleinere e-commercesites tot zeer grote Amerikaanse commerciële platforms. De projecten beginnen met de bewering dat het om geautoriseerde beveiligingsbeoordelingen gaat, maar worden gaandeweg explicieter over het verkrijgen van shelltoegang, toegang tot beheerderspanelen of toegang tot databases. NorForge beoordeelt deze actor met geringe zekerheid als kwaadaardig en omschrijft hem als meer verkennend van aard.

Bevestigde compromitteringen en slagingspercentages

NorForge bevestigde één geclaimde inbraak door de shell-URL op te vragen die was vastgelegd in een voltooide taak tegen een grote leverancier van hardwareonderdelen. De URL serveerde een actieve webshell voor het uploaden van bestanden. Volgens de eigen toelichting van de agent was de inbraak mogelijk gemaakt door ongeautoriseerde schrijfrechten op een memcached-sessieopslag, in combinatie met onveilige deserialisatie van PHP-objecten en een uitbuitbare gadget chain in verouderde componenten van Zend Framework.

Voor de waargenomen campagnes schatte NorForge het gemiddelde slagingspercentage op ongeveer 10%. Veel van de overige taken bereikten gedeeltelijk hun doel of verzamelden informatie die bij latere pogingen kon worden gebruikt. Bij AIA0001-taken die hun doel bereikten, bedroeg de gemiddelde tijd van de start van het project tot het behalen van het doel iets minder dan 23 uur. Daarbij werden gemiddeld 140 feiten per project verzameld, al duurde één project meer dan vijf dagen. Het bedrijf waarschuwde dat de cijfers een momentopname zijn, omdat modellen en harnesses zich zeer snel ontwikkelen.

Blootgelegde geheimen en pogingen om systemen offline te halen

Toen NorForge de geheimenscanner Trufflehog uitvoerde op gegevens van de blootgestelde Cairn-instanties, leverde dat letterlijk honderden geheimen van uiteenlopende aard op: van relatief onbeduidend tot uiterst ernstig. Daarvan bleek 11% geldig, meldde NorForge. De panelen leken bovendien volledig onbeveiligd en boden toegang tot wat de volledige beheerdersfunctionaliteit van het harness leek te zijn. Die omvatte bedieningselementen om projecten te starten en te stoppen, lopende operaties te verstoren, nieuwe gegevens in te voeren, agents naar andere doelwitten om te leiden en oude projecten opnieuw te starten. NorForge zei niet te hebben getest of deze bedieningselementen zonder toestemming werken.

In de conclusie stelde NorForge dat de aanvallers, in hun haast om snel resultaat te boeken, hun eigen operationele beveiliging in gevaar brengen en hun doelwitten aan een veel groter aanvalsoppervlak blootstellen dan bedoeld. Tegelijkertijd lopen legitieme redteams het risico geheimen van klanten te verzamelen en die op het openbare internet te publiceren. Het rapport sluit af met zes geanonimiseerde casestudy’s over een Australische e-commercesite, een compromittering van het kassasysteem van een restaurant, drie Amerikaanse detailhandelaren en een Japanse detailhandelaar. NorForge zei één van deze gevallen te hebben gevalideerd: een compromittering van een zeer grote Amerikaanse detailhandelaar waarbij de agent de ene cookie-instelling vond die bepaalde welke kwetsbare backendserver werd geselecteerd.

NorForge zei dat het met Reuters samenwerkt om slachtoffers te informeren die vermoedelijk zijn gecompromitteerd, en probeert de betreffende Cairn-panelen offline te laten halen. Dat laatste hangt volgens het bedrijf sterk af van de manier waarop hostingproviders op verwijderingsverzoeken reageren. Het bedrijf publiceerde geredigeerde indicatoren van compromittering voor de panelen en stagingservers en zei de ongeredigeerde lijst op verzoek te verstrekken aan bonafide beveiligingsonderzoekers.