Autonomous AI agents arritën 10% sukses në sulmet ndaj faqeve të internetit
Autonomous AI agents, software që mund të planifikojë dhe të përfundojë një varg detyrash me udhëzim të kufizuar njerëzor, tentuan të depërtonin në më shumë se 1,200 faqe interneti. Reuters identifikoi në të dhënat e sulmuesve faqe që u përkisnin më shumë se 100 kompanive, përfshirë Deere, SharkNinja dhe Cummins. Sasia e të dhënave të marra, nëse është marrë ndonjë, mbetet e panjohur.
Kompania e sigurisë NorForge e zbuloi aktivitetin ndërsa kërkonte në internet instalime të ekspozuara të Cairn, një sistem open-source që u jep autonomous AI agents një objektiv fillestar dhe i lejon të punojnë për të hap pas hapi. Autonomous AI agents i ndajnë gjetjet e tyre në një panel të përbashkët, ku një operator njerëzor mund të japë udhëzime shtesë. Cairn u krijua për penetration testing të autorizuar, që do të thotë kontrolle sigurie të kryera me lejen e pronarit të sistemit, por këta operatorë e drejtuan atë kundër dyqaneve online pa autorizim. Autori i Cairn i tha Reuters se software nuk ishte menduar për sulme ose përdorime të tjera të dëmshme.
Duke filluar rreth 2 tetorit, NorForge gjeti afërsisht dy duzina instalimesh të Cairn të lidhura me aktivitet keqdashës. Për shkak se panelet e tyre të kontrollit ishin të aksesueshme përmes internetit publik, kompania mund t'i vëzhgonte projektet e sulmuesve në kohë reale. NorForge i ndau sistemet e ekspozuara në tri grupe dhe vlerësoi se më shumë se 20 panele ishin me gjasë keqdashëse. Ajo i publikoi gjetjet të hënën, ndërsa Reuters i shqyrtoi veçmas të dhënat për të identifikuar organizatat e prekura.
Grupi më i madh, i emërtuar AIA0001 nga NorForge, përdorte udhëzime në gjuhën kineze dhe lidhte 14 panele kontrolli me më shumë se 1,100 projekte sulmi. NorForge tha se objektivi i tij i dukshëm ishte krijimi i aksesit të vazhdueshëm në sistemet e blerjeve dhe pagesave për përdorim të mundshëm të mëvonshëm. Objektivat e tij ndodheshin në Shtetet e Bashkuara, Japoni dhe Australi. Sipas Reuters, operatori që fliste kinezisht dha taktikat e parapëlqyera me më pak se 100 karaktere kineze dhe më pas, në pjesën më të madhe, i lejoi autonomous AI agents të vazhdonin vetë.
Një detyrë e zakonshme i kërkonte një autonomous AI agent të gjente një mënyrë për të ekzekutuar kod, domethënë ta bënte serverin e faqes së internetit të ekzekutonte software të zgjedhur nga sulmuesi, dhe të instalonte një web shell uploader. Në këtë rast, uploader ishte një formular i fshehur që ruante skedarë, në vend që të pranonte drejtpërdrejt komanda. Megjithatë, një sulmues mund ta zëvendësonte më vonë skedarin e ngarkuar me diçka më të dëmshme. NorForge kontrolloi një komprometim të pretenduar që përfshinte një furnizues të madh pjesësh hardware dhe zbuloi se uploader ishte ende i pranishëm. Ajo konfirmoi gjithashtu në mënyrë të pavarur një komprometim te një shitës shumë i madh amerikan, ku autonomous AI agents zbuluan të vetmin konfigurim cookie që e drejtonte një vizitor te një backend server i cenueshëm. Një cookie është një pjesë e vogël informacioni e ruajtur për një faqe interneti, ndërsa një backend është sistemi në anën e serverit që qëndron pas faqes.
Mënyrat e hyrjes te viktimat individuale ndryshonin. Në një ndërhyrje të dokumentuar, autonomous AI agent raportoi se kishte kombinuar akses të paautorizuar shkrimi në një memcached session store, një sistem që përdoret për të mbajtur përkohësisht informacionin e sesioneve të faqes, me përpunimin e pasigurt të objekteve PHP të ruajtura dhe një dobësi në kodin e vjetër të Zend Framework. PHP është software që përdoret gjerësisht për funksionimin e faqeve të internetit, ndërsa Zend Framework ofron komponentë të ripërdorshëm për aplikacionet PHP. Ky ishte një attack chain i vetëm dhe jo një metodë universale e përdorur kundër çdo objektivi.
