Autonome KI-Agenten greifen über 1.200 Websites an – mehr als 100 Unternehmen betroffen

Aufgedeckt hat die Operationen der Sicherheitsforscher Snorre Fagerland von der Firma NorForge. Er durchsuchte das Internet nach offen erreichbaren Instanzen von Cairn, einem quelloffenen KI-Werkzeug, das in Angreiferkreisen beliebt ist. Ab etwa dem 2. Oktober fand er rund zwei Dutzend Cairn-Instanzen, die bösartig genutzt wurden; dadurch konnte er die Arbeit der Angreifer in Echtzeit mitlesen. Seine Ergebnisse legte er an einem Montag vor. Die Namen der Opfer wurden durch eine eigene Auswertung der Angreiferaktivitäten durch Reuters ermittelt, das auch die Aufzeichnungen des Angreifers einsah.

Cairn gibt KI-Agenten einen Ausgangspunkt und ein Ziel vor und lässt sie dann Schritt für Schritt darauf hinarbeiten. Die Agenten tragen ihre Funde auf einer gemeinsamen Pinnwand zusammen, der menschliche Betreiber kann unterwegs Hinweise ergänzen. Entwickelt wurde das Werkzeug für autorisierte Penetrationstests und erfüllt auch andere Aufgaben – hier wurde es jedoch ohne Erlaubnis gegen Online-Shops gerichtet. Der Autor von Cairn, der unter dem Namen „le1xia0" auftritt, erklärte gegenüber Reuters, das Werkzeug sei nicht für Hackerangriffe gedacht und ein schädlicher Einsatz sei nicht seine Absicht gewesen.

Drei Cluster, ein dominanter Akteur

NorForge ordnete die offenen Panels drei Clustern zu und stufte mehr als 20 davon als wahrscheinlich bösartig ein. Das aktivste Cluster, von NorForge AIA0001 genannt, ist chinesischsprachig und verknüpft 14 Panels mit mehr als 1.100 Angriffsprojekten. Ziel sei offenbar dauerhafter Zugang zu Shop- und Zahlungssystemen für eine spätere Nutzung, so NorForge; die Ziele lagen in den USA, Japan und Australien.

Eine typische Aufgabenstellung wies die Agenten an, einen Weg zur Codeausführung auf einem Shop zu finden und anschließend einen Web-Shell-Uploader zu platzieren. Dabei handelt es sich um ein Formular, das hochgeladene Dateien speichert – nicht um eines, das Befehle ausführt. Angreifer können es jederzeit gegen etwas Gefährlicheres austauschen.

NorForge überprüfte einen behaupteten Einbruch bei einem großen Händler für Hardware-Teile und fand die Web Shell dort aktiv vor. Unabhängig bestätigt wurde zudem die Kompromittierung eines sehr großen US-Einzelhändlers: Dort fanden die Agenten die eine Cookie-Einstellung, über die ein verwundbarer Backend-Server ausgewählt wurde.

Reaktionen der Unternehmen

Die drei namentlich genannten Unternehmen erklärten gegenüber Reuters, der Schaden sei begrenzt. Deere gab an, Maßnahmen zur Behebung ergriffen zu haben und keine Anhaltspunkte für einen Zugriff auf sensible Informationen zu sehen. SharkNinja erklärte, der Angriff habe eine eigenständige Produkt-Support-Seite getroffen, die Bedrohung sei eingedämmt worden. Cummins untersuche einen Hinweis auf einen möglichen Angriff auf eine Website, die von einem seiner Zulieferer betrieben wird. Zwei kleinere Unternehmen berichteten Reuters ebenfalls von einer Kompromittierung.

Ein dokumentierter Einbruch lief nach Darstellung des Agenten selbst über unbefugten Schreibzugriff auf einen Memcached-Session-Speicher, unsichere Verarbeitung gespeicherter PHP-Objekte und eine Schwäche in altem Zend-Framework-Code. Die Angriffswege unterscheiden sich von Opfer zu Opfer – es handelt sich also um eine Kette, nicht um eine einheitliche Methode.

Billig, schnell und kaum beaufsichtigt

Die Anweisungen fielen knapp aus: Der chinesischsprachige Betreiber skizzierte seine bevorzugte Taktik in weniger als 100 chinesischen Schriftzeichen, wie Reuters berichtete; den Rest erledigten die Agenten selbst. Erfolgreiche Einbrüche dauerten nach den Feststellungen von NorForge im Schnitt knapp 23 Stunden, die Erfolgsquote über alle beobachteten Werkzeuge hinweg lag bei rund zehn Prozent. NorForge schränkte allerdings ein, dass die Cluster unterschiedliche Ziele verfolgen und nicht direkt vergleichbar sind.

