Atak hakerski AI: agenci włamali się do ponad 100 firm

19 października Raphael Satter z Reutersa opisał, jak chińskojęzyczny haker w ciągu kilku tygodni włamał się na strony ponad 100 firm, wśród nich Deere, SharkNinja i Cummins. Tego samego dnia Snorre Fagerland z NorForge opublikował raport o platformie Cairn, na której oparty był ten atak: niemal całą robotę wykonali agenci AI, a nie człowiek.

Jak wyglądał ten atak hakerski AI?

Cairn to otwartoźródłowa platforma, w której zadaje się agentom AI cel i zadanie, a one krok po kroku do niego dochodzą. Każde zadanie to osobny projekt, agenci zapisują ustalenia na wspólnej tablicy, a operator może dodawać podpowiedzi. Fagerland trafił na całą sprawę skanując internet w poszukiwaniu wystawionych publicznie paneli Cairn. Operatorzy po prostu ich nie zabezpieczyli (w raporcie czytamy tylko, że „securing their own infrastructure does not appear to be among their strengths”).

W raporcie NorForge czytamy, że:

1. Ponad 20 paneli było najpewniej używanych do przestępstw. Badacz podzielił je na trzy grupy.
2. Największa grupa, chińskojęzyczna, to 14 paneli i ponad 1100 projektów ataku na sklepy internetowe w USA, Kanadzie, Japonii i Australii. Agenci mieli znaleźć sposób na zdalne wykonanie kodu i zostawić na serwerze plik umożliwiający wgrywanie kolejnych plików, czyli też trwały dostęp.
3. Druga grupa, anglojęzyczna, dostawała zadania w stylu „fetch credit cards” albo „fetch crypto”.
4. Udane włamanie zajmowało agentom średnio niecałe 23 godziny, a jeden projekt trwał ponad pięć dni.
5. Średnia skuteczność to około 10%.

Według Reutersa do końca zeszłego tygodnia agenci próbowali dostać się na ponad 1200 stron.

Ile to kosztowało i jakich modeli użyto?

Tu robi się najciekawiej. Fagerland szacuje, że cała kampania zużyła tokeny za około 5000 USD, czyli mniej więcej 50 USD za udane włamanie. W raporcie średni koszt jednego zadania (razem z nieudanymi) to około 5 USD, z zastrzeżeniem, że niepewność jest „considerable”.

Zadania największej grupy szły przez workera o nazwie claudecode_deepseek-v4.1-flash. Według NorForge to może oznaczać harness agentowy Claude Code napędzany tanim modelem DeepSeek V4.1 Flash. Druga grupa używała workerów pi_openrouter_deepseek, czyli najpewniej frameworka Pi z modelami DeepSeek przez OpenRouter. To interpretacja nazw, nie potwierdzenie od Anthropic czy DeepSeek, bo żadna z tych firm nie skomentowała sprawy w tekście Reutersa.

Co ciekawe, panele zdradziły nie tylko cele ataków. Były w nich setki sekretów: hasła, klucze API i inne dane dostępowe. Narzędzie Trufflehog potwierdziło, że 11% z nich nadal działa. Na wystawionych panelach były też projekty legalnych firm od testów bezpieczeństwa, razem z danymi ich klientów.

Co mówią poszkodowane firmy?

Ofiary wskazał Reuters, nie raport NorForge. Według oświadczeń:

1. Deere podjął „necessary remediation actions” i nie ma sygnałów, że ktoś dostał się do wrażliwych danych.
2. W SharkNinja zaatakowana była osobna strona z informacjami o wsparciu produktów, a zagrożenie opanowano.
3. Cummins sprawdza zgłoszenie o możliwym ataku na stronę prowadzoną przez zewnętrznego dostawcę.

Reutersowi nie udało się ustalić, ile danych (i czy w ogóle) wyciekło. Autor Cairna, występujący na X jako le1xia0, napisał, że platforma „was not designed for hacking attacks” i że szkodliwe użycie nie było jego zamiarem.

Dlaczego jest o tym głośno?

Bo to kolejny dowód, że agenci AI włamują się do prawdziwych firm niemal bez nadzoru człowieka. Fagerland powiedział Reutersowi, że zakładał, iż takie agenty będą potrzebować choć trochę kontroli, a technologia już ten etap minęła. Podsumował to krótko: „It’s not script kiddie stuff” i „The development in this field is astounding”.

Tło jest niepokojące. W tekście Reutersa czytamy, że w sierpniu Gambit Security opisał grupę, która włamała się do siedmiu organizacji z pomocą narzędzia AI, a we wrześniu kampanię agentów, która objęła 25 firm i co najmniej 600 tys. rekordów kart kredytowych. Według Bitsight o autonomicznych agentach coraz częściej rozmawia się też na forach przestępców.

Kilka dni temu pisałem o wycieku z OpenCode, przy którym współtwórca narzędzia nazwał to „whole new world with ai powered hacking”. Najwyraźniej nie przesadzał :(

FAQ

Czy to Claude Code włamywał się do firm?

Nie wiadomo na pewno. Nazwa workera sugeruje harness Claude Code z modelem DeepSeek V4.1 Flash, ale to tylko interpretacja NorForge. Sam model to DeepSeek, a Claude Code byłby tu (jeszcze jedną) warstwą, która wywołuje narzędzia.

Czym jest Cairn?

To otwartoźródłowa platforma, która koordynuje agentów AI pracujących nad jednym celem, ze wspólną tablicą ustaleń. Według autora nie powstała do hakowania, ale w raporcie NorForge określono ją wprost jako „AI-powered hacking system”.

Ile kosztuje atak hakerski AI?

W tej kampanii według szacunków Fagerlanda około 50 USD w tokenach za udane włamanie i około 5 USD za każde zadanie, także nieudane. Fagerland sam zaznacza, że to szacunki z dużą niepewnością.