NorForge beskriver over 20 eksponerte Cairn-paneler brukt i AI-drevne inntrengningsangrep

Sikkerhetsanalysefirmaet NorForge publiserte 19. oktober 2026 Innsiden av Cairn, en undersøkelse som identifiserte mer enn 20 offentlig eksponerte kontrollpaneler for AI-rammeverket Cairn for problemløsning, som sannsynligvis var knyttet til ondsinnet, økonomisk motivert inntrengningsaktivitet. De eksponerte panelene gir et detaljert innblikk i hvordan trusselaktører velger mål, gir autonome agenter oppgaver, utnytter sårbarheter og etablerer vedvarende tilgang til kompromitterte systemer, opplyste firmaet.

Rapporten er skrevet av Snorre Fagerland, en av NorForges grunnleggende forskere. NorForge er et ansatteid selskap grunnlagt i 2026, med et amerikansk morselskap med hovedkontor i Palo Alto og et europeisk driftsselskap. Fordi panelene røper identiteten til mål, uoppdagede svakheter, kontoinformasjon, API-nøkler og status for kompromittering, opplyste NorForge at de hadde sladdet innsamlede data grundig og holdt tilbake paneladressene til de kan tas ned. Firmaet la til at et betydelig antall tilsynelatende legitime operasjoner med røde team også var eksponert på samme måte, noe som potensielt kunne sette klientene deres i fare.

Slik ble panelene oppdaget

NorForge opplyste at søkene startet etter at Gambit Security rapporterte om en kriminell inntrengningskampanje mot nettbaserte markedsplasser i september 2026. Kampanjen brukte AI-rammeverk som Hermes, Strix og Cairn, verktøy der nettgrensesnittene ofte blir stående usikret på det åpne internettet. Raske søk i søkemotorene Shodan og Censys avdekket verter som kjørte det som så ut til å være AI-rammeverk, og ifølge NorForge viste Cairn seg å være blant plattformene som var dårligst ivaretatt. Videre skanninger viste at nye paneler raskt kom på nett, med informasjon om mål, språk og instruksjoner som knyttet mange av dem til de samme trusselaktørene.

I Gambit Securitys foreløpige rapport fra 22. september 2026 opplyste firmaet at en økonomisk motivert aktør brukte Strix til å søke etter sårbarheter, Cairn til autonom utnyttelse fra start til slutt og Hermes til orkestrering. Aktøren satte i gang 105 angrepsprosjekter bare mellom 10. og 15. september og kompromitterte minst 27 selskaper, i en aktivitet som strakte seg tilbake til juli 2026. Gambit rapporterte at mer enn 600 000 utløpsfrie kredittkortoppføringer var hentet fra to selskaper, at skript for kortskimming var bekreftet installert på 19 nettsteder, og at over 100 ytterligere infiserte nettsteder var oppdaget sammen med forskeren Varys. En kostnadsgjennomgang hos aktøren viste en gjennomsnittskostnad på 25,46 dollar for 101 fullførte skanninger.

Innsiden av Cairn-rammeverket

NorForge beskriver Cairn mindre som en autonom motor for penetrasjonstesting enn som en tilstandsbasert problemløsningsmotor. Hver oppgave er et prosjekt med et startpunkt kalt et utgangspunkt og et forhåndsdefinert sluttmål. Rammeverket går videre i sykluser med fakta (oppdagelser agenten har gjort) og intensjoner (hva den har bestemt seg for å gjøre videre), som alle legges ut på en intern prosjekttavle som menneskelige operatører også kan fylle med tips. En illustrert prosjektgraf rettet mot en stor amerikansk nettforhandler gikk fra utgangspunkt til mål og endte i tilstanden rammeverket registrerer som «målet nådd»: et webskall injisert på nettstedet. En innfanget operatøroppgave på et annet åpent panel avdekket hemmeligheter, blant annet det NorForge beskrev som root-tilgang til angriperens eget datalager.

