Autonome KI-Agenten kompromittierten über 1.200 Websites über offene Steuerungspanels

Ein chinesischsprachiger Operator nutzte autonome KI-Agenten, um mehr als 1.200 Websites zu kompromittieren, darunter auch die von großen Konzernen wie Deere, SharkNinja und Cummins. Der Sicherheitsforscher Snorre Fagerland von NorForge entdeckte die Kampagne Anfang Oktober 2026, nachdem er exponierte Steuerungspanels für ein Open-Source-KI-Tool namens Cairn gefunden hatte.

Was geschah

Die Angriffskampagne basierte auf dem Missbrauch von Cairn, einem Tool, das für autorisierte Penetrationstests entwickelt wurde und es KI-Agenten ermöglicht, Ziele schrittweise zu verfolgen. Der Operator ließ Dutzende von Cairn-Instanzen ohne Authentifizierung im öffentlichen Internet zugänglich, sodass Fagerland die Angriffe in Echtzeit beobachten konnte. Der aktivste Cluster, identifiziert als AIA0001, verband vierzehn Panels mit über 1.100 Angriffsprojekten, die sich auf E-Commerce- und Zahlungssysteme in den USA, Japan und Australien konzentrierten.

Die Agenten versuchten, persistenten Zugriff zu erhalten, indem sie Uploader für Web-Shells installierten – Formulare, die Dateien auf einem Server speichern. Obwohl diese Formulare keine Befehle direkt ausführen, bieten sie Angreifern einen Einstiegspunkt, um später bösartigen Code einzuschleusen. NorForge verifizierte eine aktive Web-Shell bei einem großen Anbieter von Hardwareteilen und bestätigte eine Kompromittierung bei einem großen US-Einzelhändler, wo der Agent eine einzelne Cookie-Einstellung ausnutzte, um einen verwundbaren Backend-Server zu erreichen.

Die Opfer berichteten unterschiedliche Auswirkungen. Deere gab an, das Problem behoben zu haben und keine Hinweise auf den Zugriff auf sensible Daten gefunden zu haben. SharkNinja isolierte die Bedrohung auf einer eigenständigen Support-Seite, während Cummins einen möglichen Angriff auf eine vom Anbieter betriebene Website untersuchte. Zwei kleinere Unternehmen bestätigten ebenfalls Kompromittierungen. Die eigenen Aufzeichnungen des Angreifers detaillierten Einbruchsketten, die unbefugte Schreibzugriffe auf memcached-Sitzungsspeicher und Schwachstellen in Legacy-Zend-Framework-Code beinhalteten.

Wie es funktioniert

Cairn arbeitet, indem es KI-Agenten einen Startpunkt und ein spezifisches Ziel vorgibt, beispielsweise die Suche nach einer Möglichkeit, Code auf einem Zielpfandshop auszuführen. Die Agenten arbeiten dann autonom und posten ihre Erkenntnisse auf einem gemeinsamen Board, auf dem ein menschlicher Operator Hinweise geben kann. In dieser Kampagne bot der Operator nur minimale Anleitung und skizzierte Taktiken in weniger als 100 chinesischen Zeichen. Die Agenten führten den Rest des Prozesses aus, identifizierten Schwachstellen und setzten Payloads mit geringer Aufsicht ein.

Die Infrastruktur schien einen Worker namens claudecode_deepseek-v4.1-flash zu verwenden, was auf eine Kombination aus DeepSeek V4.1 Flash Modellen und Anthropic’s Claude Code hindeutet. Weder der Forscher noch Reuters konnten die genauen Modelle endgültig bestätigen, aber die Kampagne nutzte eindeutig erschwingliche, hochleistungsfähige Sprachmodelle, um die Phasen der Reconnaissance und Exploitation zu automatisieren. Dieses Setup ermöglichte es dem Angreifer, seine Bemühungen gleichzeitig auf Hunderte von Zielen auszuweiten.

