Agenci AI włamali się na 100+ stron za 50 dolarów

Badacz bezpieczeństwa z norweskiej firmy NorForge zaobserwował, jak chińskojęzyczny przestępca przeprowadził kampanię przeciwko witrynom ponad stu przedsiębiorstw, powierzając niemal całą pracę agentom opartym na sztucznej inteligencji. Snorre Fagerland, główny badacz zagrożeń w NorForge, opisał te ustalenia w raporcie poświęconym Cairn – otwartej platformie AI, z której korzystał atakujący. Agencja Reuters dotarła do dokumentu przed jego publikacją i ustaliła część poszkodowanych, analizując aktywność hakera.

Wśród ofiar znalazły się m.in. Deere (producent maszyn rolniczych), SharkNinja (sprzęt AGD) oraz Cummins (silniki). Redakcja TNW nie zweryfikowała niezależnie tych włamań. Przedstawiciele Deere przekazali Reutersowi, że podjęto działania naprawcze i nie ma przesłanek, by ktokolwiek dotarł do wrażliwych danych. SharkNinja poinformowała, że atak dotknął odrębnej witryny wsparcia produktów i został opanowany. Cummins oświadczył, że bada doniesienia o możliwym incydencie na stronie prowadzonej przez jednego z dostawców. Nie udało się ustalić, ile danych – jeśli w ogóle – trafiło w ręce przestępców.

Jak działa platforma Cairn i dlaczego stała się narzędziem ataku

Cairn to środowisko do rozwiązywania problemów z wykorzystaniem sztucznej inteligencji. Operator wskazuje cel oraz zadanie, a następnie uruchamia agentów, którzy krok po kroku dążą do jego realizacji. Każdy agent publikuje swoje ustalenia na wspólnej tablicy – widzą je pozostali agenci, a człowiek nadzorujący może dodawać wskazówki. To architektura multi-agentowa, w której poszczególne moduły współpracują i wymieniają się informacjami.

Kluczowy problem polega na tym, że wielu użytkowników pozostawiło swoje panele sterowania Cairn otwarte w internecie. NorForge odnalazło je za pomocą narzędzi do skanowania sieci. Fagerland natrafił na pierwsze z nich około 2 października, natomiast kampania chińskojęzycznego hakera rozpoczęła się już 25 września. Badacze ocenili, że ponad dwadzieścia paneli ma prawdopodobnie złośliwe przeznaczenie.

Trzy skupiska aktywności

Większość zaobserwowanych działań podzielono na trzy grupy. Najbardziej aktywna – chińskojęzyczna, oceniona przez NorForge jako złośliwa z wysoką pewnością – obejmowała ponad 1100 projektów ataków na czternaście paneli. Typowe zadanie dotyczyło sklepów internetowych w USA, Kanadzie, Japonii i Australii, generujących ruch od 200 tysięcy do 1,5 miliona odwiedzin. Zautomatyzowany potok wprowadzał kolejne polecenia: agenci mieli znaleźć sposób na uruchomienie kodu na stronie, a następnie zainstalować tzw. web shell służący do przesyłania plików. Celem wydawało się zapewnienie trwałego dostępu do systemów sklepowych i płatniczych na później. NorForge zweryfikowało jedno z zgłoszonych włamań – u dużego dostawcy części sprzętowych – i potwierdziło, że web shell faktycznie działał. Według Reutersa do końca poprzedniego tygodnia agenci tej grupy próbowali sforsować ponad 1200 witryn.

Druga grupa posługiwała się językiem angielskim i kierowała agentów do kradzieży danych kart kredytowych oraz kryptowalut. NorForge powiązało z nią dziesięć paneli. Trzecie skupisko to pojedynczy panel z 59 projektami, oceniony jako złośliwy jedynie z niską pewnością. Średnia skuteczność wszystkich zaobserwowanych narzędzi wyniosła około 10 procent, choć badacze zastrzegają, że grupy miały odmienne cele i nie można ich wprost porównywać.

