NorForge redogör för över 20 exponerade Cairn-paneler som används vid AI-drivna intrång

Säkerhetsanalysföretaget NorForge publicerade den 19 oktober 2026 Inblick i Cairn, en undersökning som identifierade fler än 20 offentligt exponerade kontrollpaneler för AI-ramverket Cairn, som används för problemlösning, och som sannolikt är kopplade till skadlig intrångsverksamhet med ekonomiska motiv. Panelerna ger en detaljerad bild av hur hotaktörer väljer mål, ger autonoma agenter uppgifter, utnyttjar sårbarheter och skaffar sig beständig åtkomst till komprometterade system, uppgav företaget.

Rapporten skrevs av Snorre Fagerland, en av NorForges grundande forskare. NorForge är ett personalägt företag som grundades 2026 och har ett amerikanskt moderbolag med huvudkontor i Palo Alto samt ett europeiskt verksamhetsdrivande dotterbolag. Eftersom panelerna avslöjar målets identitet, oupptäckta svagheter, kontouppgifter, API-nycklar och komprometteringsstatus uppgav NorForge att företaget har maskerat extraherade data i stor omfattning och håller inne panelernas adresser tills de kan tas ner. Företaget tillade att man också hade upptäckt ett betydande antal till synes legitima red team-operationer som exponerats på samma sätt, vilket potentiellt utsätter deras kunder för risk.

Så upptäcktes panelerna

NorForge uppgav att sökningarna inleddes efter att Gambit Security i september 2026 rapporterat om en kriminell intrångskampanj riktad mot marknadsplatser på nätet. I kampanjen användes AI-ramverk som Hermes, Strix och Cairn, verktyg vars webbgränssnitt ofta lämnas oskyddade på det öppna internet. Snabba sökningar i sökmotorerna Shodan och Censys avslöjade värdar som körde vad som såg ut att vara AI-ramverk, och enligt NorForge visade sig Cairn vara en av de mest eftersatta plattformarna. Fortsatta skanningar visade att nya paneler snabbt togs i bruk, med information om mål, språk och instruktioner som knöt många av dem till samma hotaktörer.

I Gambit Securitys delrapport från den 22 september 2026 uppgav företaget att en aktör med ekonomiska motiv använde Strix för att söka efter sårbarheter, Cairn för autonom exploatering från början till slut och Hermes för orkestrering. Aktören startade 105 attackprojekt bara mellan den 10 och 15 september och komprometterade minst 27 företag. Verksamheten hade pågått sedan juli 2026. Gambit rapporterade att över 600 000 giltiga kreditkortsuppgifter hade stulits från två företag, att kortskumningsskript bekräftats på plats på 19 webbplatser och att ytterligare över 100 infekterade webbplatser hade upptäckts tillsammans med forskaren Varys. Företaget redovisade också en kostnadsgenomgång för aktören, med ett genomsnitt på 25,46 dollar för 101 slutförda skanningar.

Inblick i Cairn-ramverket

NorForge beskriver Cairn mindre som en autonom motor för penetrationstester och mer som en tillståndsbaserad problemlösningsmotor. Varje uppgift är ett projekt med en startpunkt som kallas ursprung och ett fördefinierat slutmål. Ramverket arbetar i cykler med fakta (upptäckter som agenten har gjort) och avsikter (vad den har beslutat att göra härnäst), vilka alla läggs upp på en projektspecifik anslagstavla där mänskliga operatörer också kan lägga in ledtrådar. En illustrerad projektgraf, riktad mot en stor amerikansk återförsäljare på nätet, gick från ursprung till mål och slutade i det tillstånd som ramverket registrerar som att målet har uppnåtts: ett webbshell hade injicerats på webbplatsen. En inspelad operatörsuppgift från en annan öppen panel avslöjade hemligheter, däribland vad NorForge beskrev som root-åtkomst till angriparens egen datalagring.

