Китайскоговорящ хакер е използвал AI агенти, за да компрометира над 100 фирмени уебсайта, изразходвайки приблизително 5000 долара за AI токени, според разследване на Reuters от октомври. Операцията демонстрира как един човек може да управлява софтуер за извършване на сложни атаки с минимална постоянна човешка намеса.

Мишените включват сайтове, свързани с Deere, SharkNinja и Cummins, въпреки че докладваното въздействие се различава при отделните компании. След като кампанията започна на 25 септември, агентите са направили опит да компрометират над 1200 уебсайта, предимно онлайн магазини в САЩ, Канада, Австралия и Япония.

Сноре Фагерланд, водещ изследовател на заплахи в NorForge, разкрива дейността, докато търси открити инсталации на Cairn — платформа с отворен код, която координира AI агенти. Около 2 октомври той открива приблизително две дузини инсталации, които очевидно са били използвани за злонамерена дейност.

Как Cairn автоматизира атаките

Cairn е машина за решаване на задачи от общ характер, а не инструмент, създаден единствено за хакерски цели. При атаките, описани в техническия доклад на NorForge, операторите са задавали цел и крайна задача, след което агентите са търсели слаби места и са работили за получаване на достъп.

Платформата съхранява констатациите на споделено проектно табло, така че нейните агенти могат да използват по-ранни открития, за да изберат следващите си стъпки. Това им позволява да изпробват различни пътища, когато първоначалният подход се провали, вместо да разчитат на еднократно фиксирано сканиране.

NorForge проследява най-големия клъстер от дейности на китайски език под обозначението AIA0001, свързвайки го с 14 контролни табла, съдържащи над 1100 проекта за атака. Неговият процес за подбор на цели е използвал инструмента за автоматизация на браузъри Playwright на Microsoft, за да проверява дали сайтовете за електронна търговия могат да приемат поръчки, преди да ги препрати към Cairn.

Инструкциите за задачите са били насочени към намиране на начини за изпълнение на код без удостоверяване, включително SQL инжекции, ненадеждно качване на файлове, заобикаляне на входни форми и небезопасна обработка на съхранявани обекти. Очевидната цел е била траен достъп до търговски и разплащателни системи, които по-късно да генерират финансови приходи.

NorForge потвърждава един от заявените пробиви, като проверява докладван адрес на уебсайт на доставчик на хардуер и открива активен uploader webshell. Този сървърен скрипт позволява качването на файлове на компрометирания сайт, създавайки плацдарм за последващи атаки.

Според собствения отчет на агента тази атака е комбинирала неоторизиран достъп за запис в memcached хранилище на сесии с опасна десериализация на PHP обекти и по-стари компоненти на Zend Framework. Веригата от действия превръща слабостите в съхранението на сесии и обработката на обекти в достъп до сървъра, вместо да разчита на една очевидна входна точка.

В друг случай агентите са преминали отвъд основното приложение на компанията, след като не са успели да открият слабост. Те са претърсили свързаната инфраструктура, открили са публично достъпен контролен панел и са прекарали часове в тестване на обработката на данни в него, преди да докладват, че могат да изпълняват команди на сървъра.

Ниски разходи, дълго работещи агенти

Успешните проекти на AIA0001 са отнемали средно малко под 23 часа, докато един от тях е работил повече от пет дни. В рамките на наблюдаваните кампании NorForge оценява успеваемостта на около 10%, въпреки че целите и мишените са варирали при различните оператори.

Фагерланд изчислява, че основната кампания е изразходвала токени на стойност около 5000 долара, или приблизително 50 долара на успешно проникване. Тези цифри са прогнозни оценки, а не потвърдени данни за фактуриране. Отделно NorForge оценява средната цена на задача на около 5 долара, когато се включат неуспешните и преждевременно приключилите опити, предупреждавайки, че несигурността в тези изчисления е значителна.

Имената на работните процеси сочат към конфигурация на Claude Code, използваща модел на DeepSeek, но NorForge не потвърждава пълната конфигурация на модела. Инструкциите на китайски език също не доказват националността на оператора, а изследователите не са открили явни признаци за дейност, подкрепяна от държава, в отворените табла.

Свързани доклади за използването на AI агенти за кражба на данни от кредитни карти в търговията на дребно описват отделна кампания, включваща Cairn и други инструменти. Друго разследване на кражба на идентификационни данни чрез DeepSeek показва, че атакуващите използват агенти за експлоатиране на открити тайни и слаби настройки, вместо да разчитат на нови уязвимости.

Deere заяви пред Reuters, че е предприела корективни мерки и не е открила индикации атакуващите да са получили достъп до чувствителна информация. SharkNinja посочи, че засегнатата система е била отделен сайт за поддръжка на продукти и че заплахата е била ограничена. Cummins разследва възможна атака срещу уебсайт, управляван от трета страна.

Reuters не успя да установи какво количество данни, ако изобщо има такива, е било откраднато при пробивите. NorForge откри и стотици открити тайни в незащитените панели и заяви, че си сътрудничи с Reuters за уведомяване на жертвите.

Проблемът със защитата засегна и легитимни специалисти по сигурността. NorForge откри незащитени табла за тестване, разкриващи клиентска информация, което показва, че лошо защитените AI инструменти създават риск дори по време на оторизирана дейност.

Защитниците трябва да инсталират корекции за сигурност на публично достъпните приложения, да ограничат достъпа до административните панели и да следят за неочаквани файлове в уеб директориите. Екипите по сигурност трябва също така да анализират подозрителни уеб заявки и да изолират сървърите, на които са открити webshell скриптове, след което да разследват за откраднати данни, разширен достъп и друг злонамерен код, преди да възстановят услугите.