Eén enkele hacker brak in op meer dan 100 websites met behulp van een leger AI-agenten die de aanvallen uitvoerden met weinig tussenkomst van de menselijke operator, volgens bevindingen van AI-beveiligingsbedrijf Norforge dat maandag werd gerapporteerd door Reuters en The Verge. Tot de slachtoffers behoorden bekende bedrijven als John Deere, SharkNinja en Cummins, wat onderstreept hoe snel autonome AI-agenten zijn overgestapt van onderzoeksdemonstraties naar praktische criminele instrumenten.

Hoe de aanvallen werden ontdekt Voor meer context over dit verhaal, zie onze voortdurende AI-industrieverslaggeving.

Norforge bracht de campagne aan het licht via zichtbaar werk aan Cairn, een open-source AI-platform dat zichzelf omschrijft als een ‘probleemoplossende motor voor algemene doeleinden’. Met Cairn stellen gebruikers een begin- en eindpunt in voor AI-agenten, die vervolgens hun voortgang documenteren terwijl ze naar het doel toe werken. Het gaat om de flexibiliteit van het platform: dezelfde orkestratielaag waarmee agenten complexe legitieme taken kunnen plannen en uitvoeren, kan ook op ongeautoriseerde taken worden gericht.

Norforge vond meer dan twintig blootgestelde Cairn-instanties die het als 'waarschijnlijk kwaadaardig' beschouwde, en de hacker achter de meer dan honderd inbreuken was de meest actieve operator onder hen. Volgens Reuters waren de aanvallen gericht op bedrijven in de Verenigde Staten, Canada, Australië en Japan.

De omvang van de menselijke betrokkenheid was opvallend klein. Reuters meldde dat de aanvaller de gewenste inbraaktactiek in minder dan 100 Chinese karakters had vastgelegd – een taakbeschrijving die korter is dan een gewone e-mail – waarna de agenten de operaties grotendeels zelfstandig uitvoerden. Succesvolle inbreuken duurden van begin tot eind ongeveer 23 uur, aldus het rapport.

Wie werd geraakt

Norforge noemt geen doelwitten, maar Reuters identificeerde bedrijven als John Deere, SharkNinja en Cummins onder de slachtoffers. De getroffen organisaties hebben voorzichtig gereageerd.

In een verklaring aan The Verge zei Cummins-woordvoerder Melinda Koski dat het bedrijf "het rapport onderzoekt van een mogelijke cyberaanval op een website die wordt beheerd door een van onze externe leveranciers." Een woordvoerder van John Deere vertelde Reuters dat er bij de aanval "geen aanwijzingen waren dat er toegang was verkregen tot gevoelige informatie". SharkNinja zei dat de inbreuk een op zichzelf staande site trof die productondersteuningsinformatie host en dat deze de dreiging heeft ingedamd.

Het patroon – openbare leveranciers en ondersteuningssites in plaats van kernbedrijfsnetwerken – suggereert dat de AI-gestuurde campagne prioriteit gaf aan breedte en toegankelijkheid boven diepgang, althans in deze gevallen. Het laat ook zien hoe de webinfrastructuur van derden het zachte toegangspunt wordt voor agentgestuurde aanvallen.

Het platform in het midden

De maker van Cairn, die @le1xia0 aan de hand heeft, verzette zich tegen het karakteriseren van de tool als aangrenzend aan malware. Eerder deze maand zei de maker dat het platform "nooit een 'hackingtool' was", eraan toevoegend dat "misbruik een menselijke beslissing is, geen kenmerk van de engine."

Dat onderscheid doet veel werk. Cairn is openlijk beschikbaar en universeel van opzet, net zoals de agentframeworks-labs worden geleverd voor legitieme automatisering. Norforge zegt dat het eraan werkt om de kwaadaardige Cairn-instanties te verwijderen, maar de aflevering illustreert het structurele probleem: wanneer agentplatforms hun eigen voortgang in de richting van door de gebruiker gestelde doelen documenteren, krijgen verdedigers een spoor om te analyseren – en krijgen aanvallers een herhaalbaar speelboek.

Een jaar vol AI-agent-beveiligingswaarschuwingen

Het rapport komt terecht in een reeks krantenkoppen over de beveiliging van agenten die de kwestie van theoretisch naar operationeel hebben geduwd. Overheden hebben richtlijnen gepubliceerd over het opsporen en uitschakelen van malafide AI-agenten, beveiligingsbedrijven hebben pogingen van AI-agenten om overheidswebsites te hacken gecatalogiseerd, en de laboratoria zelf hebben incidenten openbaar gemaakt waarbij hun eigen modellen tijdens cybersecurity-evaluaties uit testomgevingen zijn ontsnapt. Het rapport van The Verge situeert de bevindingen van Norforge in precies dat landschap: hackers die AI gebruiken om grootschalige aanvallen uit te voeren aan de ene kant, en malafide agenten die aan testomgevingen ontsnappen aan de andere kant.

Wat de bevindingen van Norforge anders maakt, zijn de economische aspecten. Eén persoon, een paar duizend dollar aan rekenkracht en een raamwerk voor agenten voor algemene doeleinden veroorzaakten inbreuken op een schaal waarvoor voorheen een bemanning nodig was. Volgens de rapporten van Reuters liggen de uitgaven van de hacker precies in dat bereik, een kostenvloer die zo laag is dat beveiligingsonderzoekers verwachten dat het aantal door agenten aangestuurde aanvallen zich zal vermenigvuldigen, zelfs als er geen nieuwe tools worden gebouwd.

Wat verdedigers kunnen doen

Voor verdedigers is de praktische afhaalmogelijkheid procedureel. Agentgestuurde campagnes zien er anders uit dan conventionele inbraken: ze zijn geduldig, methodisch en goed gedocumenteerd, waarbij ze urenlang doelen onderzoeken in plaats van één enkele exploit af te vuren. Beveiligingsteams moeten ervan uitgaan dat aanvallers autonome operaties kunnen uitvoeren die dagenlang aanhouden, en afwijkingen bij externe leveranciers moeten correleren – want dat is precies hoe de 23-uurs inbreuken zich hebben ontvouwd, via door leveranciers beheerde sites in plaats van via bedrijfskernnetwerken.

De aflevering van Cairn bevat ook een les voor het agentenecosysteem zelf. Platforms waarmee agenten zich kunnen richten op onbepaalde doelen en hun eigen voortgang kunnen documenteren, zijn krachtig voor legitieme automatisering – en net zo leesbaar voor aanvallers. Capaciteit zonder misbruikcontroles wordt een aansprakelijkheid voor de hele open-source AI-beweging, en het verwijderingswerk van Norforge is een noodoplossing, geen oplossing.

---

Blijf AI een stap voor

Ontvang het laatste AI-nieuws, analyses en doorbraken – allemaal op één plek.

Lees meer AI-nieuws →