19 października firma NorForge opublikowała analizę ponad 20 odsłoniętych w internecie paneli Cairn, platformy, która koordynuje agentów AI w drodze od zdefiniowanego punktu startu do celu. W tych przypadkach celem było włamanie. Panele nie miały uwierzytelnienia, więc badacze widzieli cele, przebieg, wyniki i poświadczenia. Największy klaster miał ponad 1100 projektów ataku na sklepy internetowe i infrastrukturę płatności. Nie ma tu nowego CVE ani podatności w samym Cairn. Jest za to dobrze udokumentowany obraz tego, jak tanio można dziś automatyzować składanie znanych klas błędów w działające łańcuchy. To zmienia kilka założeń w priorytetyzacji podatności.
Co pokazały panele
| Klaster | Panele / projekty | Cele (wg NorForge) | Pewność oceny „złośliwy” |
|---|---|---|---|
| AIA0001 (język chiński) | 14 paneli, ponad 1100 projektów | Sklepy internetowe i infrastruktura płatności, głównie USA, Japonia, Australia. Cel: trwały dostęp do późniejszej monetyzacji | Wysoka |
| AIA0002 (język angielski) | 10 paneli, część słabiej powiązana | Kradzież danych kart i kryptowalut: serwisy płatności dla sprzedawców, „szara strefa” płatności, apteki internetowe | Wysoka |
| AIA0003 (język angielski) | 1 panel, 59 projektów | Mieszanka małych sklepów i bardzo dużych platform w USA. Zadania zaczynają się jako „autoryzowane testy” | Niska |
Przypisanie po języku i hostingu (AS56594, AS20473, AS200019) to wskazówka, nie dowód tożsamości sprawców. Dla obrony ważniejsze jest to, co klastry robiły. Zadania AIA0001 wyglądają na generowane automatycznie. Lista celów jest wstępnie filtrowana: sklepy w czterech krajach, ruch od 200 tys. do 1,5 mln, a automat przeglądarkowy wcześniej sprawdza, czy da się złożyć zamówienie. Dopiero takie cele trafiają do agentów. Priorytety ataku wymienione w zadaniach to podręcznik OWASP: nieuwierzytelnione endpointy, SQL injection w logowaniu, przesyłanie plików, deserializacja, obejście uwierzytelnienia, przejęcie konta. Oczekiwany efekt to nie wyciek „na raz”, tylko trwały, cichy punkt wejścia do późniejszego wykorzystania.
W narzędziach jednego z workerów AIA0001 NorForge znalazł m.in. generator łańcuchów deserializacji PHP, laboratorium Magento 2.4.9 do walidacji CVE-2026-75650 (StyleSmuggler) i narzędzia do rekonesansu powierzchni ataku. CVE-2026-75650 jest w CISA KEV od 8 września 2026. Historię tej podatności, od zero-daya bez CVE do hotfixu, opisywałem w osobnym wpisie. Agent nie potrzebował tu niczego nowego: wystarczyła publicznie znana podatność z KEV i sklepy, które jej jeszcze nie zamknęły.
Opis jednego potwierdzonego włamania, według wyjaśnień samego agenta, to klasyczny łańcuch: nieautoryzowany zapis do magazynu sesji (memcached), niebezpieczna deserializacja obiektów PHP i łańcuch gadżetów w starych komponentach Zend Framework. Żadne z tych ogniw osobno nie musiało mieć w skanerze oceny Critical.
Liczby i ich granice
| Liczba z raportu | Co dokładnie znaczy | Czego nie znaczy |
|---|---|---|
| ~10% skuteczności | „Reasonable assumption” autorów dla obserwowanych kampanii; klastry mają różne cele i definicje sukcesu | Nie jest to statystyka ataków z użyciem AI w ogóle ani prawdopodobieństwo dla Twojej aplikacji |
| Niecałe 23 godziny | Średni czas od startu projektu do „goal met” w klastrze AIA0001, liczony tylko dla zadań, które cel osiągnęły; 140 „faktów” na projekt, jeden projekt trwał ponad 5 dni | Nie jest to czas od publikacji CVE do exploita |
| 11% sekretów ważnych | Trufflehog na danych z odsłoniętych paneli tego samego badania: setki sekretów, 11% zweryfikowanych jako aktywne | Nie jest to wskaźnik skuteczności włamań |
| ~5 USD na zadanie | Szacunek kosztu tokenów z „considerable uncertainty”, dłuższe projekty ponad 100 USD | Nie jest to zmierzony koszt |
Te zastrzeżenia nie umniejszają wniosku. Średnio niecała doba od zlecenia do trwałego dostępu, przy koszcie rzędu kilku dolarów za próbę, oznacza, że napastnik może sobie pozwolić na setki prób równolegle i na 90% porażek. Okno między „luka istnieje w publicznej aplikacji” a „ktoś ją wykorzystał” skraca się nie dlatego, że AI znajduje nowe błędy, tylko dlatego, że sprawdzenie wszystkich starych na wielu celach przestało być drogie. Ten sam efekt przy pojedynczym CVE opisywałem na przykładzie WordPressa, gdzie od diffu poprawki do działającego wykonania kodu minęło kilka godzin.