Tre aktivitetskluster

Det största klustret, med beteckningen AIA0001, använder kinesiska och omfattar 14 paneler som drivs via AS56594, Cgi Global Limited. NorForge bedömer med hög säkerhet att klustret är skadligt. Det omfattar över 1 100 attackprojekt, vilket gör det till den i särklass mest aktiva exponerade aktör som företaget hittade. Enligt NorForge riktar det in sig främst på organisationer i USA, Japan och Australien, med det uppenbara syftet att skaffa beständig åtkomst till e-handels- och betalningsinfrastruktur för att senare tjäna pengar på den. Företaget uppgav att verksamheten vid samtliga exponerade paneler verkade ha ekonomiska motiv, utan några tydliga tecken på statligt sponsrad intrångsverksamhet.

En typisk automatiserad AIA0001-uppgift, översatt av NorForge, listar bekräftade, verkliga shoppingwebbplatser i fyra länder (USA, Kanada, Japan och Australien) med en trafik på mellan 200 000 och 1,5 miljoner. Webbplatserna hade förhandsvaliderats med Microsofts ramverk för webbläsarautomatisering, Playwright, för att bekräfta att beställningar kunde läggas. Det angivna målet är att hitta fjärrkodskörning utan autentisering. Prioriterade angreppssätt är SQL-injektion vid inloggning, slutpunkter utan autentisering, filuppladdningar, deserialisering, kringgående av autentisering och kontoövertagande. Som resultat ska en uppladdarskalspayload levereras i stället för ett webbshell som kan köra kommandon. NorForge uppgav att den pipeline som förser systemen med mål bygger på omfattande automatisering, däribland en gemensam, buggig domännormaliserare som tar bort en bokstav w för mycket från prefixet www och förvandlar wholesale till holesale. Det gjorde det lätt att upptäcka paneler med koppling till varandra.

Under en kort period då en AIA0001-värd öppnade en webbserver på en port med högt portnummer för tester via en separat kanal bläddrade NorForge igenom en agentarbetares katalog och inventerade verktyg, däribland Playwright och Chromium, nyttolaster med gadgetkedjor från PHPGGC, ett proof of concept och ett Docker-baserat valideringslabb för StyleSmuggler-sårbarheten i Magento, som spåras som CVE-2026-75650, OWASP Amass, dnsrecon, webbtestverktyget ffuf, Nmap och lösenordslistan rockyou. En uppdatering av en agentuppgift visade att Kali-containerkonfigurationen hade anpassats från ett ramverk för penetrationstesttävlingar från Tencent tsec. NorForge sade att det nästan säkert handlar om att kriminella återanvänder befintliga verktyg och att det inte finns någon anledning att tro att Tencent hade något med verksamheten att göra. Alla observerade AIA0001-uppgifter utfördes av en arbetare med namnet claudecode_deepseek-v4.1-flash, vilket enligt företaget kan betyda att en Claude Code-harness kör den kinesiska modellen DeepSeek 4.1 Flash, som släpptes i september 2026.

Utan faktiska uppgifter om tokenanvändningen uppskattade NorForge den genomsnittliga kostnaden för en AIA0001-uppgift till omkring 5 dollar, inklusive misslyckade projekt som avslutas i förtid, medan projekt med fler än 1 000 avsikter och fakta kan kosta mer än 100 dollar. Företaget betonade att osäkerheten i dessa uppskattningar är betydande och att siffrorna kan vara rejält felaktiga, men konstaterade samtidigt att verksamheten ändå är relativt billig.

En andra klunga, AIA0002, använder engelska i 10 paneler som hostas via AS20473, The Constant Company, och i de flesta fall körs på Vultr-VPS-instanser. Den bedöms med hög säkerhet vara skadlig, även om kopplingen till vissa paneler är mindre säker och många har slocknat sedan undersökningen inleddes. Operatörerna diskuterar öppet att stjäla kreditkortsuppgifter och kryptovalutor och ladda upp stulen data till värdar som de kontrollerar. I sina uppgiftsbeskrivningar exponerar de SSH-inloggningar till backendens stagingvärdar och ger ofta inga tekniska instruktioner om hur arbetet ska påbörjas, utöver uppmaningar som ”hämta kreditkortsuppgifter” eller ”hämta krypto”. Projektrekord visar arbetare med namnet pi_openrouter_deepseek, vilket tyder på att kodningsagentramverket Pi används tillsammans med DeepSeek-modeller via OpenRouter, en tredjepartsförmedlare för modell-API:er. Måltavlorna är främst betaltjänster för handlare, betalningssajter på grå marknaden och läkemedelssajter, däribland en uppenbart kriminell carding-sajt. Flera afrikanska handelssajter antyder att aktören kan vara baserad på den kontinenten, rapporterade NorForge. Aktören använder också Cairn som en motor för allmänna tjänster, till exempel för att flytta pengar mellan kryptoplånböcker.

