AREX Feed Article
NorForge 称自主 AI agent 替一名中文使用者攻入 100 多家公司网站，每次约 50 美元
路透社 10 月 19 日的独家报道称，一名讲中文的攻击者从 9 月 25 日起，把针对美国、加拿大、澳大利亚和日本电商网站的入侵几乎全部交给自主运行的 AI agent（智能体）。截至上周晚些时候，这些 agent 对 1,200 多个站点发起过入侵尝试，100 多家公司的网站被攻入，其中包括农机厂商 Deere、小家电公司 SharkNinja 和发动机制造商 Cummins。这篇报道由路透社记者 Raphael Satter 署名，《San Luis Obispo Tribune》。
这些发现来自安全公司 NorForge 的首席威胁研究员 Snorre Fagerland。他提交给路透社的报告称，成功入侵通常要花约 23 小时；他估算整场行动消耗了价值约 5,000 美元的 token，折合每次成功入侵约 50 美元。路透社说，该社通过独立查看该攻击者在 Cairn 上的活动，确认了受害者身份。
图源：NorForge《Inside Cairn》报告
公网上的 Cairn 面板
Cairn 被路透社描述为一款开源 AI 问题求解平台，在攻击者中颇受欢迎。按 的说法，它并不专用于渗透测试，而是一个基于状态的问题求解引擎：操作者给出起点和预设终点，agent 在两者之间一轮轮产生“意图”和“事实”，把每条发现贴到项目内部的共享黑板上，人类操作者也可以往同一块黑板上加提示。每个任务在 Cairn 里是一个 project。目标由人设定，但具体的探测和利用由 agent 自己推进。
Cairn 的面板是普通网页，用商用互联网扫描服务就能识别。Fagerland 说，他从 10 月 2 日前后开始，在 Shodan 和 Censys 上陆续找到二十多个被用于恶意活动的 Cairn 实例，从而能在攻击者把 agent 放出去时近距离旁观。
NorForge 把这些活动按语言和基础设施分成三组。中文的 AIA0001 有 14 个面板、1,100 多个攻击项目，托管在 AS56594，即 Cgi Global Limited 的网络；NorForge 以高置信度判定这组活动为恶意，它也是三组里最活跃的。英文的 AIA0002 关联了 10 个面板，目标集中在商户支付、灰色支付站、药品站，甚至包括一个明显的 carding 站（专门交易盗刷信用卡数据的站点）。只有一个面板的 AIA0003 列出 59 个项目，NorForge 对它的判定置信度低。
报告没有公布这些面板的地址，理由是许多仍在运行，且含有目标身份、已发现的弱点和凭据。
不到 100 个汉字的任务书
路透社称，这名攻击者给 agent 的指令很简短，用不到 100 个汉字勾勒出偏好的入侵手法。NorForge 公开了一份“典型任务”的原文，大意是：目标是四国（US/CA/JP/AU）已确认的真实购物电商站，流量 20 万～150 万，已用 Playwright（微软的浏览器自动化框架）验证可以下单；要找未认证的远程代码执行（RCE），包括命令执行、代码注入、反序列化、文件上传 webshell（网页后门）、SQL 注入导致 RCE、服务端模板注入（SSTI）、服务端请求伪造（SSRF）导致 RCE；优先级是登录 SQL 注入、未认证端点、文件上传、反序列化、认证绕过、账户接管；落地点用 uploader shell，即 HTML 上传表单加 move_uploaded_file 保存文件，明确不要命令执行型 webshell。任务只有在 whoami/id 输出确认命令执行时才算达成目标。
任务由自动化流程批量送入：目标站点先经 Playwright 验证、按流量排序，再交给 Cairn 处理。报告还发现一处粗心的自动化痕迹：多个面板上的目标域名都被多删了一个首字母“w”，“Wholesale”变成“holesale”，说明它们共用一个有 bug 的域名规范化程序。
对 996 个去重目标域名的分类显示，768 个属于零售与批发，其余分布在金融服务与支付（52 个）、旅游酒店与休闲（48 个）、制造与工业（24 个）等类别。受攻击的目标远不止零售商。
