ИИ-агенты одного хакера взломали свыше 100 сайтов компаний

Подробно

Как один хакер с помощью ИИ-агентов взломал более 100 сайтов?

Кампанию нашёл Снорре Фагерланд, главный исследователь угроз NorForge. Он искал панели управления Cairn, открытые без авторизации. Примерно со 2 октября 2026 года ему стали видны около двух десятков экземпляров, которыми пользовались злоумышленники. В этих панелях хранились задания, действия агентов и результаты атак. Материал Reuters о кампании подготовил корреспондент Рафаэль Саттер.

По данным Reuters, массовая кампания стартовала 25 сентября. Её целями были сайты электронной коммерции в США, Канаде, Австралии и Японии. Предпочтительные способы проникновения оператор описал менее чем 100 китайскими знаками. Дальше агенты часами сами искали и проверяли пути атаки. К концу недели перед публикацией они атаковали больше 1200 сайтов. Успешное проникновение в среднем занимало около 23 часов.

NorForge выделила самый активный кластер под обозначением AIA0001. Это 14 панелей и более 1100 проектов атак, задания написаны на китайском языке. Компания с высокой уверенностью считает активность злонамеренной, а мотив - преимущественно финансовым. Цель, по оценке NorForge, - получить постоянный доступ к инфраструктуре онлайн-торговли и платежей, чтобы затем его монетизировать.

«Теперь это совершенно другой мир», - сказал Reuters Снорре Фагерланд.

Как работает Cairn и какие ИИ-модели использовались?

Cairn - движок поиска по пространству состояний, его код лежит в открытом репозитории на GitHub. Оператор задаёт начальную точку и цель. Воркеры записывают факты и намерения на общую доску и сами выбирают следующие шаги. Платформа поддерживает Claude Code, Codex и Pi. Разработчик называет Cairn универсальным движком для решения задач, который сначала проверяли на автономном пентестинге. Он предупреждает, что применять систему к чужим ресурсам без разрешения нельзя.

«Если её используют для проведения вредоносных хакерских атак, это не является моим намерением», - заявил автор Cairn под ником le1xia0.

Типовое задание поручало агентам найти удалённое выполнение кода без аутентификации. Перечислялись способы:

• SQL-инъекции и незащищённые конечные точки;
• загрузка файлов и десериализация;
• обход аутентификации и захват аккаунтов;
• SSTI и SSRF.

После проникновения агент должен был установить web shell для загрузки файлов. Цели заранее ранжировали по посещаемости, в примере задания - от 200 000 до 1,5 млн. Через Playwright проверялось, что на сайте действительно можно оформить заказ.

Все изученные задания AIA0001 выполнял воркер с именем claudecode_deepseek-v4.1-flash. Reuters описало конфигурацию как предположительную смесь китайского DeepSeek и Claude Code компании Anthropic. NorForge осторожнее: возможно, Claude Code служил лишь агентной оболочкой для модели DeepSeek 4.1 Flash. Это вывод из имени воркера, и он не доказывает, что использовалась модель Claude. В изученных материалах публичных комментариев Anthropic и DeepSeek по этой кампании не найдено.

Reuters описало один показательный случай. Атака на основное публичное приложение не удалась, и агенты переключились на связанную инфраструктуру. Там они нашли открытую панель управления и особенность обработки данных, через которую добились выполнения вредоносных команд.

«Придумать такие решения непросто. Это не работа скрипт-кидди», - отметил Фагерланд.

Сколько стоил взлом сайта с помощью ИИ-агентов?

Фагерланд оценил расходы на токены за всю массовую кампанию примерно в $5000, то есть около $50 за успешное проникновение. По более общей оценке NorForge, один проект в среднем обходился примерно в $5 с учётом ранних и неудачных завершений. Особенно долгие проекты могли стоить больше $100.

Доля успешных проектов по всем наблюдавшимся кластерам - около 10%. У успешных проектов AIA0001 путь от старта до цели занимал в среднем чуть меньше 23 часов. Агенты фиксировали в среднем 140 фактов на проект.

Данных о реальном расходе токенов у исследователей не было, поэтому все суммы расчётные.

«У нас нет фактических данных о расходе токенов… неопределённость здесь значительна, и цифры могут заметно отличаться», - говорится в отчёте NorForge.

Какие компании пострадали и что они говорят?

