KI-Agenten kompromittieren über 100 Unternehmenswebsites – ein Akteur, ein Framework

Ein Akteur, über 1.200 Ziele, mehr als 100 Einbrüche

Ein einzelner chinesischsprachiger Akteur hat mit dem quelloffenen Framework Cairn und autonomen KI-Agenten mehr als 100 Unternehmenswebsites kompromittiert. Anvisiert waren über 1.200. Das geht aus einem Bericht des Sicherheitsunternehmens NorForge hervor, der vom 19. Oktober datiert und vorab an Reuters übermittelt wurde. Erfolgreiche Einbrüche dauerten im Schnitt rund 23 Stunden. Die Anweisungen umfassten weniger als 100 chinesische Schriftzeichen. Den Rest erledigten die KI-Agenten.

Entdeckt hat die Aktivität der NorForge-Forscher Snorre Fagerland. Er suchte nach Cairn-Instanzen, die versehentlich offen im Netz standen. Ab etwa dem 2. Oktober fand er rund zwei Dutzend Instanzen mit bösartiger Nutzung. Laut Gizmodo begann die Kampagne am 25. September. Sie richtete sich gegen E-Commerce- und Zahlungsinfrastruktur in den USA, Kanada, Australien und Japan.

Das größte der von NorForge identifizierten Cluster umfasst mehr als 1.100 Projekte auf 14 Dashboards. Laut NorForge zielt die Kampagne auf dauerhaften Zugang über Webshells, vermutlich zur späteren Monetarisierung. Die Ziele wurden nach Traffic priorisiert und vorab mit dem Browser-Automatisierungswerkzeug Playwright geprüft. Der Bericht nennt die Opfer nicht. Reuters hat sie nach eigener Prüfung der Cairn-Aktivität identifiziert.

Deere, SharkNinja und Cummins verweisen auf Randsysteme

Die genannten Unternehmen äußern sich zurückhaltend. Deere hat nach eigenen Angaben Abhilfemaßnahmen ergriffen und hat „keinen Hinweis, dass sensible Informationen abgerufen wurden“. SharkNinja nennt eine eigenständige Produkt-Support-Website als betroffen und erklärt, die Bedrohung sei eingedämmt. Cummins untersucht einen möglichen Cyberangriff auf eine Website, die ein Drittanbieter betreibt.

Die Darstellungen gehen auseinander. Gizmodo berichtet unter Berufung auf Reuters und NorForge von gestohlenen Daten, Kreditkartennummern und Kryptowährung. Die Unternehmen verweisen dagegen auf Randsysteme. Einen Widerspruch im engeren Sinn gibt es dabei nicht. Eine kompromittierte Website bedeutet weder zwingend Datenabfluss noch ein Eindringen ins Kernnetz. Ob tatsächlich Daten abgeflossen sind, lässt sich aus den vorliegenden Angaben der Unternehmen nicht ableiten.

Cairn: ein offenes Agenten-Framework ohne eingebaute Hacking-Werkzeuge

Cairn ist ein quelloffenes, Python-basiertes Allzweck-System zur Problemlösung mit KI-Agenten. Es arbeitet mit einer Blackboard- und Stigmergie-Architektur und wurde zunächst am autonomen Penetrationstesting validiert. Jede Aufgabe ist ein Projekt mit Ausgangspunkt und Ziel. Die Agenten arbeiten sich schrittweise voran und veröffentlichen Absichten und Funde auf einem gemeinsamen Blackboard. Unterstützt werden Claude-, Codex- und Pi-Backends. Die Ausführung läuft über Docker-Worker.

Das Framework enthält keine Sicherheitswerkzeuge. Scanner oder Exploit-Tools müssen Anwender selbst ergänzen. Dass NorForge die Aktivität verfolgen konnte, lag an offen zugänglichen Dashboards. Insgesamt identifizierte das Unternehmen drei Cluster mutmaßlich bösartiger Cairn-Nutzung. Anlass der Untersuchung war ein früherer Bericht von Gambit Security über automatisierte Angriffe auf Online-Händler.