图源：NorForge《Inside Cairn》报告
每个任务约 5 美元，整体成功率约 10%
路透社举了一个案例：agent 在一家大型公司的对外应用上找不到弱点，转去翻查数字记录，找到关联的基础设施，定位到一个对外的控制面板，发现它处理数据的方式有细微缺陷，经过数小时试错，最终诱使服务器执行恶意命令。Fagerland 的评价是：“想出这样的办法并不简单，这不是脚本小子的东西。”
NorForge 单独看了从项目开始走到目标达成的案例：AIA0001 中这类项目平均每个产生 140 条“事实”，也有项目跑了五天以上。
报告称，即便如此，成本仍然相对便宜。按 NorForge 的另一个口径，把失败和提前结束的项目也算进去，平均每个任务约 5 美元，运行时间长的项目（有的超过 1,000 条意图和事实）可能超过 100 美元。报告明确说这个估算的不确定性很大。
各集群的成功率差别很大。NorForge 估计，它看到的这些工具整体平均成功率在 10% 左右；分组看，AIA0001 的 1,139 个项目中有 96 个（8.4%）报告了实质结果，英文的 AIA0002 则是 71 个项目里 32 个（45.1%），但报告提醒，各集群的目标不同，对“成功”的定义也不同，不能直接比较。三个集群合计 134 个有实质结果的项目里，56 个是 webshell 或远程代码执行，28 个是数据库访问或数据外泄，20 个是账户接管，13 个涉及加密货币钱包数据，9 个涉及支付卡数据，8 个是文件、配置等其他类型。这些数字统计的都是项目，不是公司。
Deere、SharkNinja、Cummins 的回应
Deere 对路透社说，事件后已采取“必要的补救措施”，并且“没有迹象表明敏感信息被访问”。SharkNinja 说，被攻入的是一个只放产品支持信息的独立站点，威胁已被控制。Cummins 说，正在“调查有关我们一家第三方供应商运营的网站可能遭到网络攻击的报告”。另有两家较小的企业承认被入侵；Cairn 数据里列出的其他受害者没有回复路透社的问询。
路透社说，无法确认这些入侵在多大程度上导致未经授权的数据提取。NorForge 则验证了其中一次声称的入侵：一家大型五金件供应商站点上，任务记录提到的 shell 地址确实在提供一个上传表单。
Cairn 作者：这不是为攻击而设计的
路透社联系了使用 le1xia0 这一社交媒体账号的 Cairn 作者。对方确认收到了路透社的消息，但没有立即回答路透社列出的一串问题。此前，该账号在 X 上表示，Cairn 是“一种创新的多智能体架构，并非为黑客攻击而设计”，如果被用来实施有害的黑客攻击，“那不是我的本意”。
NorForge 还用密钥扫描工具 Trufflehog 扫描了这些面板的数据，发现数百条各类密钥和凭据，其中 11% 被验证为有效。面板看起来完全没有保护，连启动和停止项目、插入数据、把 agent 重定向到其他目标这类管理功能也暴露在外。报告说，出于显而易见的原因，研究人员没有测试这些控制功能能否在未授权的情况下操作。一些合法的安全测试公司也以同样的方式把客户的测试项目暴露在公网上。
Fagerland 原本以为 agent 需要人盯着
Fagerland 说，他此前以为黑客使用的 agent 至少需要一些人工监督，现在则很明显，技术已经越过了那个阶段。“这是一个新世界了，”他对路透社说，并称这次发现是市面可得的 AI agent 能在无人干预下从头到尾完成复杂入侵的真实世界证据。
路透社提到，9 月以色列公司 Gambit Security 记录了一次由 AI agent 驱动的行动，25 家公司被攻入，至少 60 万条信用卡记录被窃；上周，网络情报公司 Bitsight 说，网络犯罪论坛上关于如何使用自主 agent 的讨论正在激增；韩国和日本近几周也接连出现被归因于使用 AI 的网络犯罪分子的入侵事件。
NorForge 说，该公司一直在与路透社合作通知受害者，尤其是那些似乎已被攻破的，并试图让涉事 Cairn 面板下线。报告写道，这可能做不到，取决于托管商如何回应下架请求。