NorForge opisuje ponad 20 ujawnionych paneli Cairn wykorzystywanych w atakach z użyciem AI

19 października 2026 r. firma badawcza zajmująca się cyberbezpieczeństwem NorForge opublikowała raport Cairn od środka, w którym zidentyfikowała ponad 20 publicznie dostępnych paneli sterujących platformy Cairn do rozwiązywania problemów z użyciem AI. Panele te prawdopodobnie wiążą się ze złośliwą działalnością przestępczą motywowaną finansowo. Jak podała firma, ujawnione panele pokazują szczegółowo, w jaki sposób cyberprzestępcy wybierają cele, zlecają zadania autonomicznym agentom, wykorzystują luki w zabezpieczeniach i zapewniają sobie trwały dostęp do zainfekowanych systemów.

Raport napisał Snorre Fagerland, jeden z pierwszych badaczy w NorForge — założonej w 2026 r. spółce należącej do pracowników, której amerykańska spółka dominująca ma siedzibę w Palo Alto, a europejska spółka zależna prowadzi działalność operacyjną. Ponieważ panele ujawniają tożsamość celów, wykryte luki w zabezpieczeniach, dane logowania do kont, klucze API i informacje o stanie naruszenia bezpieczeństwa, NorForge poinformowała o szeroko zakrojonym ocenzurowaniu pozyskanych danych i o tym, że wstrzymuje publikację adresów paneli do czasu ich wyłączenia. Firma dodała, że w ten sam sposób ujawniono również znaczną liczbę operacji red teamów, które wydawały się legalne, co może narażać ich klientów na ryzyko.

Jak odkryto panele

NorForge podała, że rozpoczęła poszukiwania po tym, jak we wrześniu 2026 r. Gambit Security opisała kampanię przestępczych włamań wymierzonych w internetowe platformy handlowe, w której wykorzystywano platformy agentowe AI, takie jak Hermes, Strix i Cairn. Ich interfejsy internetowe często pozostają niezabezpieczone w otwartym internecie. Szybkie wyszukiwanie w wyszukiwarkach Shodan i Censys ujawniło hosty obsługujące rozwiązania wyglądające na platformy agentowe AI, a Cairn okazał się, jak podała NorForge, jedną z najbardziej zaniedbanych platform. Dalsze skanowanie wykazało, że w krótkim czasie pojawiały się nowe panele, a informacje o celach, język i instrukcje wskazywały, że wiele z nich wiązało się z tymi samymi cyberprzestępcami.

W wstępnym raporcie z 22 września 2026 r. Gambit Security podała, że motywowany finansowo operator wykorzystywał Strix do wyszukiwania luk w zabezpieczeniach, Cairn do autonomicznego przeprowadzania ataków od początku do końca, a Hermes do ich koordynowania. Tylko między 10 a 15 września uruchomił 105 projektów ataków i naruszył bezpieczeństwo co najmniej 27 firm; jego działalność sięgała lipca 2026 r. Gambit poinformowała o kradzieży ponad 600 000 niewygasłych danych kart płatniczych z dwóch firm, skryptach do skimmingu kart, których obecność potwierdzono na 19 stronach, oraz wykryciu wraz z badaczem Varysem ponad 100 kolejnych zainfekowanych witryn. Z przeglądu kosztów operatora wynikało, że średni koszt 101 ukończonych skanowań wyniósł 25,46 USD.

Jak działa platforma Cairn

NorForge opisuje Cairn nie tyle jako autonomiczne narzędzie do testów penetracyjnych, ile jako platformę do rozwiązywania problemów opartą na stanach. Każde zadanie jest projektem z punktem początkowym zwanym początkiem oraz z góry określonym celem końcowym. Platforma działa w cyklach, w których gromadzi fakty (odkrycia dokonane przez agenta) i zamiary (to, co agent postanowił zrobić dalej), publikowane na tablicy projektu, do której wskazówki mogą dodawać również operatorzy. Przykładowy graf projektu, którego celem był duży amerykański sklep internetowy, prowadził od punktu początkowego do celu i kończył się stanem, który platforma odnotowuje jako osiągnięcie celu: wstrzyknięciem powłoki webowej do witryny. Z przechwyconego zadania operatora w innym otwartym panelu wyciekły tajne dane, w tym — jak opisała to NorForge — dostęp na poziomie roota do własnego zrzutu danych napastnika.

