autonomous AI agents erzielten bei Website-Angriffen eine Erfolgsquote von 10 %
autonomous AI agents, Software, die mit begrenzter menschlicher Anleitung eine Abfolge von Aufgaben planen und erledigen kann, versuchten, in mehr als 1.200 Websites einzudringen. Reuters identifizierte in den Aufzeichnungen der Angreifer Websites von mehr als 100 Unternehmen, darunter Deere, SharkNinja und Cummins. Welche Datenmenge gegebenenfalls entwendet wurde, ist weiterhin unbekannt.
Das Sicherheitsunternehmen NorForge entdeckte die Aktivitäten bei der Suche im Internet nach öffentlich zugänglichen Installationen von Cairn, einem Open-Source-System, das AI agents ein Ausgangsziel vorgibt und sie dieses Schritt für Schritt bearbeiten lässt. Die agents teilen ihre Erkenntnisse auf einem gemeinsamen Board, auf dem ein menschlicher Operator zusätzliche Anweisungen geben kann. Cairn wurde für autorisiertes penetration testing entwickelt, also Sicherheitsprüfungen mit Erlaubnis des Systemeigentümers. Diese Operatoren richteten es jedoch ohne Genehmigung gegen Onlineshops. Der Autor von Cairn erklärte gegenüber Reuters, die Software sei nicht für Angriffe oder andere schädliche Zwecke vorgesehen.
Ab etwa dem 2. Oktober fand NorForge ungefähr zwei Dutzend Cairn-Installationen, die mit bösartigen Aktivitäten in Verbindung standen. Da ihre control panels über das öffentliche Internet erreichbar waren, konnte das Unternehmen die Projekte der Angreifer in Echtzeit beobachten. NorForge teilte die exponierten Systeme in drei Cluster ein und bewertete mehr als 20 Panels als wahrscheinlich bösartig. Das Unternehmen veröffentlichte seine Erkenntnisse am Montag, während Reuters die Aufzeichnungen separat untersuchte, um betroffene Organisationen zu identifizieren.
Der größte Cluster, von NorForge als AIA0001 bezeichnet, verwendete chinesischsprachige Anweisungen und verband 14 control panels mit mehr als 1.100 Angriffsprojekten. NorForge zufolge bestand das offensichtliche Ziel darin, dauerhaften Zugriff auf Einkaufs- und Zahlungssysteme einzurichten, um ihn möglicherweise später zu nutzen. Die Ziele befanden sich in den Vereinigten Staaten, Japan und Australien. Laut Reuters beschrieb der chinesischsprachige Operator die bevorzugten Taktiken in weniger als 100 chinesischen Schriftzeichen und ließ die agents anschließend weitgehend selbstständig vorgehen.
Eine häufige Aufgabe verlangte von einem agent, eine Möglichkeit zur Codeausführung zu finden, also den Server der Website dazu zu bringen, vom Angreifer ausgewählte Software auszuführen, und einen web shell uploader zu installieren. In diesem Fall war der uploader ein verstecktes Formular, das Dateien speicherte, statt direkt Befehle anzunehmen. Ein Angreifer könnte die hochgeladene Datei dennoch später durch etwas Schädlicheres ersetzen. NorForge überprüfte eine gemeldete Kompromittierung bei einem großen Anbieter von Hardwareteilen und stellte fest, dass der uploader noch vorhanden war. Das Unternehmen bestätigte außerdem unabhängig eine Kompromittierung bei einem sehr großen US-Einzelhändler. Dort entdeckten agents die eine cookie-Einstellung, durch die ein Besucher an einen anfälligen backend-Server weitergeleitet wurde. Ein cookie ist eine kleine Information, die für eine Website gespeichert wird, während ein backend das serverseitige System hinter der Website ist.
Die Zugangswege zu den einzelnen Opfern waren unterschiedlich. Bei einem dokumentierten Einbruch berichtete der agent, er habe unautorisierten Schreibzugriff auf einen memcached session store, ein System zur vorübergehenden Speicherung von Informationen über Website-Sitzungen, mit der unsicheren Verarbeitung gespeicherter PHP objects und einer Schwachstelle in älterem Code von Zend Framework kombiniert. PHP ist eine weitverbreitete Software zum Betrieb von Websites, und Zend Framework stellt wiederverwendbare Komponenten für PHP-Anwendungen bereit. Dabei handelte es sich um eine einzelne attack chain und nicht um eine universelle Methode, die gegen jedes Ziel eingesetzt wurde.
Die drei namentlich genannten Unternehmen erklärten gegenüber Reuters, die Auswirkungen seien begrenzt gewesen. Deere teilte mit, Korrekturmaßnahmen ergriffen und keine Hinweise darauf gefunden zu haben, dass auf sensible Informationen zugegriffen worden sei. SharkNinja erklärte, der Vorfall habe eine separate Website für den Produktsupport betroffen und die Bedrohung sei eingedämmt worden. Cummins untersuchte einen möglichen Angriff auf eine Website, die von einem seiner Dienstleister betrieben wird. Zwei kleinere Unternehmen bestätigten Reuters ebenfalls, dass sie kompromittiert worden waren.
