NorForge详述20多个被用于AI驱动入侵活动的暴露Cairn面板

安全研究公司NorForge于2026年10月19日发布了深入了解Cairn，这项调查发现，20多个公开暴露的Cairn AI问题求解框架控制面板很可能与出于经济动机的恶意入侵活动有关。该公司表示，这些暴露的面板详细展现了威胁行为者如何选择目标、指派自主智能体执行任务、利用漏洞，以及在遭入侵的系统中建立持久访问权限。

这份报告由Snorre Fagerland撰写，他是NorForge的创始研究员。NorForge是一家员工持股公司，成立于2026年，其美国母公司总部位于帕洛阿尔托，并在欧洲设有运营子公司。由于这些面板泄露了目标身份、已发现的弱点、账户机密、API密钥和系统遭入侵的状态，NorForge表示，已对提取的数据进行严格删减，并将在面板地址被下线前暂不公开。该公司还补充说，他们也发现相当多看似合法的红队行动以同样的方式暴露在外，可能使相关客户面临风险。

这些面板是如何被发现的

NorForge表示，该公司开始搜索，是因为Gambit Security于2026年9月报告了一起针对在线市场的犯罪入侵活动。该活动使用了包括Hermes、Strix和Cairn在内的AI框架，而这类工具的网页界面往往未经保护，暴露在开放互联网中。NorForge在Shodan和Censys搜索引擎上进行快速搜索后，发现了一些运行着疑似AI框架的主机；该公司称，Cairn是其中防护最薄弱的平台之一。后续扫描显示，新的面板很快接连上线，其中许多面板的目标信息、语言和指令都表明，它们与同一批威胁行为者有关。

在Gambit Security的2026年9月22日中期报告中，该公司称，一名以经济利益为目的的操作者使用Strix搜索漏洞、使用Cairn进行自主端到端漏洞利用，并使用Hermes进行编排；仅在9月10日至15日期间，就发起了105个攻击项目，至少攻陷27家公司，而相关活动可追溯至2026年7月。Gambit报告称，该行动从两家公司窃取了超过60万条尚未过期的信用卡记录；研究人员Varys还发现，19个网站上已确认植入盗刷脚本，另有100多个网站受到感染。操作者对成本进行审查后发现，在101次已完成的扫描中，平均成本为25.46美元。

深入了解Cairn框架

NorForge认为，与其说Cairn是一个自主渗透测试引擎，不如说它是一个基于状态的问题求解引擎。每项任务都是一个项目，有一个称为起点的初始状态和一个预先设定的最终目标；框架以循环方式推进，包括事实（智能体已作出的发现）和意图（智能体决定接下来要做什么），所有内容都会发布到项目内部的黑板上，人类操作者也可以在上面提供提示。一个示例项目图以一家美国大型在线零售商为目标，从起点推进到目标，最终到达框架记录为“目标已达成”的状态：网站中注入了一个Webshell。另一个开放面板上捕获到的操作者任务暴露了机密信息，其中包括NorForge所称的、对攻击者自己数据投放区的root访问权限。

三类活动集群

规模最大的集群编号为AIA0001，使用中文，涉及通过AS56594托管的14个面板；AS56594属于Cgi Global Limited。NorForge高度确信该集群具有恶意性质。该集群包含超过1,100个攻击项目，是该公司发现的活跃度远高于其他对象的暴露行为者；NorForge报告称，其目标主要是美国、日本和澳大利亚的机构，显然意在获取对电子商务和支付基础设施的持久访问权限，以便日后变现。该公司表示，所有暴露面板上的活动似乎都出于经济动机，没有明显的国家支持型入侵活动。

NorForge翻译的一项典型AIA0001自动化任务，列出了四个国家（美国、加拿大、日本和澳大利亚）中已确认真实存在、流量在20万至150万之间的购物网站，并使用Microsoft的Playwright浏览器自动化框架预先验证这些网站可以下单。任务所列目标是寻找未授权远程代码执行漏洞，优先关注登录环节的SQL注入、未经身份验证即可访问的端点、文件上传、反序列化、身份验证绕过和账户接管；任务要求交付上传器Shell载荷，而不是可执行命令的Webshell。NorForge表示，该信息输入管道依赖大量自动化，其中包括一个共享但存在缺陷的域名规范化程序：它会从www前缀中多剥掉一个字母w，把wholesale变成holesale，因此很容易识别出彼此相关的面板。

在一段短暂的时间内，一台 AIA0001 主机为带外测试在高位端口开启了 Web 服务器，NorForge 借此浏览了一个智能体工作进程的目录，并盘点了其中的工具，包括 Playwright 和 Chromium、PHPGGC gadget 链载荷、针对名为 StyleSmuggler 的 Magento 漏洞（编号为 CVE-2026-75650）的概念验证程序和基于 Docker 的验证实验室、OWASP Amass、dnsrecon、Web 模糊测试工具 ffuf、Nmap，以及 rockyou 密码字典。一条智能体任务更新显示，Kali 容器环境已从腾讯 tsec 渗透测试竞赛框架改造而来；NorForge 表示，这几乎可以肯定是犯罪分子重复利用现有工具所致，没有理由认为腾讯参与了这次行动。所有观察到的 AIA0001 任务均由一名名为 claudecode_deepseek-v4.1-flash 的工作进程执行。该公司表示，这可能意味着其运行框架采用了 Claude Code，并运行于 2026 年 9 月发布的中国 DeepSeek 4.1 Flash 模型之上。