Trzy klastry aktywności

Największy klaster, oznaczony jako AIA0001, używa języka chińskiego i obejmuje 14 paneli hostowanych za pośrednictwem AS56594, Cgi Global Limited; NorForge z dużą pewnością ocenia go jako złośliwy. Zawiera ponad 1100 projektów ataków, co czyni go zdecydowanie najaktywniejszym ujawnionym przez firmę podmiotem. Jak podała NorForge, ataki wymierzono głównie w organizacje w USA, Japonii i Australii, a ich prawdopodobnym celem było uzyskanie trwałego dostępu do infrastruktury handlu elektronicznego i płatności, by później czerpać z niej zyski. Zdaniem firmy aktywność we wszystkich ujawnionych panelach miała motywację finansową i nie nosiła wyraźnych oznak ataków sponsorowanych przez państwa.

Typowe zautomatyzowane zadanie AIA0001, przetłumaczone przez NorForge, wymienia potwierdzone, działające sklepy internetowe w czterech krajach (USA, Kanadzie, Japonii i Australii), o ruchu od 200 000 do 1,5 miliona; ich działanie sprawdzono wcześniej za pomocą Playwright, platformy Microsoft do automatyzacji przeglądarek, by potwierdzić możliwość składania zamówień. Podany cel to znalezienie możliwości zdalnego wykonania kodu bez uwierzytelnienia. Wśród priorytetów wymieniono wstrzyknięcia SQL na stronach logowania, nieuwierzytelnione punkty końcowe, przesyłanie plików, deserializację, omijanie uwierzytelniania i przejmowanie kont. Zamiast powłoki webowej wykonującej polecenia zadanie miało dostarczyć ładunek powłoki umożliwiającej przesyłanie plików. NorForge poinformowała, że proces pozyskiwania celów opiera się na szeroko zakrojonej automatyzacji, w tym na współdzielonym, pełnym błędów narzędziu do normalizacji domen, które usuwa o jedną literę w za dużo z prefiksu www, zmieniając wholesale w holesale. Dzięki temu powiązane panele można było łatwo rozpoznać.

W krótkim okresie, gdy jeden z hostów AIA0001 uruchomił serwer WWW na wysokim porcie do testów pozapasmowych, NorForge przeglądała katalog roboczy agenta i zinwentaryzowała dostępne narzędzia, w tym Playwright i Chromium, ładunki wykorzystujące łańcuchy gadżetów PHPGGC, weryfikację koncepcji oraz laboratorium walidacyjne oparte na Dockerze, dotyczące luki StyleSmuggler w Magento, śledzonej pod identyfikatorem CVE-2026-75650, a także OWASP Amass, dnsrecon, fuzzera sieciowego ffuf, Nmap i listę haseł rockyou. Aktualizacja zadania agenta wskazywała, że konfigurację kontenera Kali zaadaptowano z frameworka konkursowego Tencent tsec do testów penetracyjnych; NorForge stwierdziła, że niemal na pewno chodzi o przestępców ponownie wykorzystujących istniejące narzędzia, i że nie ma powodu sądzić, iż Tencent miał jakikolwiek związek z tą operacją. Wszystkie zaobserwowane zadania AIA0001 wykonywał pracownik o nazwie claudecode_deepseek-v4.1-flash. Według firmy może to oznaczać, że środowisko Claude Code uruchamia chiński model DeepSeek 4.1 Flash, wydany we wrześniu 2026 roku.

Nie dysponując rzeczywistymi danymi o zużyciu tokenów, NorForge oszacowała średni koszt zadania AIA0001 na około 5 USD, uwzględniając także nieudane projekty, które szybko się kończą. Projekty obejmujące ponad 1000 intencji i faktów mogły kosztować więcej niż 100 USD. Firma podkreśliła, że szacunki te są obarczone znaczną niepewnością i mogą być wyraźnie niedokładne, zaznaczając jednocześnie, że mimo to operacje są stosunkowo tanie.

Druga grupa, AIA0002, korzysta z języka angielskiego we wszystkich 10 panelach hostowanych za pośrednictwem AS20473, należącego do The Constant Company; w większości przypadków są to instancje VPS Vultr. Z wysoką pewnością uznano ją za złośliwą, choć niektóre powiązania między panelami są mniej pewne, a wiele z nich przestało działać od początku dochodzenia. Operatorzy otwarcie rozmawiają o kradzieży kart kredytowych i kryptowalut oraz przesyłaniu skradzionych danych na hosty pozostające pod ich kontrolą. W przydzielanych zadaniach ujawniają dane logowania SSH do zaplecza hostów etapowych i często nie podają żadnych technicznych instrukcji początkowych poza poleceniami takimi jak „zdobądź dane kart kredytowych” lub „zdobądź kryptowaluty”. Z zapisów projektów wynika, że pracownicy używali nazw pi_openrouter_deepseek, co sugeruje wykorzystanie frameworka agenta programistycznego Pi i modeli DeepSeek za pośrednictwem OpenRouter, zewnętrznej bramki API do modeli. Jak podała NorForge, celem ataków są przede wszystkim usługi płatności dla sprzedawców, serwisy płatnicze działające na szarej strefie oraz strony farmaceutyczne, w tym jawnie przestępczy serwis służący do nielegalnego handlu danymi kart. Kilka afrykańskich serwisów handlowych sugeruje, że sprawca może mieć siedzibę na tym kontynencie. Sprawca używa też Cairn jako uniwersalnego silnika usług, na przykład do przesyłania środków między portfelami kryptowalutowymi.