NorForge berechnete, dass erfolgreiche Einbrüche durchschnittlich knapp 23 Stunden dauerten. Bei allen beobachteten Tools lag die Gesamterfolgsquote bei etwa 10 %. Das Unternehmen wies jedoch darauf hin, dass die Cluster unterschiedliche Ziele verfolgten und nicht direkt miteinander verglichen werden könnten. Nach seiner groben Schätzung betrugen die durchschnittlichen Kosten pro Aufgabe etwa $5, einschließlich fehlgeschlagener und abgebrochener Versuche, wobei erhebliche Unsicherheit bestand. NorForge erklärte Reuters separat, dass die Kampagne etwa $5.000 an AI tokens verbrauchte, den Einheiten zur Messung der Nutzung von AI-Modellen. Das entsprach ungefähr $50 pro erfolgreicher Kompromittierung.
Jede AIA0001-Aufgabe verwendete einen Worker namens claudecode_deepseek-v4.1-flash. Dieser Name könnte darauf hindeuten, dass DeepSeek V4.1 Flash über Anthropic's Claude Code betrieben wurde. Weder NorForge noch Reuters bestätigten jedoch die zugrunde liegenden Modelle. Reuters erklärte lediglich, die Aktivitäten hätten anscheinend DeepSeek und Claude Code einbezogen.
Die öffentlich zugänglichen Panels verursachten ein zusätzliches Sicherheitsproblem. Sie zeigten die anvisierten Websites, entdeckte Schwachstellen sowie Zugangsdaten und andere während der Arbeiten erlangte Zugangsgeheimnisse an. NorForge scannte die Daten der Panels mit Trufflehog, einem Tool zum Auffinden offengelegter Geheimnisse, und fand Hunderte davon. Das Unternehmen bestätigte, dass 11 % noch gültig waren. Die Oberflächen schienen außerdem Steuerelemente zum Starten und Stoppen von Projekten, zum Bereitstellen neuer Informationen und zum Lenken der agents auf andere Ziele offenzulegen. NorForge prüfte nicht, ob diese Funktionen ohne Anmeldung genutzt werden konnten.
Ein zweiter englischsprachiger Cluster legte die eigenen SSH-Zugangsdaten der Operatoren für Staging-Server offen. SSH, auch Secure Shell genannt, ist eine Methode für den Fernzugriff auf einen Computer. NorForge erklärte, diese Zugangsdaten nicht verwendet zu haben. Das Problem beschränkte sich nicht auf Kriminelle: Das Unternehmen fand auch offenbar legitime penetration testing-Unternehmen, die über ungesicherte Cairn-Panels echte Kundenprüfungen offenlegten und damit Kundeninformationen gefährdeten.
Verteidiger können nach Cairn-ähnlichen Panels suchen, die über port 8000 erreichbar sind, einen nummerierten Netzwerkzugangspunkt, der von diesen Installationen häufig verwendet wird. Sie sollten außerdem sicherstellen, dass jedes legitime Panel eine Authentifizierung verlangt. Websitebetreiber und Hosting-Teams sollten zudem unerwartete Formulare zum Hochladen von Dateien in verborgenen Verzeichnissen untersuchen. Dies waren die Ausgangspunkte, die die agents einzurichten versuchten.
NorForge fand außerdem proof-of-concept code, der demonstriert, wie eine Schwachstelle ausgenutzt werden kann, für die kritische Magento-Schwachstelle StyleSmuggler (CVE-2026-75650) in einem Worker-Verzeichnis sowie eine Testumgebung. Es gibt keine Belege dafür, dass die Schwachstelle bei diesen Einbrüchen ausgenutzt wurde. Der hotfix von Adobe, ein dringendes Korrekturupdate, sollte auf betroffenen Installationen von Adobe Commerce 2.4.4 bis 2.4.9 und Magento Open Source 2.4.6 bis 2.4.9 installiert werden.
NorForge begann seine Suche, nachdem Gambit Security über eine separate Kampagne im September berichtet hatte, bei der ein Krimineller Cairn mit zwei weiteren AI-Tools kombinierte, um Zahlungskartendaten zu stehlen. Es gibt keine Belege für eine Verbindung zwischen dieser Operation und den hier beschriebenen Aktivitäten. NorForge erklärte, gemeinsam mit Reuters an der Benachrichtigung der Opfer zu arbeiten und Hostinganbieter aufzufordern, die öffentlich zugänglichen Panels zu entfernen. Der Fortschritt hänge jedoch von den Reaktionen der Anbieter ab.