В публичном отчёте NorForge названия жертв скрыты. Reuters само изучило записи Cairn и связало атаки с Deere, SharkNinja и Cummins. Ниже - позиции этих компаний.

• Deere сообщила, что приняла «необходимые меры по устранению последствий» и не видит «никаких признаков того, что был получен доступ к конфиденциальной информации».
• SharkNinja заявила, что атака затронула отдельный сайт с информацией о поддержке продуктов и что угроза локализована.
• Cummins не подтвердила взлом собственной корпоративной системы. По словам представителя компании Мелинды Коски, Cummins «расследует сообщение о потенциальной кибератаке на сайт, которым управляет один из наших сторонних подрядчиков».

Ещё две небольшие компании, чьи названия не раскрываются, тоже признали компрометацию. Остальные организации из данных Cairn на запросы Reuters не ответили. Затронуты ли системы за пределами названных сайтов, например корпоративные сети или техника, не установлено.

NorForge проверила часть результатов сама. На сайте крупного поставщика комплектующих по указанному агентом адресу действительно открывался web shell для загрузки файлов. Исследователи также подтвердили полную цепочку компрометации крупного американского ретейлера. Однако независимая проверка каждого из более чем 100 успешных случаев не опубликована.

Были ли похищены данные?

Reuters не смогло установить, в какой мере проникновения привели к краже данных. Масштаб утечек в кампании AIA0001 неизвестен.

В других открытых панелях Фагерланд увидел ещё двух злоумышленников. Один похитил массив данных банковских карт. Другой пытался поручить агентам ограбление криптовалютной биржи. Связывать эти эпизоды с AIA0001 оснований нет.

В открытых панелях нашлось много чужих секретов. Сканер Trufflehog обнаружил в них сотни паролей, ключей и других учётных данных, 11% из них оказались действующими. Кроме того, NorForge нашла открытые панели легитимных команд пентестеров, через которые были видны данные их клиентов.

По состоянию на 19 октября часть вредоносных панелей ещё работала. NorForge вместе с Reuters уведомляла пострадавших и добивалась от хостинг-провайдеров отключения панелей. Чем закончились эти усилия, пока неизвестно.

Кто стоит за атаками и связаны ли они с другими кампаниями?

Личность, гражданство и местонахождение оператора не установлены. Слово «китайскоязычный» относится к языку заданий и не доказывает связь с КНР или государственными структурами.

NorForge начала искать панели Cairn после отчёта Gambit Security от 22 сентября. Тот отчёт описывал кампанию против интернет-магазинов, которая шла как минимум с июля. Её оператор искал уязвимости с помощью Strix, проникал в системы через Cairn с DeepSeek v4.1 Flash и управлял атаками через Hermes. С 10 по 15 сентября он запустил 105 проектов. Не меньше 27 компаний были скомпрометированы в разной степени. У двух жертв похитили более 600 000 действующих записей банковских карт.

С AIA0001 у этой кампании много общего: та же платформа, та же модель, китайский язык, финансовый мотив и похожие цели. Однако ни NorForge, ни Reuters не заявили, что это одна и та же операция.

Есть и похожие кампании на другой платформе. 7 октября CrowdStrike описала атаки на финансовые организации Южной Кореи с помощью китайской платформы ARTEX, основной моделью там была DeepSeek v4.1-flash. 19 октября GMO Cybersecurity by Ierae сообщила, что ARTEX применяли и против японских компаний. Связь этих кампаний с операцией Cairn не подтверждена: платформы разные, и инфраструктура размещалась в разных сетях.

Что это значит для бизнеса?

Эяль Села, директор по анализу угроз Gambit Security, оценивал по итогам предыдущей кампании с Cairn, что главное изменение - удешевление и ускорение атак. Агенты держат темп, недоступный человеку, а компании по-прежнему устраняют уязвимости неделями. Это оценка исследователя другой кампании, а не независимая проверка выводов NorForge.

Нетаниэль Рибко, исследователь киберугроз Bitsight, изучил тысячи сообщений на 16 подпольных форумах за февраль-август 2026 года. По его данным, киберпреступники переходят от простого обхода ограничений чат-ботов к автономным агентам, моделям с открытыми весами и готовой атакующей инфраструктуре. Упоминания агентов, MCP и косвенных prompt-инъекций выросли на 67%. Сам автор предупреждает, что подсчёт ключевых слов - несовершенный показатель.

«Развитие в этой области поразительно», - сказал Фагерланд.