ИИ-агенты атаковали 1200 сайтов в четырёх странах и взломали более 100 компаний
Китайскоязычный злоумышленник поручил ИИ-агентам массовый взлом интернет-магазинов. С 25 сентября автономные системы атаковали более 1200 сайтов в четырёх странах и, по оценке исследователей, проникли на ресурсы более 100 компаний. Среди пострадавших оказались Deere и SharkNinja.
Кампанию обнаружил исследователь NorForge Снорре Фагерланд, изучавший открытые панели управления платформой Cairn. Система распределяет задачи между несколькими ИИ-агентами, которые самостоятельно выбирают следующие действия, запускают инструменты и проверяют результаты. Фагерланд нашёл более 20 панелей, связанных с подозрительной деятельностью, и восстановил ход операций по сохранённым заданиям и результатам.
Наиболее масштабная серия атак была связана с 14 панелями Cairn. Целями служили преимущественно торговые сайты США, Канады, Австралии и Японии. Инструкция злоумышленника состояла менее чем из 100 китайских иероглифов. После запуска агенты часами проверяли сайты, перебирали способы проникновения и самостоятельно решали, куда двигаться после каждой неудачной попытки. Постоянное участие человека не требовалось.
Главной целью был удалённый запуск команд на чужих серверах без авторизации. Для проникновения агенты искали SQL-инъекции, способы обхода проверки прав доступа и ошибки при загрузке файлов. В одном из эпизодов ИИ не нашёл уязвимостей в основном приложении крупной компании, изучил архивные сведения о её инфраструктуре и обнаружил другую панель управления. После нескольких часов проб система отчиталась об успешном выполнении посторонних команд на сервере.
Часть результатов NorForge удалось подтвердить независимо от отчётов самих агентов. На сайте крупного поставщика комплектующих исследователи обнаружили действующую веб-оболочку, через которую посторонний мог загружать файлы на сервер. По оценке специалистов, самый активный оператор стремился прежде всего закрепиться в чужой инфраструктуре и сохранить возможность вернуться позднее. Такой доступ потенциально позволяет продолжить атаку даже после завершения первоначального взлома.
Успешные операции в изученной группе занимали в среднем чуть менее 23 часов, хотя отдельные задания выполнялись больше пяти суток. По приблизительной оценке Фагерланда, работа моделей за всю кампанию могла стоить около $5000, или $50 в пересчёте на удачный взлом. Судя по названиям рабочих процессов, злоумышленник использовал модель DeepSeek V4.1 Flash в связке с Claude Code. Точные расходы установить невозможно, поскольку подтверждённых счетов за работу ИИ у исследователей нет.
Deere заявила, что приняла меры после инцидента и не обнаружила признаков доступа к конфиденциальным сведениям. SharkNinja подтвердила взлом отдельного сайта со справочной информацией о продукции и сообщила, что угрозу удалось локализовать. Cummins пока проверяет сведения о возможной атаке на ресурс стороннего подрядчика. Масштаб возможной кражи данных в рамках кампании остаётся неизвестным.
Неожиданная слабость обнаружилась и у самих атакующих. Часть панелей Cairn оставалась доступна из интернета без авторизации и раскрывала сведения о целях, найденных уязвимостях и учётных данных. NorForge обнаружила в записях сотни паролей, ключей и других секретов, причём автоматическая проверка подтвердила действительность 11% из них. По внешним признакам панели также позволяли вмешиваться в работу агентов, однако исследователи не стали проверять такую возможность на практике.
Разработчик Cairn под псевдонимом le1xia0 заявил, что создавал платформу как универсальную многоагентную систему, а не средство для преступных атак. NorForge сотрудничает с журналистами при уведомлении пострадавших компаний и пытается добиться закрытия опасных панелей. Проблема затронула и законных специалистов по безопасности. Некоторые команды, проводившие разрешённые проверки, также оставили интерфейсы доступными извне, рискуя раскрыть сведения о клиентах и найденных уязвимостях.
Массовые взломы с минимальным участием человека уже перестали быть единичными экспериментами. В сентябре Gambit Security описала похожую кампанию с автономными инструментами Hermes, Strix и Cairn. За шесть дней исследователи зафиксировали компрометацию как минимум 27 компаний, а общий ущерб включал кражу более 600 тысяч записей платёжных карт. В одном случае автоматическая очистка следов привела к удалению 180 таблиц базы данных, включая резервные копии.
Для владельцев сайтов главная перемена заключается в скорости и стоимости атак. Автономные агенты способны последовательно исследовать множество ресурсов, менять тактику после неудач и самостоятельно развивать найденную уязвимость до полноценного проникновения. Даже сравнительно небольшой бюджет позволяет злоумышленнику запускать длительные операции сразу против большого количества компаний. При этом обнаруженная брешь может превратиться в работающий канал доступа раньше, чем администраторы успеют устранить проблему.