由于没有实际的令牌使用数据，NorForge 估计，AIA0001 任务的平均成本约为 5 美元，其中包括那些以失败告终、提前结束的项目；而意图和事实超过 1,000 条的项目，成本可能超过 100 美元。该公司强调，这些数字存在相当大的不确定性，实际数值可能明显偏离估计，但同时指出，即便如此，这些行动的成本仍相对低廉。

第二个集群 AIA0002 使用英语，涉及 10 个面板；这些面板经由 AS20473（The Constant Company）托管，其中大多数使用 Vultr VPS 实例。NorForge 高度确信该集群具有恶意，但部分面板之间的关联尚不那么确定，而且自调查开始以来，许多面板已下线。该集群的运营者公开讨论窃取信用卡和加密货币，并将窃取的数据上传到由其控制的主机；他们还在任务中公开了用于连接后端暂存主机的 SSH 登录信息，而且经常不提供任何技术性的起步指引，只下达“获取信用卡”或“获取加密货币”等指令。项目记录显示，工作进程名为 pi_openrouter_deepseek，这表明其可能使用 Pi 编码智能体框架，通过第三方模型 API 网关 OpenRouter 调用 DeepSeek 模型。NorForge 报告称，其攻击目标主要是商户支付服务、灰色市场支付网站和药品网站，其中包括一个明显从事犯罪活动的盗刷网站；此外，多个非洲商业网站也暗示该行为者可能以非洲为基地。该行为者还将 Cairn 用作通用服务引擎，例如在加密货币钱包之间转移资金。

第三个集群 AIA0003 公开了一个面板，其中列有 59 个项目。该面板托管在 AS200019（AlexHost）上，且只使用英语。其攻击目标既包括规模较小的电子商务网站，也包括规模非常大的美国商业平台；相关项目最初声称是经授权的安全评估，之后却逐渐明确提出要获取 Shell 访问权限、管理面板访问权限或数据库访问权限。NorForge 对该行为者的判断是，其具有恶意的可能性较低，并将其描述为更偏探索性的行为者。

已证实的入侵与成功率

NorForge 通过访问一项已完成任务中记录的 Shell URL，证实了一个声称成功的入侵事件；该任务针对一家大型硬件零部件供应商，而该 URL 返回了一个正在运行的上传器 WebShell。根据智能体自己的说明，此次入侵得以实现，是因为攻击者未经授权便获得了对 memcached 会话存储的写入权限，同时利用了不安全的 PHP 对象反序列化，以及旧版 Zend Framework 组件中可被利用的 gadget 链。

根据 NorForge 的估计，在观察到的各项行动中，平均成功率约为 10%；许多未完成的任务虽未达成全部目标，却实现了部分目标，或收集到了可供后续尝试使用的信息。对于已达成目标的 AIA0001 任务，从项目启动到实现目标的平均耗时略低于 23 小时，每个项目平均生成 140 条事实，不过有一个项目持续了五天以上。该公司提醒，这些数字仅反映特定时间点的情况，因为模型和运行框架迭代得非常快。

暴露的机密信息与下线行动

NorForge 报告称，使用 Trufflehog 机密信息扫描工具扫描从暴露的 Cairn 实例获取的数据后，发现了数量多达数百条的各类机密信息，严重程度从相对轻微到极其严重不等；其中 11% 已确认有效。这些面板看起来也完全没有受到保护，暴露了疑似运行框架的全部管理功能，包括启动和停止项目、干扰正在进行的行动、插入新数据、将智能体重定向至不同目标，以及重新启动旧项目的控制项。NorForge 表示，该公司没有测试这些控制项能否在未经授权的情况下使用。

NorForge 在结论中表示，攻击者为了迅速取得成果而损害了自身的行动安全，并使攻击目标暴露在远超预期的攻击面之下；与此同时，合法的红队也面临着收集客户机密信息并将其发布到开放互联网的风险。报告最后列出了六个经删节的案例研究，涉及一家澳大利亚电子商务网站、一起餐厅销售点系统入侵、三家美国零售商和一家日本零售商。NorForge 表示，该公司验证了其中一个案例：一家规模非常大的美国零售商遭到入侵，智能体在该事件中找到了唯一一个用于选择易受攻击后端服务器的 Cookie 设置。

NorForge表示，正在与路透社合作，通知疑似遭到入侵的受害者，并试图关闭涉事的 Cairn 面板。该公司称，这项工作在很大程度上取决于托管服务商如何回应下架请求。NorForge公布了这些面板和暂存服务器的脱敏失陷指标，并表示， bona fide 安全研究人员可按需索取未脱敏名单。