Haker z armią agentów AI włamał się do ponad 100 firm

Co ustalił NorForge

NorForge, firma specjalizująca się w sandboxach dla agentów AI, opublikowała 19 października raport o platformie Cairn. Autorem ustaleń jest badacz Snorre Fagerland. Cairn to projekt open source opisywany przez twórcę jako uniwersalny silnik rozwiązywania problemów. Użytkownik wskazuje cel i stan końcowy, a zespół agentów AI sam planuje kolejne kroki i zapisuje postępy.

Badacze trafili na ponad 20 paneli Cairn wystawionych do internetu bez zabezpieczeń, które uznali za prawdopodobnie złośliwe. Pogrupowali je w trzy klastry liczące łącznie 25 paneli. Największy, oznaczony AIA0001, zawierał treści po chińsku, obejmował 14 paneli i ponad 1100 projektów ataków, głównie na organizacje z USA, Japonii i Australii.

Z paneli dało się odczytać cele, znalezione słabości i zdobyte dane logowania. NorForge pisze o setkach sekretów, takich jak klucze i hasła, z których 11 proc. narzędzie Trufflehog potwierdziło jako wciąż ważne. Wśród wystawionych paneli były też instalacje legalnych zespołów red team, czyli testerów zabezpieczeń działających na zlecenie, co naraża ich klientów.

Jak agenty AI prowadziły ataki

Według Reutersa haker opisał preferowane metody włamań w mniej niż 100 chińskich znakach. Resztę wykonywały agenty: rozpoznawały cel, szukały słabych punktów, sprawdzały sposoby ich wykorzystania i próbowały uzyskać dostęp. Człowiek ograniczał się do wyznaczenia celu i odbioru wyników.

Nazwy procesów roboczych w panelach sugerują, że klaster AIA0001 korzystał z nakładki w stylu Claude Code połączonej z modelem DeepSeek 4.1 Flash, a drugi klaster wywoływał modele DeepSeek przez serwis OpenRouter. NorForge zaznacza, że to wniosek z nazw, a nie potwierdzona konfiguracja. Szczegóły techniczne ataków pomijamy, bo nie są potrzebne do oceny zagrożenia.

• ponad 1200 zaatakowanych stron i ponad 100 skutecznych włamań (Reuters, PAP),
• ok. 10 proc. skuteczności projektów w klastrze AIA0001 (NorForge),
• niecałe 23 godziny od startu do osiągnięcia celu przy udanych projektach (NorForge),
• ok. 5 USD średniego kosztu zadania, czyli ok. 19,49 zł; duże projekty przekraczały 100 USD (NorForge),
• ok. 50 USD za udane włamanie i ok. 5 tys. USD, czyli ok. 19 487 zł, za całą kampanię (Reuters, PAP).

Kto ucierpiał i co mówią firmy

NorForge nie podaje nazw ofiar. Reuters ustalił, że wśród nich są producent maszyn rolniczych Deere, producent sprzętu AGD SharkNinja i producent silników Cummins. Ataki dotyczyły firm z USA, Kanady, Australii i Japonii.

Rzecznik Deere powiedział Reutersowi, że nic nie wskazuje na dostęp do poufnych informacji. SharkNinja poinformował, że naruszenie dotyczyło osobnej strony z informacjami o wsparciu produktów i zostało opanowane. Cummins przekazał The Verge, że sprawdza doniesienia o możliwym ataku na stronę prowadzoną przez jednego z zewnętrznych dostawców. Nie wiadomo, ile danych wyciekło z pozostałych firm.

Twórca Cairn, występujący pod pseudonimem le1xia0, napisał wcześniej w październiku, że platforma nigdy nie była narzędziem hakerskim, a nadużycie to decyzja człowieka. NorForge razem z Reutersem powiadamia poszkodowanych i stara się o wyłączenie paneli, choć zależy to od reakcji firm hostingowych.

Dlaczego koszt ataku ma znaczenie

Najważniejszy wniosek z raportu dotyczy ekonomii. Jedno udane włamanie za ok. 50 USD oznacza, że atakującemu opłaca się celować w strony, których wcześniej nie warto było ręcznie badać: serwisy dostawców, stare podstrony, strony kampanii i portale wsparcia. W przypadku SharkNinja i Cummins zaatakowane zostały właśnie strony poboczne lub prowadzone przez podwykonawcę.

To kolejny sygnał z tej samej serii. PAP przypomina, że w sierpniu rosyjskojęzyczni przestępcy włamali się z pomocą agentów AI do siedmiu organizacji, a izraelska firma Gambit Security opisała wrześniowe ataki na 25 firm, po których skradziono dane co najmniej 600 tys. kart płatniczych. W naszej ocenie zmienia się nie rodzaj ataków, lecz ich skala i cena.

Ograniczenia i niewiadome

Liczby z raportu NorForge są szacunkami opartymi na tym, co było widać w otwartych panelach. Firma sama zastrzega, że wyliczenia kosztów obarczone są dużą niepewnością. Liczba ponad 100 włamanych firm i ponad 1200 zaatakowanych stron pochodzi z publikacji Reutersa, której pełnego tekstu nie udało się nam otworzyć, dlatego opieramy się na relacjach The Verge i PAP.

Nie wiadomo, kim jest haker ani czy działał sam. Dostawcy modeli DeepSeek i Anthropic nie komentowali raportu do chwili publikacji. Użycie konkretnych modeli wynika wyłącznie z nazw procesów zapisanych w panelach.

Co mogą zrobić polskie firmy

Nic nie wskazuje, by wśród ofiar były firmy z Polski, ale tani i zautomatyzowany atak nie wybiera celów według kraju. Agenty szukają po prostu słabo chronionych stron. Najwięcej ryzykują firmy, które mają wiele zapomnianych serwisów i powierzają ich utrzymanie różnym podwykonawcom.

1. Sporządź listę wszystkich domen i podstron firmy, także tych prowadzonych przez agencje i dostawców, i wyłącz nieużywane.
2. Przejrzyj repozytoria i konfiguracje pod kątem zapisanych haseł oraz kluczy API, a ujawnione sekrety od razu wymień.
3. Zapisz w umowach z dostawcami stron obowiązek aktualizacji oprogramowania i zgłaszania incydentów w określonym czasie.
4. Monitoruj nietypowo długie i metodyczne skanowanie stron, bo agenty AI potrafią pracować bez przerwy przez wiele godzin.
5. Incydent zgłoś do CERT Polska, a jeśli doszło do naruszenia danych osobowych, oceń obowiązek zgłoszenia do UODO w ciągu 72 godzin.