Die Kosten waren niedrig, die Zahlen jedoch grob: NorForge veranschlagt im Mittel etwa fünf US-Dollar je Aufgabe, einschließlich fehlgeschlagener oder vorzeitig abgebrochener Versuche, und verweist auf eine erhebliche Unsicherheit. Fagerland nannte gegenüber Reuters separat eine Größenordnung von rund 5.000 US-Dollar an Token-Kosten für die gesamte Kampagne, also etwa 50 US-Dollar je erfolgreichem Einbruch.

Sämtliche AIA0001-Aufgaben liefen unter einem Worker namens claudecode_deepseek-v4.1-flash. Das könnte auf ein DeepSeek-V4.1-Flash-Modell hindeuten, das über Anthropics Claude Code gesteuert wird. Weder der Forscher noch Reuters bestätigten die eingesetzten Modelle; Reuters sprach lediglich davon, dass die Kampagne DeepSeek und Claude Code zu nutzen schien.

Offene Panels verraten auch die Geheimnisse der Opfer

Ein ungeschütztes Cairn-Panel ist ein eigenständiges Problem neben den Einbrüchen. Die Oberflächen zeigen, wer angegriffen wird, welche Schwächen gefunden wurden und welche Zugangsdaten und Schlüssel erbeutet wurden. Wer auf einer offenen Instanz getestet wird, kann seine Geheimnisse offenlegen – unabhängig vom Ergebnis des Tests.

NorForge ließ den Secrets-Scanner Trufflehog über die Paneldaten laufen und fand Hunderte Geheimnisse, von denen elf Prozent als weiterhin gültig verifiziert wurden. Die Panels geben offenbar auch den vollen Funktionsumfang des Werkzeugs preis, einschließlich der Möglichkeit, Projekte zu starten und zu stoppen, neue Daten einzuspeisen und Agenten auf andere Ziele zu richten. Ob diese Steuerungen ohne Anmeldung funktionieren, hat NorForge nach eigenen Angaben nicht getestet. Ein zweites, englischsprachiges Cluster ging noch weiter und legte die SSH-Zugänge der Betreiber zu ihren Staging-Servern offen; NorForge erklärte, sich dort nicht angemeldet zu haben.

Das Problem betrifft nicht nur Kriminelle: NorForge stieß auch auf augenscheinlich legitime Penetrationstest-Firmen, die echte Kundentests auf ungesicherten Panels liegen ließen – mit demselben Risiko für die Daten ihrer Kunden.

Was Verteidiger prüfen sollten

• Offene Panels: Agenten-Steuerungsoberflächen dieser Art antworten häufig auf Port 8000; eine erreichbare Instanz ohne Anmeldung lohnt die Suche.
• Unerwartete Upload-Formulare: Ein unbekanntes Datei-Upload-Formular in einem versteckten Verzeichnis ist genau der Brückenkopf, auf den die Agenten abzielten.
• Magento aktualisieren: In einem von NorForge eingesehenen Worker-Verzeichnis lagen ein Proof-of-Concept für eine kritische Magento-Lücke namens StyleSmuggler (CVE-2026-75650) sowie ein Testlabor dafür. Es gibt keine Hinweise darauf, dass die Lücke bei diesen Einbrüchen genutzt wurde; betroffene Shops sollten den Hotfix von Adobe dennoch einspielen. Betroffen sind Adobe Commerce 2.4.4 bis 2.4.9 sowie Magento Open Source 2.4.6 bis 2.4.9.

Anlass für die Suche von NorForge war ein Bericht von Gambit Security aus dem September über eine separate Kampagne, bei der ein Krimineller Cairn zusammen mit zwei weiteren KI-Werkzeugen zum Diebstahl von Kreditkartendaten einsetzte. Dieser Bericht machte Cairn erstmals auf einem Angreiferserver sichtbar. Eine Verbindung zwischen beiden Operationen stellt keine Quelle her.

NorForge erklärte, gemeinsam mit Reuters Opfer zu warnen und Hosting-Anbieter zur Abschaltung der Panels aufzufordern – ein Vorgehen, dessen Erfolg von der Reaktion der Hoster abhänge.