Tri kompanitë e përmendura i thanë Reuters se ndikimet ishin të kufizuara. Deere tha se kishte ndërmarrë masa korrigjuese dhe nuk kishte gjetur asnjë tregues se ishte aksesuar informacion sensitiv. SharkNinja tha se incidenti preku një faqe të veçantë interneti për mbështetjen e produkteve dhe se kërcënimi ishte frenuar. Cummins po hetonte një sulm të mundshëm kundër një faqeje interneti të operuar nga një prej furnizuesve të saj. Edhe dy biznese më të vogla i konfirmuan Reuters se ishin komprometuar.
NorForge llogariti se ndërhyrjet e suksesshme zgjatën mesatarisht pak më pak se 23 orë. Në të gjitha mjetet që vëzhgoi, norma e përgjithshme e suksesit ishte rreth 10%, megjithëse kompania paralajmëroi se grupet ndiqnin objektiva të ndryshëm dhe nuk mund të krahasoheshin drejtpërdrejt. Vlerësimi i saj i përafërt e vendoste koston mesatare në rreth $5 për çdo detyrë, duke përfshirë përpjekjet e dështuara dhe të braktisura, por me pasiguri të konsiderueshme. NorForge i tha veçmas Reuters se fushata konsumoi rreth $5,000 në AI tokens, njësitë që përdoren për të matur përdorimin e modeleve AI, të barasvlershme me afërsisht $50 për çdo komprometim të suksesshëm.
Çdo detyrë e AIA0001 përdorte një worker të quajtur claudecode_deepseek-v4.1-flash. Ky emër mund të tregojë se DeepSeek V4.1 Flash po përdorej përmes Anthropic's Claude Code, por as NorForge dhe as Reuters nuk i konfirmuan modelet bazë. Reuters tha vetëm se aktiviteti dukej se përfshinte DeepSeek dhe Claude Code.
Panelet e aksesueshme publikisht krijuan një dështim shtesë sigurie. Ato shfaqnin faqet e synuara, dobësitë e zbuluara, si dhe credentials dhe sekrete të tjera aksesi të marra gjatë punës. NorForge skanoi të dhënat e paneleve me Trufflehog, një mjet i krijuar për të gjetur sekrete të ekspozuara, dhe gjeti qindra të tilla. Ajo verifikoi se 11% mbeteshin të vlefshme. Interfaces dukej gjithashtu se ekspozonin kontrolle për nisjen dhe ndalimin e projekteve, dhënien e informacionit të ri dhe drejtimin e autonomous AI agents drejt objektivave të ndryshëm. NorForge nuk testoi nëse ato funksione mund të përdoreshin pa u identifikuar.
Një grup i dytë, në gjuhën angleze, ekspozoi credentials SSH të vetë operatorëve për staging servers. SSH, ose Secure Shell, është një metodë për të aksesuar një kompjuter nga larg. NorForge tha se nuk i përdori ato credentials. Problemi nuk kufizohej vetëm te kriminelët: kompania gjeti gjithashtu biznese në dukje legjitime të penetration testing që ekspozonin vlerësime reale të klientëve përmes paneleve të pasiguruara të Cairn, duke vënë në rrezik informacionin e klientëve.
Mbrojtësit mund të kërkojnë panele të tipit Cairn të ekspozuara përmes port 8000, një pikë hyrjeje e numërtuar në rrjet që përdoret zakonisht nga këto instalime, dhe të sigurohen që çdo panel legjitim të kërkojë authentication. Pronarët e faqeve të internetit dhe ekipet e hosting duhet të hetojnë gjithashtu formularët e papritur të ngarkimit në direktori të fshehura. Këto ishin pikat e hyrjes që autonomous AI agents përpiqeshin të krijonin.
NorForge gjeti gjithashtu proof-of-concept code, i cili tregon se si mund të shfrytëzohet një dobësi, për vulnerability kritik të Magento StyleSmuggler (CVE-2026-75650) në një direktori të worker, së bashku me një mjedis testimi. Nuk ka prova se kjo dobësi u përdor në këto ndërhyrje. hotfix i Adobe, një përditësim urgjent korrigjues, duhet të zbatohet në instalimet e prekura të Adobe Commerce 2.4.4 deri në 2.4.9 dhe Magento Open Source 2.4.6 deri në 2.4.9.
NorForge e nisi kërkimin pasi Gambit Security raportoi një fushatë të veçantë në shtator, gjatë së cilës një kriminel kombinoi Cairn me dy mjete të tjera AI për të vjedhur të dhënat e kartave të pagesës. Asnjë provë nuk e lidh atë operacion me aktivitetin e përshkruar këtu. NorForge tha se po punonte me Reuters për të njoftuar viktimat dhe po u kërkonte ofruesve të hosting të hiqnin panelet e ekspozuara, megjithëse përparimi varej nga përgjigjet e ofruesve.