En tredje klunga, AIA0003, exponerar en enda panel med 59 projekt. Den hostas hos AS200019, AlexHost, och använder enbart engelska. Måltavlorna omfattar både mindre e-handelssajter och mycket stora kommersiella plattformar i USA. Projekten inleds med påståenden om att det rör sig om godkända säkerhetsbedömningar, men blir gradvis tydligare med att målet är att få åtkomst till ett skal, en administratörspanel eller en databas. NorForge bedömer med låg säkerhet att aktören är skadlig och beskriver den som mer utforskande.

Verifierade intrång och framgångsgrader

NorForge verifierade ett påstått intrång genom att hämta den skal-URL som hade registrerats i en slutförd uppgift mot en stor leverantör av hårdvarukomponenter. URL:en ledde till ett aktivt webbskal med uppladdningsfunktion. Enligt agentens egen förklaring möjliggjordes intrånget av obehörig skrivåtkomst till ett Memcached-sessionslager, i kombination med osäker deserialisering av PHP-objekt och en exploaterbar gadgetkedja i äldre komponenter från Zend Framework.

För de observerade kampanjerna uppskattade NorForge den genomsnittliga framgångsgraden till omkring 10 procent. Många av de övriga uppgifterna uppnådde delmål eller samlade in information som kunde användas vid senare försök. För AIA0001-uppgifter som nådde sina mål var den genomsnittliga tiden från projektstart till uppnått mål strax under 23 timmar. Varje projekt genererade i genomsnitt 140 fakta, även om ett projekt pågick i mer än fem dagar. Företaget påpekade att siffrorna är en ögonblicksbild, eftersom modeller och harnessar utvecklas mycket snabbt.

Exponerade hemligheter och insatser för att få dem nedtagna

När hemlighetsskannern Trufflehog kördes på data från de exponerade Cairn-instanserna hittade den bokstavligen hundratals hemligheter av olika slag, från relativt harmlösa till extremt allvarliga. NorForge rapporterade att 11 procent verifierades som giltiga. Panelerna verkade också vara helt oskyddade och exponerade vad som såg ut att vara harnessens fullständiga administrativa funktioner, däribland kontroller för att starta och stoppa projekt, ingripa i pågående verksamhet, lägga till nya data, styra om agenter till andra måltavlor och starta om gamla projekt. NorForge sade att företaget inte testade om dessa kontroller fungerade utan behörighet.

I sin slutsats sade NorForge att angriparna äventyrar sin egen operativa säkerhet i jakten på snabba resultat och utsätter sina måltavlor för en betydligt större angreppsyta än avsett, samtidigt som legitima red team riskerar att samla in kundhemligheter och publicera dem på det öppna internet. Rapporten avslutas med sex anonymiserade fallstudier som omfattar en australisk e-handelssajt, ett intrång i en restaurangs kassasystem, tre amerikanska återförsäljare och en japansk återförsäljare. NorForge sade sig ha validerat ett av fallen: ett intrång hos en mycket stor amerikansk återförsäljare där agenten hittade den enda cookieinställning som valde en sårbar backendserver.

NorForge uppgav att företaget samarbetar med Reuters för att underrätta offer som verkar ha utsatts för intrång och försöker få de aktuella Cairn-panelerna nedstängda. Enligt företaget beror detta till stor del på hur webbhotellen reagerar på begäranden om nedstängning. Företaget publicerade avidentifierade indikatorer på intrång för panelerna och stagingservrarna och uppgav att det på begäran lämnar ut den oredigerade listan till seriösa säkerhetsforskare.