自律型AIエージェント、公開されたコントロールパネルを利用し1,200以上のサイトを侵害

中国語圏のオペレーターが自律型AIエージェントを使用し、Deere、SharkNinja、Cumminsといった大手企業のサイトを含む1,200以上のウェブサイトを侵害しました。NorForgeのセキュリティ研究者Snorre Fagerland氏は、オープンソースのAIツール「Cairn」のコントロールパネルが露出しているのを発見した後、2026年10月初頭にこのキャンペーンを検知しました。

何が起きたのか

この攻撃キャンペーンは、認可されたペネトレーションテスト用に設計され、AIエージェントが段階的に目標を追跡できるようにするツール「Cairn」の誤用に基づいていました。オペレーターは数十個のCairnインスタンスを認証なしで公衆インターネット上に公開しており、Fagerland氏はこれにより攻撃をリアルタイムで観察することができました。「AIA0001」と識別された最も活発なクラスターは、米国、日本、オーストラリアのeコマースおよび決済システムを狙った1,100以上の攻撃プロジェクトに14個のパネルをリンクさせていました。

エージェントは、サーバーにファイルを保存するフォームであるWebシェルアップローダーを設置することで、永続的なアクセス権限の獲得を試みました。これらのフォームは直接コマンドを実行しませんが、攻撃者が後に悪意のあるコードに置き換えるための足掛かりを提供します。NorForgeは大手ハードウェア部品ベンダーのライブWebシェル1つを確認し、さらに米国の主要小売業者における侵害も確認しました。ここではエージェントが単一のCookie設定を悪用して脆弱なバックエンドサーバーに到達していました。

被害者はそれぞれ異なるレベルの影響を受けました。Deereは問題を修正し、機密データへのアクセスを示す証拠は見つからなかったと発表しました。SharkNinjaはスタンドアロンのサポートサイトで脅威を封じ込め、Cumminsはベンダー運営のウェブサイトに対する潜在的な攻撃について調査を行いました。2つの中小企業も侵害を認めました。攻撃者自身の記録には、memcachedセッションストアへの不正書き込みアクセスやレガシーZend Frameworkコードの弱点を含む侵入チェーンの詳細が記載されていました。

仕組み

Cairnは、AIエージェントに出発点と具体的な目標（例えば、ターゲットショップでコードを実行する方法を見つけるなど）を与えることで動作します。その後、エージェントは自律的に作業を進め、発見事項を共有ボードに投稿し、人間のオペレーターがヒントを提供できるようにします。今回のキャンペーンでは、オペレーターは最小限のガイダンスしか提供せず、100文字未満の中国語で戦術を描く程度でした。エージェントは残りのプロセスを実行し、ほとんど監督なしで脆弱性を特定しペイロードを展開しました。

インフラストラクチャは「claudecode_deepseek-v4.1-flash」というワーカーを使用していたようで、DeepSeek V4.1 FlashモデルとAnthropicのClaude Codeの組み合わせを示唆しています。研究者もReutersも正確なモデルを最終的に確認することはできませんでしたが、このキャンペーンは明らかに手頃な価格で高性能な言語モデルを活用し、偵察とエクスプロイトのフェーズを自動化していました。このセットアップにより、攻撃者は数百ものターゲットに対して同時に努力をスケールさせることができました。

主要な詳細

• 規模: エージェントは1,200以上のサイトを標的とし、100社以上に到達しました。
• コスト: このキャンペーンのコストはトークン換算で約5,000ドルで、タスクあたり平均5ドル、または成功したハッキングあたり50ドルでした。
• 速度: 成功した侵入には平均でわずか23時間弱かかりました。
• 成功率: 全体的な成功率は約10%でしたが、クラスターによって目標は異なりました。
• 露出: 露出したCairnパネルからは数百の秘密情報が判明し、そのうち11%はまだ有効であると検証されました。
• ツールの起源: Cairnは「le1xia0」によって認可されたテスト用に構築されたもので、悪意あるハッキング用ではありません。

なぜ重要なのか

この事件は、自律型エージェントが高度なサイバー攻撃への参入障壁をいかに低くするかを示しています。タスクあたりの平均コストがわずか5ドルであるため、攻撃者は多数の失敗を許容しつつも、収益性の高い成功率を達成できます。最小限の人間入力での運用能力は、これらのキャンペーンが疲労することなく、迷子のアップロードフォームや未パッチのフレームワークなどの脆弱性を継続的にスキャンできることを意味します。エンジニアリングチームにとって、これは脅威の状況が手動による標的型攻撃から、自動化的かつ広範なプロービングへと変化することを示唆しています。

さらに、Cairnパネルの露出は、攻撃者と正規のセキュリティ企業の両方による運用セキュリティの失敗という二次的なリスクを浮き彫りにしました。NorForgeは、正規のペネトレーションテスト企業もクライアントデータを保護されていないパネルに残していたことを発見しました。つまり、組織がAIエージェントによって直接標的にされていなくても、第三者セキュリティベンダーの不注意によって秘密情報が露出する可能性があるということです。これらの公開パネルにある有効なSSHログイン情報やAPIキーの存在は、関連するインフラストラクチャにとって即座のリスクを生み出します。

対応策

• 露出パネルのスキャン: 認証なしでポート8000でリッスンしているエージェントコントロールパネルがないかネットワークを確認してください。
• ファイルアップロードの監査: 予期しないファイルアップロードフォーム、特に隠しディレクトリ内のものを特定し、保護してください。
• Magentoインスタンスのパッチ適用: Adobe Commerce 2.4.4–2.4.9またはMagento Open Source 2.4.6–2.4.9を実行している場合、CVE-2026-75650 (StyleSmuggler)に対するAdobeのホットフィックスを適用してください。
• 第三者ベンダーの見直し: ペネトレーションテスト企業やその他のセキュリティパートナーがテスト環境を保護し、機密データを露出していないことを確認してください。
• セッションストアの監視: memcachedや同様のセッションストレージシステムへの不正書き込みアクセスがないか確認してください。
• 資格情報のローテーション: データが露出パネルの一部であった可能性があると疑われる場合は、関連するすべてのAPIキーとSSHログを直ちにローテーションしてください。