Gli autonomous AI agents hanno raggiunto un tasso di successo del 10% negli attacchi ai siti web
Gli autonomous AI agents, sistemi software in grado di pianificare e completare una sequenza di attività con un intervento umano limitato, hanno tentato di violare più di 1.200 siti web. Reuters ha identificato nei registri degli aggressori siti appartenenti a più di 100 aziende, tra cui Deere, SharkNinja e Cummins. L'eventuale quantità di dati sottratti rimane sconosciuta.
La società di sicurezza NorForge ha scoperto l'attività mentre cercava su internet installazioni esposte di Cairn, un sistema open source che assegna agli AI agents un obiettivo iniziale e consente loro di perseguirlo passo dopo passo. Gli agenti condividono i risultati su una bacheca comune, dove un operatore umano può fornire ulteriori istruzioni. Cairn è stato creato per il penetration testing autorizzato, ossia controlli di sicurezza eseguiti con il permesso del proprietario del sistema, ma questi operatori lo hanno indirizzato contro negozi online senza autorizzazione. L'autore di Cairn ha dichiarato a Reuters che il software non era destinato ad attacchi o ad altri utilizzi dannosi.
A partire all'incirca dal 2 ottobre, NorForge ha individuato circa due dozzine di installazioni di Cairn associate ad attività dannose. Poiché i relativi pannelli di controllo erano accessibili dalla rete internet pubblica, l'azienda ha potuto osservare in tempo reale i progetti degli aggressori. NorForge ha suddiviso i sistemi esposti in tre cluster e ha valutato come probabilmente dannosi più di 20 pannelli. Ha pubblicato i propri risultati lunedì, mentre Reuters ha esaminato separatamente i registri per identificare le organizzazioni coinvolte.
Il cluster più grande, denominato AIA0001 da NorForge, utilizzava istruzioni in lingua cinese e collegava 14 pannelli di controllo a più di 1.100 progetti di attacco. Secondo NorForge, il suo obiettivo apparente era stabilire un accesso persistente ai sistemi di acquisto e pagamento per un possibile uso successivo. Gli obiettivi si trovavano negli Stati Uniti, in Giappone e in Australia. Secondo Reuters, l'operatore di lingua cinese indicava le tattiche preferite in meno di 100 caratteri cinesi, lasciando poi in gran parte che gli agenti procedessero autonomamente.
Un incarico comune chiedeva a un agente di trovare un modo per eseguire codice, cioè fare in modo che il server del sito web eseguisse software scelto dall'aggressore, e installare un web shell uploader. In questo caso, l'uploader era un modulo nascosto che salvava file anziché accettare direttamente comandi. Un aggressore avrebbe comunque potuto sostituire successivamente il file caricato con qualcosa di più dannoso. NorForge ha verificato una compromissione dichiarata riguardante un grande fornitore di componenti hardware e ha scoperto che l'uploader era ancora presente. Ha inoltre confermato in modo indipendente una compromissione presso un grandissimo rivenditore statunitense, dove gli agenti hanno individuato la singola impostazione del cookie che indirizzava un visitatore verso un server backend vulnerabile. Un cookie è una piccola porzione di informazioni memorizzata per un sito web, mentre un backend è il sistema lato server che opera dietro il sito.
Le modalità di accesso alle singole vittime variavano. In un'intrusione documentata, l'agente ha riferito di aver combinato un accesso in scrittura non autorizzato a un memcached session store, un sistema utilizzato per conservare temporaneamente le informazioni sulle sessioni del sito web, con l'elaborazione non sicura di oggetti PHP memorizzati e una debolezza nel vecchio codice di Zend Framework. PHP è un software ampiamente utilizzato per il funzionamento dei siti web, mentre Zend Framework fornisce componenti riutilizzabili per le applicazioni PHP. Si trattava di una specifica attack chain, non di un metodo universale utilizzato contro ogni obiettivo.