Co to zmienia w priorytetyzacji
Łańcuch zamiast pojedynczego findingu. Zespół VM widzi zwykle osobne zgłoszenia: przestarzały komponent PHP (Medium), zapisywalny magazyn sesji wykryty w pentestu (Medium), endpoint przesyłania plików bez walidacji typu (High). Agent widzi jedną ścieżkę. Jeżeli publiczna aplikacja ma jednocześnie dostęp bez logowania, możliwość zapisu plików lub danych sesji i komponent z gadżetami deserializacji, to te zgłoszenia powinny dostać wspólny identyfikator łańcucha i priorytet liczony dla całości, a nie maksimum z trzech CVSS.
Kontekst biznesowy jako mnożnik. Napastnicy z raportu sami filtrowali cele po ruchu i działającym koszyku. Obrona może użyć tego samego kryterium. Aplikacja publiczna, z płatnościami lub danymi klientów, w popularnym frameworku e-commerce, powinna mieć krótsze SLA dla błędów z kategorii RCE, uploadu, deserializacji i obejścia uwierzytelnienia niż aplikacja wewnętrzna z tym samym CVSS.
KEV dla e-commerce jako sygnał „już za późno”. Laboratorium CVE-2026-75650 w narzędziach napastnika pokazuje, że wpis w KEV dla platformy sklepowej nie jest początkiem wyścigu, tylko informacją, że automaty już go prowadzą. Dla takich wpisów samo „zainstalowano poprawkę” nie zamyka sprawy. Opisywałem to przy StyleSmugglerze jako zero-dayu: w pełni załatany sklep mógł mieć wcześniej zostawiony backdoor.
Po poprawce: szukaj śladów, nie tylko wersji
Cel AIA0001 to trwały dostęp, a nie jednorazowy wyciek. Webshell do przesyłania plików wgrany przed poprawką działa po niej dalej. Konto administratora utworzone przez SQL injection nie znika po naprawie zapytania. Dla publicznych aplikacji e-commerce, w których przez dłuższy czas była otwarta podatność z klas wymienionych w raporcie, ticket powinien mieć drugi krok: przegląd nieznanych plików w katalogach zapisywalnych przez aplikację, nowych kont i zmian uprawnień, zmian w szablonach i skryptach płatności oraz nietypowych połączeń wychodzących. Ten wzorzec „patched, not remediated” opisywałem przy Ivanti Connect Secure.
Ochrona własnych narzędzi
Najbardziej niewygodny wniosek z raportu dotyczy obrońców. Wśród odsłoniętych paneli NorForge znalazł też legalne testy red teamów, z danymi klientów. Trufflehog wskazał w danych z paneli setki sekretów, z czego 11% było aktywnych. Panele wyglądały na w pełni otwarte, z funkcjami uruchamiania, zatrzymywania i przekierowywania agentów. NorForge tego nie testował, ale sam opis wystarcza, by uznać to za poważne ryzyko.
Jeśli Twój zespół albo dostawca pentestów używa platform agentowych (Cairn, Strix, Hermes i podobnych), to są one zasobami o wysokiej krytyczności. Mają poświadczenia klientów, wyniki testów i zdolność ofensywną. Należą do inwentarza, wymagają uwierzytelnienia i ograniczenia sieciowego, a sekrety powinny być przechowywane poza treścią zadań. W umowach z dostawcami testów warto zapytać wprost, gdzie działają ich narzędzia AI i kto ma dostęp do ich interfejsów. Ten sam problem „panel agenta bez uwierzytelnienia” widać w platformach agentów AI z domyślnym docker-compose.