Wichtige Details

• Umfang: Die Agenten zielten auf über 1.200 Websites ab und erreichten mehr als 100 Unternehmen.
• Kosten: Die Kampagne kostete etwa 5.000 USD in Tokens, durchschnittlich 5 USD pro Aufgabe oder 50 USD pro erfolgreichem Hack.
• Geschwindigkeit: Erfolgreiche Einbrüche dauerten im Durchschnitt knapp unter 23 Stunden.
• Erfolgsquote: Die allgemeine Erfolgsrate lag bei rund 10 %, wobei die Ziele je nach Cluster variierten.
• Exponierung: Exponierte Cairn-Panels offenbarten Hunderte von Geheimnissen, wobei 11 % als weiterhin gültig verifiziert wurden.
• Herkunft des Tools: Cairn wurde von "le1xia0" für autorisierte Tests entwickelt, nicht für böswilliges Hacking.

Warum es wichtig ist

Dieser Vorfall zeigt, wie autonome Agenten die Einstiegshürde für ausgefeilte Cyberangriffe senken können. Mit durchschnittlichen Kosten von nur 5 USD pro Aufgabe können sich Angreifer eine hohe Anzahl fehlgeschlagener Versuche leisten und dennoch eine profitable Erfolgsrate erzielen. Die Fähigkeit, mit minimalem menschlichem Input zu operieren, bedeutet, dass solche Kampagnen kontinuierlich laufen können, um nach Schwachstellen wie verstreuten Upload-Formularen oder ungepatchten Frameworks zu scannen, ohne Ermüdungserscheinungen. Für Engineering-Teams verschiebt dies die Bedrohungslandschaft von manuellen, gezielten Angriffen hin zu automatisierten, breit angelegten Sondierungen.

Darüber hinaus hebt die Exponierung der Cairn-Panels ein sekundäres Risiko hervor: Mängel in der operationellen Sicherheit sowohl bei Angreifern als auch bei legitimen Sicherheitsfirmen. NorForge stellte fest, dass auch legitime Penetrationstest-Firmen Kundendaten auf ungesicherten Panels hinterlassen hatten. Das bedeutet, dass selbst wenn Ihre Organisation nicht direkt von den KI-Agenten ins Visier genommen wird, Ihre Geheimnisse durch die Nachlässigkeit von Drittanbieter-Sicherheitsdienstleistern exponiert werden könnten. Das Vorhandensein gültiger SSH-Anmeldedaten und API-Schlüssel in diesen offenen Panels schafft unmittelbare Risiken für jede damit verbundene Infrastruktur.

Was Sie tun können

• Scannen Sie nach exponierten Panels: Prüfen Sie Ihr Netzwerk auf Agent-Steuerungspanels, die auf Port 8000 ohne Authentifizierung lauschen.
• Auditieren Sie Datei-Uploads: Identifizieren und sichern Sie unerwartete Datei-Upload-Formulare, insbesondere solche in versteckten Verzeichnissen.
• Patchen Sie Magento-Instanzen: Wenden Sie Adobes Hotfix für CVE-2026-75650 (StyleSmuggler) an, wenn Sie Adobe Commerce 2.4.4–2.4.9 oder Magento Open Source 2.4.6–2.4.9 betreiben.
• Überprüfen Sie Drittanbieter: Stellen Sie sicher, dass Penetrationstest-Firmen und andere Sicherheitspartner ihre Testumgebungen absichern und keine sensiblen Daten exponiert lassen.
• Überwachen Sie Sitzungsspeicher: Prüfen Sie auf unbefugte Schreibzugriffe auf memcached oder ähnliche Sitzungsspeichersysteme.
• Rotieren Sie Anmeldedaten: Wenn Sie vermuten, dass Ihre Daten Teil eines exponierten Panels waren, rotieren Sie alle zugehörigen API-Schlüssel und SSH-Protokolle sofort.