Le tre aziende nominate hanno dichiarato a Reuters che gli effetti sono stati limitati. Deere ha affermato di aver adottato misure correttive e di non aver trovato indicazioni di accesso a informazioni sensibili. SharkNinja ha dichiarato che l'incidente ha interessato un sito web separato dedicato all'assistenza sui prodotti e che la minaccia è stata contenuta. Cummins stava indagando su un possibile attacco contro un sito web gestito da uno dei suoi fornitori. Anche due aziende più piccole hanno confermato a Reuters di essere state compromesse.
NorForge ha calcolato che le intrusioni riuscite hanno richiesto in media poco meno di 23 ore. Considerando tutti gli strumenti osservati, il tasso di successo complessivo è stato di circa il 10%, sebbene l'azienda abbia avvertito che i cluster perseguivano obiettivi differenti e non potevano essere confrontati direttamente. La sua stima approssimativa ha indicato un costo medio di circa 5 dollari per ogni attività, compresi i tentativi falliti e abbandonati, con un notevole margine di incertezza. NorForge ha dichiarato separatamente a Reuters che la campagna ha consumato circa 5.000 dollari in AI tokens, le unità utilizzate per misurare l'uso dei modelli AI, equivalenti a circa 50 dollari per ogni compromissione riuscita.
Ogni attività di AIA0001 utilizzava un worker denominato claudecode_deepseek-v4.1-flash. Il nome potrebbe indicare DeepSeek V4.1 Flash utilizzato tramite Claude Code di Anthropic, ma né NorForge né Reuters hanno confermato i modelli sottostanti. Reuters ha riferito soltanto che l'attività sembrava coinvolgere DeepSeek e Claude Code.
I pannelli accessibili pubblicamente hanno creato un'ulteriore falla di sicurezza. Mostravano i siti presi di mira, le debolezze individuate, le credenziali e altri segreti di accesso ottenuti durante le operazioni. NorForge ha analizzato i dati dei pannelli con Trufflehog, uno strumento progettato per individuare segreti esposti, e ne ha trovati centinaia. Ha verificato che l'11% era ancora valido. Le interfacce sembravano inoltre esporre comandi per avviare e interrompere i progetti, fornire nuove informazioni e indirizzare gli agenti verso obiettivi diversi. NorForge non ha verificato se tali funzioni potessero essere utilizzate senza effettuare l'accesso.
Un secondo cluster, in lingua inglese, esponeva le credenziali SSH degli stessi operatori per gli staging servers. SSH, o Secure Shell, è un metodo per accedere da remoto a un computer. NorForge ha dichiarato di non aver utilizzato tali credenziali. Il problema non era limitato ai criminali: l'azienda ha trovato anche imprese di penetration testing apparentemente legittime che esponevano valutazioni reali dei clienti tramite pannelli Cairn non protetti, mettendo a rischio le informazioni dei clienti.
I responsabili della difesa possono cercare pannelli in stile Cairn esposti attraverso la port 8000, un punto di ingresso numerato della rete comunemente utilizzato da queste installazioni, e assicurarsi che ogni pannello legittimo richieda l'autenticazione. I proprietari dei siti web e i team di hosting dovrebbero inoltre indagare sulla presenza di moduli di caricamento imprevisti in directory nascoste. Questi erano i punti d'appoggio che gli agenti cercavano di stabilire.
NorForge ha inoltre trovato, nella directory di un worker, proof-of-concept code che dimostrava come sfruttare la vulnerabilità critica di Magento StyleSmuggler (CVE-2026-75650), insieme a un ambiente di test. Non vi sono prove che la falla sia stata utilizzata in queste intrusioni. L'hotfix di Adobe, un aggiornamento correttivo urgente, dovrebbe essere applicato alle installazioni interessate di Adobe Commerce dalla versione 2.4.4 alla 2.4.9 e di Magento Open Source dalla versione 2.4.6 alla 2.4.9.
NorForge ha iniziato la ricerca dopo che Gambit Security aveva segnalato una campagna separata di settembre, nella quale un criminale aveva combinato Cairn con altri due strumenti AI per rubare i dati delle carte di pagamento. Nessuna prova collega quell'operazione all'attività descritta qui. NorForge ha dichiarato di collaborare con Reuters per informare le vittime e di chiedere ai provider di hosting di rimuovere i pannelli esposti, sebbene i progressi dipendessero dalle risposte dei provider.