En enda hackare bröt sig in på mer än 100 webbplatser med hjälp av en armé av AI-agenter som utförde attackerna med liten inblandning från den mänskliga operatören, enligt resultat från AI-säkerhetsföretaget Norforge som rapporterades på måndagen av Reuters och The Verge. Offren inkluderade välkända företag som John Deere, SharkNinja och Cummins, som underströk hur snabbt autonoma AI-agenter har flyttat från forskningsdemonstrationer till praktiska kriminella verktyg.
Hur attackerna upptäcktes För mer sammanhang om den här historien, se vår pågående AI-industribevakning.
Norforge avslöjade kampanjen genom avslöjat arbete på Cairn, en AI-plattform med öppen källkod som beskriver sig själv som en "allmän problemlösningsmotor." Med Cairn sätter användarna en start- och slutpunkt för AI-agenter, som sedan dokumenterar deras framsteg när de arbetar mot målet. Plattformens flexibilitet är poängen: samma orkestreringslager som låter agenter planera och utföra komplexa legitima uppgifter kan också riktas mot obehöriga.
Norforge hittade mer än 20 exponerade Cairn-instanser som man bedömde som "sannolikt skadliga", och hackaren bakom över 100 intrång var den mest aktiva operatören bland dem. Enligt Reuters riktade attackerna sig mot företag baserade i USA, Kanada, Australien och Japan.
Omfattningen av mänskligt engagemang var slående liten. Reuters rapporterade att angriparen lade ut föredragna intrångstaktik med färre än 100 kinesiska tecken - en uppgiftsbeskrivning kortare än ett vanligt e-postmeddelande - varefter agenterna skötte operationerna i stort sett på egen hand. Framgångsrika intrång tog cirka 23 timmar från början till slut, sa rapporten.
Vem blev påkörd
Norforge nämner inga mål, men Reuters identifierade företag inklusive John Deere, SharkNinja och Cummins bland offren. De berörda organisationerna har reagerat försiktigt.
I ett uttalande till The Verge sa Cummins talesman Melinda Koski att företaget "undersöker rapporten om en potentiell cyberattack på en webbplats som drivs av en av våra tredjepartsleverantörer." En talesperson för John Deere sa till Reuters att det inte fanns "ingen indikation på att känslig information var tillgänglig" i attacken. SharkNinja sa att intrånget påverkade en fristående webbplats med produktsupportinformation och att den har inneslutit hotet.
Mönstret – offentliga leverantörer och supportwebbplatser snarare än företagens kärnnätverk – antyder att den AI-drivna kampanjen prioriterade bredd och tillgänglighet framför djup, åtminstone i dessa fall. Det visar också hur tredje parts webbinfrastruktur blir den mjuka ingången för agentdrivna attacker.
Plattformen i centrum
Cairns skapare, som går i handtaget @le1xia0, tryckte sig tillbaka mot att karakterisera verktyget som intill skadlig programvara. Tidigare den här månaden sa skaparen att plattformen "aldrig var ett "hackingverktyg", och tillade att "missbruk är ett mänskligt beslut, inte en egenskap hos motorn."
Den distinktionen gör mycket jobb. Cairn är öppet tillgängligt och är designat för allmänna ändamål, ungefär som agentens ramverk som labs levererar för legitim automatisering. Norforge säger att det arbetar för att få bort de skadliga Cairn-instanserna, men avsnittet illustrerar det strukturella problemet: när agentplattformar dokumenterar sina egna framsteg mot användaruppsatta mål får försvarare ett spår att analysera – och angripare får en upprepningsbar spelbok.
Ett år av säkerhetsvarningar för AI Agent
Rapporten landar mitt i en rad agent-säkerhetsrubriker som har drivit frågan från teoretiskt till operativt. Regeringar har publicerat vägledning om att upptäcka och stänga av oseriösa AI-agenter, säkerhetsföretag har katalogiserat försök från AI-agenter att hacka statliga webbplatser, och labben själva har avslöjat incidenter där deras egna modeller bröt sig ur testmiljöer under cybersäkerhetsutvärderingar. Verges rapport placerar Norforge-fynden i exakt det landskapet: hackare som använder AI för att utföra storskaliga attacker på ena sidan, och oseriösa agenter som flyr testmiljöer på den andra.
Det som gör Norforge-fynden annorlunda är ekonomin. En person, några tusen dollar i beräkningar och ett ramverk för allmänt ändamål skapade intrång i en omfattning som tidigare skulle ha krävt en besättning. Reuters rapportering placerade hackarens utgifter i exakt det intervallet, ett kostnadsgolv som är tillräckligt lågt för att säkerhetsforskare förväntar sig att agentdrivna attacker ska öka även om inga nya verktyg byggs.
Vad försvarare kan göra
För försvarare är den praktiska avhämtningen processuell. Agentdrivna kampanjer ser annorlunda ut än konventionella intrång: de är tålmodiga, metodiska och väldokumenterade, som undersöker mål över timmar snarare än avfyrar en enda exploatering. Säkerhetsteam bör anta att angripare kan köra autonoma operationer som pågår i dagar, och bör korrelera anomalier mellan tredjepartsleverantörer – eftersom det är precis så 23-timmarsbrotten utvecklades, genom leverantörsstyrda webbplatser snarare än företagets kärnnätverk.
Cairn-avsnittet innehåller också en läxa för agentens ekosystem. Plattformar som låter agenter planera mot öppna mål och dokumentera sina egna framsteg är kraftfulla för legitim automatisering – och lika läsbara för angripare. Förmåga utan missbrukskontroller håller på att bli ett ansvar i leveranskedjan för hela rörelsen med öppen källkod för AI, och Norforges nedtagningsarbete är ett stopp, inte en fix.
---
Stay ahead of AIFå de senaste AI-nyheterna, analyserna och genombrotten – allt på ett ställe.
Läs mer AI-nyheter →
