Agenci AI jednego hakera włamali się na strony John Deere za 50 dolarów każda

Jeden haker włamał się na strony internetowe ponad stu firm, w tym producenta maszyn rolniczych Deere, marki sprzętu AGD SharkNinja i producenta silników Cummins, a niemal całą pracę zlecił agentom AI. Napastnik w kilku linijkach po chińsku nakreślił swoje ulubione taktyki włamań, po czym pozwolił agentom przez wiele godzin sprawdzać kolejne cele i wdzierać się do nich bez dalszej pomocy. Snorre Fagerland, główny badacz zagrożeń w firmie zajmującej się bezpieczeństwem NorForge, obserwował przebieg ataku. Jak mówi, każde udane włamanie kosztowało napastnika około 50 dolarów w zużyciu AI.

Taka cena zmienia listę potencjalnych celów. Włamanie na stronę firmy wymagało kiedyś kilku dni cierpliwej pracy wykwalifikowanego człowieka, dlatego przestępcy wybierali tylko cele warte wysiłku. Gdy maszyna może sprawdzać zabezpieczenia za cenę obiadu na wynos, warto zaatakować także sklepy internetowe, którym powierzamy adres i numer karty — nawet te małe. Fagerland powiedział Reutersowi, że zakładał, iż agentami hakerskimi nadal będzie musiał kierować człowiek. Obserwowana przez niego kampania pokazała, że technologia już wyszła poza ten etap.

Napastnika zdradziły używane przez niego narzędzia. Fagerland skanował internet w poszukiwaniu publicznie dostępnych kopii Cairn — otwartej platformy, która pozwala agentom AI samodzielnie rozwiązywać problemy, prowadząc je od punktu początkowego do celu, i zapisuje każdy krok. Od początku października znalazł około dwóch tuzinów ujawnionych instalacji Cairn, na których uruchamiano złośliwe zadania. Dzięki temu mógł na bieżąco czytać dzienniki pracy agentów. Haker mówiący po chińsku był najbardziej aktywnym członkiem tej grupy. Inny operator ukradł ogromny zbiór danych kart kredytowych, a jeszcze inny próbował skłonić swoich agentów do obrabowania giełdy kryptowalut.

Z danych Fagerlanda wynika, że najbardziej intensywna kampania była wymierzona w sklepy internetowe w Stanach Zjednoczonych, Kanadzie, Australii i Japonii. Do końca ubiegłego tygodnia agenci próbowali włamać się na ponad 1200 stron. Udane włamanie wymagało około 23 godzin prób i błędów, a na całą akcję zużyto tokeny o wartości mniej więcej 5000 dolarów, korzystając z różnych modeli DeepSeek i Claude Code. W jednym przypadku agenci nie znaleźli słabych punktów w głównej aplikacji internetowej dużej firmy, więc poszukali w publicznych rejestrach innych powiązanych z nią serwerów. Znaleźli niezabezpieczony panel administracyjny, a następnie przez wiele godzin testowali subtelny błąd w sposobie przetwarzania danych. Jak sami później napisali, w końcu udało im się skłonić serwer do wykonania własnych poleceń. „Niełatwo wymyślić takie rozwiązania” — powiedział Fagerland. „To nie jest robota dla amatorów, którzy odpalają gotowe skrypty”.

Nie wszystko jest jednak jasne. Raport NorForge nie wymienia poszkodowanych firm; Reuters zidentyfikował Deere, SharkNinja i Cummins, analizując aktywność napastnika na platformie Cairn, ale nie zdołał ustalić, czy i ile danych wykradziono. Deere poinformowało, że podjęło „niezbędne działania naprawcze” i „nie ma przesłanek, by uznać, że uzyskano dostęp do poufnych informacji”. SharkNinja przekazało, że atak dotknął niezależnej strony zawierającej wyłącznie informacje o pomocy technicznej dotyczącej produktów, a zagrożenie zostało opanowane. Cummins poinformowało, że bada możliwość ataku na stronę prowadzoną przez jednego ze swoich zewnętrznych dostawców. Dwie mniejsze firmy potwierdziły, że doszło do włamania, a pozostałe nie odpowiedziały. Włamanie na stronę pomocy technicznej to nie to samo co atak na bazę danych klientów, a agenci nadal potrzebowali niemal całego dnia na każdy cel.

Twórca Cairn przekonuje, że platforma nie powstała jako narzędzie do ataków. Programista, publikujący pod pseudonimem le1xia0, napisał na X, że platforma to „innowacyjny rodzaj architektury wieloagentowej, który nie został zaprojektowany z myślą o atakach hakerskich”, dodając: „Jeśli ktoś wykorzystuje ją do przeprowadzania szkodliwych ataków hakerskich, nie jest to moją intencją”. Na początku tego miesiąca ten sam twórca napisał, że nadużycie „jest decyzją człowieka, a nie funkcją silnika”. Problem w tym, że narzędzie, które bez zmęczenia sprawdza tysiąc dróg do celu, nie rozróżnia rozwiązanej łamigłówki od serwera.

Przypadek opisany przez NorForge to jak dotąd najbardziej wyrazisty obraz trendu, który badacze obserwują od miesięcy. W sierpniu izraelska firma Gambit Security odkryła, że rosyjskojęzyczni szantażyści wykorzystali narzędzie AI do pisania kodu, by włamać się do siedmiu organizacji. We wrześniu opisała z kolei serię ataków prowadzonych przez agentów, które dotknęły 25 firm i doprowadziły do kradzieży co najmniej 600 tysięcy danych kart kredytowych. W ubiegłym tygodniu firma wywiadu o zagrożeniach Bitsight poinformowała, że na forach cyberprzestępców coraz częściej mówi się o autonomicznych agentach.

NorForge informuje, że pracuje nad wyłączeniem złośliwych instalacji Cairn, a raport opublikowano 19 października. Ich usunięcie zamknie okno, przez które Fagerland obserwował działania napastników, ale nie wyeliminuje samych agentów. Wystarczy, że następna kampania ukryje swój panel zarządzania.

Tagi: cyberbezpieczeństwo, agenci AI, Cairn, Cummins, John Deere, NorForge