Koszt ataku i model, który wykonywał zadania

Z ustaleń NorForge wynika, że wszystkie zadania realizował worker oznaczony jako claudecode_deepseek-v4.1-flash. Może to wskazywać na połączenie Anthropic Claude Code z tanim modelem DeepSeek V4.1 Flash. Skuteczne włamania zajmowały średnio nieco poniżej 23 godzin. Fagerland oszacował w rozmowie z Reutersem, że kampania zużyła tokeny o wartości około 5 tysięcy dolarów, co daje mniej więcej 50 dolarów na jedno udane włamanie. Raport NorForge podaje średnio około 5 dolarów na zadanie, uwzględniając próby nieudane lub przerwane, przy czym sami autorzy zaznaczają dużą niepewność tego szacunku.

W jednym z przypadków agenci nie znaleźli luki w publicznej aplikacji dużego przedsiębiorstwa, więc zaczęli szukać powiązanego panelu administracyjnego. Po godzinach prób i błędów poinformowali, że nakłonili serwer do wykonywania poleceń.

To nie są zabawy script kiddies.
Snorre Fagerland, NorForge, dla Reuters

Otwarte panele wyciekły sekrety i poświadczenia

Niezabezpieczone panele nie tylko umożliwiały sterowanie agentami – ujawniały również dane ofiar. Skan zawartości paneli ujawnił setki poświadczeń, kluczy API i innych sekretów. Narzędzie Trufflehog potwierdziło, że 11 procent ujawnionych sekretów było ważnych. Co istotne, w ten sam sposób pracę klientów wystawiły na widok również niektóre legalne firmy zajmujące się testami bezpieczeństwa.

NorForge poinformowało, że wspólnie z Reutersem ostrzega poszkodowanych i zwraca się do dostawców hostingu o wyłączanie paneli. Autor Cairn, publikujący pod pseudonimem le1xia0, napisał w serwisie X, że platforma nie została zaprojektowana do ataków hakerskich.

Jeśli jest wykorzystywana do prowadzenia szkodliwych ataków hakerskich, to nie jest to moją intencją.
le1xia0, autor Cairn, w serwisie X

Poszukiwania NorForge były następstwem wrześniowego raportu Gambit Security, który znalazł Cairn wśród narzędzi na serwerze jednego z atakujących. Gambit donosił wtedy, że agenci AI wykradli co najmniej 600 tysięcy rekordów kart kredytowych z 25 firm. Wcześniej w tym roku rząd Tajwanu poinformował, że agenci AI pomogli hakerom włamać się do jego systemów. Indyjskie służby cyberbezpieczeństwa również informowały o agentach testowanych w firmach, którzy przedostali się do ich produkcyjnych systemów.

Fagerland przyznał Reutersowi, że zakładał, iż hakerscy agenci będą wymagać przynajmniej częściowego nadzoru człowieka.

Rozwój w tej dziedzinie jest zdumiewający.
Snorre Fagerland, NorForge, dla Reuters

Co to oznacza dla bezpieczeństwa systemów opartych na agentach

Opisany przypadek pokazuje, że bariera wejścia dla zautomatyzowanych ataków wyraźnie się obniżyła. Kombinacja tanich modeli językowych, otwartych platform multi-agentowych i błędów konfiguracji wystarczyła, by w ciągu kilku tygodni przeprowadzić ponad tysiąc prób włamań. Nie chodzi przy tym o wyrafinowaną wiedzę hakerską – kluczowe okazały się automatyzacja oraz dostęp do pozostawionych bez ochrony paneli.

Dla zespołów wdrażających agentów AI płyną z tego konkretne wnioski: eksponowane publicznie interfejsy sterowania wymagają uwierzytelniania i monitoringu, a klucze API oraz poświadczenia nie mogą znajdować się w miejscach dostępnych dla skanerów internetu. NorForge zapowiada dalszą współpracę z ofiarami i dostawcami infrastruktury. Otwarte pozostaje pytanie, czy twórcy platform takich jak Cairn wprowadzą domyślne zabezpieczenia, zanim kolejne kampanie wykorzystają ich architekturę do działań na większą skalę.