Tre aktivitetsklynger

Den største klyngen, med betegnelsen AIA0001, bruker kinesisk og omfatter 14 paneler som er driftet via AS56594, Cgi Global Limited. NorForge vurderer med høy grad av sikkerhet at den er ondsinnet. Klyngen inneholder mer enn 1 100 angrepsprosjekter, noe som gjør den til den klart mest aktive eksponerte aktøren firmaet fant. NorForge rapporterte at den retter seg mot organisasjoner, hovedsakelig i USA, Japan og Australia, tilsynelatende for å skaffe seg vedvarende tilgang til netthandel og betalingsinfrastruktur for senere økonomisk vinning. Ifølge firmaet så aktiviteten på tvers av alle de eksponerte panelene ut til å være økonomisk motivert, uten tydelige tegn på statssponset inntrengningsaktivitet.

En typisk automatisert AIA0001-oppgave, oversatt av NorForge, lister opp bekreftede reelle shoppingnettsteder i fire land (USA, Canada, Japan og Australia) med trafikk på mellom 200 000 og 1,5 millioner. Nettstedene er forhåndsvalidert med Microsofts nettleserautomatiseringsrammeverk Playwright for å bekrefte at bestillinger kan legges inn. Det oppgitte målet er å finne uautentisert ekstern kjøring av kode, med prioriterte angrepsvektorer som SQL-injeksjon ved innlogging, uautentiserte endepunkter, filopplastinger, deserialisering, omgåelse av autentisering og kontoovertakelse. Oppgaven leverer en opplastingsnyttelast med et skall, ikke et webskall som kan kjøre kommandoer. NorForge opplyste at datainnsamlingskjeden baserer seg på omfattende automatisering, blant annet en delt, feilbehengt domenenormalisator som fjerner én w for mye fra www-prefikset, slik at wholesale blir til holesale. Dette gjorde det enkelt å oppdage relaterte paneler.

I et kort tidsrom da én AIA0001-vert åpnet en webserver på et høyt portnummer for testing utenfor det ordinære testløpet, undersøkte NorForge arbeidskatalogen til en agent og kartla verktøy som Playwright og Chromium, PHPGGC-payloads for gadgetkjeder, et proof of concept og et Docker-basert valideringsmiljø for StyleSmuggler-sårbarheten i Magento, som spores under CVE-2026-75650, OWASP Amass, dnsrecon, webfuzzeren ffuf, Nmap og passordlisten rockyou. En oppdatering av en agentoppgave tydet på at Kali-containeroppsettet var gjenbrukt fra et rammeverk for en Tencent tsec-konkurranse i penetrasjonstesting. NorForge sa at dette nesten helt sikkert skyldes kriminelle som gjenbruker eksisterende verktøy, og at det ikke er noen grunn til å tro at Tencent hadde noe med operasjonen å gjøre. Alle observerte AIA0001-oppgaver ble utført av en arbeider med navnet claudecode_deepseek-v4.1-flash. Ifølge selskapet kan dette bety at et Claude Code-oppsett kjørte den kinesiske modellen DeepSeek 4.1 Flash, som ble lansert i september 2026.

Uten faktiske data om tokenbruk anslo NorForge at en AIA0001-oppgave i gjennomsnitt kostet rundt 5 dollar, også når mislykkede prosjekter ble avsluttet tidlig. Prosjekter med mer enn 1 000 intensjoner og fakta kunne koste over 100 dollar. Selskapet understreket at det er betydelig usikkerhet knyttet til tallene, og at de kan avvike klart fra de faktiske kostnadene. Likevel konkluderte det med at operasjonene er relativt billige.

En annen klynge, AIA0002, bruker engelsk på tvers av 10 paneler som er driftet via AS20473, The Constant Company, i de fleste tilfellene på Vultr VPS-instanser. Klyngen vurderes med høy grad av sikkerhet som ondsinnet, men det er større usikkerhet rundt enkelte panelkoblinger, og mange av panelene har gått offline siden etterforskningen begynte. Operatørene snakker åpent om å stjele kredittkort og kryptovaluta og laste opp stjålne data til verter de selv kontrollerer. I oppgavebeskrivelsene viser de SSH-pålogginger til interne staging-verter, og gir ofte ingen tekniske startinstruksjoner utover direktiver som «hent kredittkort» eller «hent krypto». Prosjektoppføringer viser arbeidere med navnene pi_openrouter_deepseek, noe som tyder på at de bruker Pi-rammeverket for kodeagenter med DeepSeek-modeller via OpenRouter, en tredjeparts API-gateway for modeller. Målene er hovedsakelig betalingstjenester for forhandlere, betalingsnettsteder i gråmarkedet og farmasøytiske nettsteder, blant dem et tydelig kriminelt kortsvindelnettsted. Flere afrikanske handelsnettsteder kan tyde på at aktøren holder til på dette kontinentet, rapporterte NorForge. Aktøren bruker også Cairn som en allsidig tjenestemotor, for eksempel til å flytte midler mellom kryptolommebøker.