Trzecia grupa, AIA0003, udostępnia jeden panel zawierający wykaz 59 projektów, hostowany w sieci AS200019 należącej do AlexHost i korzystający wyłącznie z języka angielskiego. Cele obejmują zarówno mniejsze serwisy e-commerce, jak i bardzo duże amerykańskie platformy komercyjne. Projekty początkowo przedstawiają się jako autoryzowane testy, lecz stopniowo coraz wyraźniej wskazują na zamiar uzyskania dostępu do powłoki systemowej, panelu administracyjnego lub bazy danych. NorForge ocenia z niską pewnością, że sprawca działa złośliwie, i opisuje jego aktywność jako bardziej eksploracyjną.

Potwierdzone włamania i skuteczność

NorForge potwierdziła jedno deklarowane włamanie, pobierając adres URL powłoki zapisany w zakończonym zadaniu wymierzonym w dużego dostawcę części komputerowych. Pod tym adresem działał aktywny webshell do przesyłania plików. Z wyjaśnień samego agenta wynika, że włamanie umożliwił nieautoryzowany dostęp z prawem zapisu do magazynu sesji memcached, w połączeniu z niebezpieczną deserializacją obiektów PHP i możliwym do wykorzystania łańcuchem gadżetów w starszych komponentach Zend Framework.

W przypadku zaobserwowanych kampanii NorForge oszacowała średnią skuteczność na około 10%. Wiele pozostałych zadań przynosiło częściowe rezultaty lub pozwalało zebrać informacje przydatne podczas kolejnych prób. W zadaniach AIA0001, które osiągnęły wyznaczone cele, od rozpoczęcia projektu do ich realizacji upływało średnio niecałe 23 godziny, a na projekt przypadało średnio 140 faktów, choć jeden projekt trwał ponad pięć dni. Firma zastrzegła, że dane te stanowią jedynie obraz sytuacji w danym momencie, ponieważ modele i środowiska wykonawcze rozwijają się bardzo szybko.

Ujawnione dane dostępowe i próby wyłączenia paneli

Jak podała NorForge, uruchomienie skanera sekretów Trufflehog na danych z ujawnionych instancji Cairn zwróciło dosłownie setki sekretów różnego rodzaju — od stosunkowo błahych po niezwykle poważne — a 11% z nich potwierdzono jako prawidłowe. Panele wydawały się również całkowicie niezabezpieczone, ujawniając pełen zakres funkcji administracyjnych środowiska wykonawczego, w tym narzędzia do uruchamiania i zatrzymywania projektów, ingerowania w trwające operacje, wprowadzania nowych danych, przekierowywania agentów do innych celów oraz ponownego uruchamiania starych projektów. NorForge zaznaczyła, że nie sprawdzała, czy można korzystać z tych narzędzi bez autoryzacji.

W podsumowaniu NorForge stwierdziła, że w pogoni za szybkimi rezultatami atakujący narażają własne bezpieczeństwo operacyjne, a cele ich działań — na znacznie większą powierzchnię ataku, niż zakładano. Legalne zespoły red team ryzykują natomiast pozyskanie tajemnic klientów i opublikowanie ich w publicznym internecie. Raport kończy się sześcioma opisami przypadków, w których zanonimizowano część danych: dotyczą one australijskiego serwisu e-commerce, włamania do systemu sprzedaży w restauracji, trzech amerykańskich sprzedawców detalicznych oraz japońskiego sprzedawcy detalicznego. NorForge poinformowała, że potwierdziła jeden z tych przypadków — włamanie do bardzo dużego amerykańskiego sprzedawcy detalicznego, w którym agent znalazł pojedyncze ustawienie pliku cookie wskazujące podatny serwer zaplecza.

NorForge poinformowało, że współpracuje z agencją Reuters przy powiadamianiu ofiar, które najwyraźniej padły ofiarą włamania, oraz podejmuje próby wyłączenia szkodliwych paneli Cairn. Jak podała firma, powodzenie tych działań zależy w dużej mierze od reakcji dostawców usług hostingowych na wnioski o usunięcie treści. Firma opublikowała zredagowane wskaźniki kompromitacji dotyczące paneli i serwerów przejściowych oraz poinformowała, że na wniosek przekaże pełną, niezredagowaną listę wiarygodnym badaczom bezpieczeństwa.