Jak zapisać to w rejestrze
Co powinien zrobić VE
- Połącz inwentarz aplikacji publicznych z kontekstem biznesowym: właściciel, framework, wersja, czy obsługuje płatności lub dane klientów, czy ma panel administracyjny dostępny z internetu.
- Zbuduj widok łańcuchów: dla każdej takiej aplikacji zestaw otwarte findingi z klas wymienionych w raporcie i oceń je jako jedną ścieżkę. Dwa Medium, które razem dają zapis pliku bez logowania, to Critical dla tej aplikacji.
- Skróć SLA dla KEV na platformach sklepowych (Magento, Adobe Commerce, WooCommerce i podobne). Obejście tymczasowe dokumentuj i weryfikuj, a nie zakładaj, że działa.
- Dodaj krok „sprawdź ślady” do ticketów dla podatności, które były otwarte na publicznej aplikacji e-commerce: pliki w katalogach zapisywalnych, konta administracyjne, skrypty płatności, połączenia wychodzące.
- Zinwentaryzuj własne i dostawców narzędzia ofensywne z agentami AI. Wymagaj uwierzytelnienia, ograniczenia sieciowego i wyprowadzenia sekretów z treści zadań. Sprawdź, czy Twoich danych nie ma w cudzym panelu testowym.
- Nie zmieniaj priorytetów pod nagłówek. „AI zhakowało ponad 100 organizacji” to tytuł relacji medialnej, a nie ustalenie raportu. Do rejestru wpisuj to, co raport rzeczywiście dokumentuje.
Powiązane na blogu
- StyleSmuggler: od zero-daya bez CVE do CVE-2026-75650 i KEV — podatność, której laboratorium znaleziono w narzędziach AIA0001
- StyleSmuggler: załatany Magento z backdoorem — kiedy patch-status nie mówi nic o kompromitacji
- WordPress CVE-2026-87902 — exploit half-life krótszy niż SLA
- Ivanti Connect Secure CVE-2026-104935 — patched to nie remediated
- 15 CVE dla platform agentów AI — panel agenta bez uwierzytelnienia jako domyślna konfiguracja
Źródła
- NorForge — „Inside Cairn: Open Windows into massive AI-Driven Cyber Operations” (19.10.2026): klastry, narzędzia, przypadki, liczby, IOC — norforge.com
- SecurityWeek — relacja z 20.10.2026 (niepobrana przy weryfikacji, liczba z tytułu niepotwierdzona) — securityweek.com
- NVD — CVE-2026-75650 (Adobe Commerce, CVSS 3.1 10.0) — nvd.nist.gov
- CISA Known Exploited Vulnerabilities Catalog (CVE-2026-75650 dodane 08.09.2026, wersja katalogu 2026.10.21) — cisa.gov
Nota redakcyjna: wpis powstał na podstawie szkicu VMRT Radar z 20 października 2026 i został zweryfikowany ze źródłami 20 października 2026 (ok. 18:30–19:15 CEST): pełny tekst raportu NorForge z 19.10.2026, rekord NVD API 2.0 dla CVE-2026-75650 i katalog CISA KEV w wersji 2026.10.16 (ponownie sprawdzony 22 października 2026 w wersji 2026.10.21: bez zmian dla opisywanych CVE). Względem szkicu poprawiłem dwie rzeczy: dane o sekretach (setki sekretów, 11% aktywnych) pochodzą z tego samego badania, a nie z „innego badania”, a czas niecałych 23 godzin to średnia tylko dla zadań AIA0001, które osiągnęły cel. Dodałem liczby paneli i projektów dla AIA0002 i AIA0003 oraz informację o laboratorium CVE-2026-75650 w narzędziach napastnika. Nie potwierdziłem: treści relacji SecurityWeek i liczby „ponad 100 organizacji” z jej tytułu (strona zablokowała pobranie), raportu Gambit Security, relacji Reuters, czym jest Cairn jako produkt (autor, licencja, przeznaczenie), liczby ofiar, przypisania sprawców, skuteczności prób zdjęcia paneli ani tego, czy funkcje administracyjne paneli działają bez uwierzytelnienia (NorForge tego nie testował). Wnioski dla priorytetyzacji, propozycja wpisu do rejestru i lista działań to oceny autora, nie ustalenia NorForge.