En tredje klynge, AIA0003, har ett enkelt panel med en oversikt over 59 prosjekter. Panelet er driftet på AS200019, AlexHost, og bruker bare engelsk. Målene omfatter både mindre netthandelsnettsteder og svært store amerikanske kommersielle plattformer. Prosjektene hevder først å være autoriserte sikkerhetstester, før de gradvis blir mer eksplisitte om å skaffe seg tilgang til et skall, et administrasjonspanel eller en database. NorForge vurderer med lav grad av sikkerhet at aktøren er ondsinnet, og beskriver den som mer utforskende.

Bekreftede kompromitteringer og suksessrater

NorForge bekreftet én påstått inntrenging ved å hente URL-en til et skall som var registrert i en fullført oppgave rettet mot en stor leverandør av maskinvaredeler. URL-en viste seg å føre til et aktivt webshell for opplasting. Ifølge agentens egen forklaring ble inntrengingen muliggjort av uautorisert skrivetilgang til et memcached-øktlager, kombinert med usikker deserialisering av PHP-objekter og en utnyttbar gadgetkjede i eldre komponenter fra Zend Framework.

På tvers av kampanjene som ble observert, anslo NorForge en gjennomsnittlig suksessrate på rundt 10 %. Mange av de øvrige oppgavene nådde delmål eller samlet informasjon som kunne brukes i senere forsøk. For AIA0001-oppgaver som nådde målene sine, var gjennomsnittstiden fra prosjektstart til målet var nådd litt under 23 timer. Hvert prosjekt genererte i gjennomsnitt 140 fakta, selv om ett prosjekt pågikk i mer enn fem dager. Selskapet påpekte at tallene bare er et øyeblikksbilde, siden modeller og kjøreoppsett utvikler seg svært raskt.

Eksponerte hemmeligheter og forsøk på nedstenging

Da hemmelighetsskanneren Trufflehog ble kjørt på data fra de eksponerte Cairn-instansene, fant den bokstavelig talt hundrevis av hemmeligheter av ulike typer, fra relativt trivielle til svært alvorlige. NorForge rapporterte at 11 % av dem ble bekreftet gyldige. Panelene så også ut til å være helt ubeskyttet og eksponerte det som virket å være hele den administrative funksjonaliteten i agentrammeverket. Dette omfattet kontroller for å starte og stoppe prosjekter, gripe inn i pågående operasjoner, sette inn nye data, dirigere agenter mot andre mål og starte gamle prosjekter på nytt. NorForge sa at selskapet ikke testet om kontrollene fungerer uten autorisasjon.

I konklusjonen sa NorForge at angriperne setter sin egen operasjonelle sikkerhet i fare i jakten på raske resultater og utsetter målene sine for en langt større angrepsflate enn tilsiktet. Samtidig risikerer legitime red teams å samle inn klienthemmeligheter og publisere dem på det åpne internett. Rapporten avsluttes med seks anonymiserte casestudier som omfatter et australsk netthandelsnettsted, et restaurantnettsted der kassasystemet ble kompromittert, tre amerikanske forhandlere og en japansk forhandler. NorForge sa at selskapet bekreftet ett av tilfellene: en kompromittering av en svært stor amerikansk forhandler der agenten fant den ene informasjonskapselinnstillingen som valgte en sårbar backend-server.

NorForge opplyste at selskapet samarbeider med Reuters om å varsle ofre som ser ut til å ha blitt kompromittert, og forsøker å få de aktuelle Cairn-panelene tatt ned. Ifølge selskapet avhenger dette i stor grad av hvordan vertstjenesteleverandørene svarer på forespørsler om fjerning. Selskapet publiserte sladdede indikatorer på kompromittering for panelene og staging-serverne, og opplyste at det på forespørsel vil gi den usladdede listen til seriøse sikkerhetsforskere.