Cairn: agenti AI violano oltre 100 aziende con ~5.000 dollari di token

Un singolo operatore ha puntato un esercito di agenti AI su oltre 1.200 siti web, è entrato in più di 100 aziende — tra i nomi confermati da Reuters ci sono John Deere, SharkNinja e Cummins — e per farlo ha speso circa 5.000 dollari di token. Il motore non era un malware su misura: era Cairn, una piattaforma open-source di risoluzione autonoma di problemi, guidata da modelli commerciali e lasciata esposta su Internet. Il motore di penetration testing autonomo che gran parte del settore tratta ancora come una demo da ricerca è ormai una merce, e viene puntato contro i negozi online.

Notizia in evoluzione — pubblicata alle 15:08 (13:08 UTC) del 20 ottobre 2026. Aggiornata man mano che Norforge, Reuters e i vendor coinvolti pubblicano altro.

Cosa è successo

Il ricercatore di Norforge Snorre Fagerland stava scandagliando Internet alla ricerca di istanze esposte di Cairn — lo stesso framework di agenti autonomi che un report di Gambit Security aveva segnalato a settembre in una campagna contro i rivenditori online — e ha scoperto che gli attaccanti avevano lasciato i propri pannelli di controllo Cairn sull'Internet pubblico, spesso senza autenticazione. Alcuni esponevano perfino le credenziali SSH degli host di staging di backend. Da quei pannelli Norforge ha potuto leggere l'intera operazione: obiettivi, scopi, ragionamento passo-passo degli agenti, credenziali raccolte e risultati.

Reuters, che ha collaborato con Norforge per avvisare le vittime, ha riferito che il cluster più grande ha violato oltre 100 aziende, facendo i nomi di John Deere, SharkNinja e Cummins (tramite The Next Web). Deere ha dichiarato di aver adottato misure di rimedio e di non aver riscontrato segni di accesso a informazioni sensibili. SharkNinja ha detto che l'attività ha colpito un sito autonomo di supporto prodotto ed è stata contenuta. Cummins ha affermato di stare indagando su un possibile attacco a un sito gestito da uno dei suoi fornitori.

Norforge ha suddiviso l'attività in tre cluster:

	Cluster 1	Cluster 2	Cluster 3
Lingua	Cinese	Inglese	Inglese
Pannelli	14	10	1
Progetti	1.100+	non indicato	59
Bersagli	E-commerce e infrastrutture di pagamento in US, Giappone, Australia	Pagamenti, siti gray-market e farmaceutici; un sito di carding; e-commerce africani	Piccoli negozi e grandi piattaforme commerciali US
Obiettivo	Accesso persistente via webshell, da monetizzare dopo	Furto di carte di credito e cripto	Accesso a shell, pannello admin e database

Norforge valuta tutti e tre come a movente finanziario, senza evidenti sponsorizzazioni statali.

Cos'è Cairn, e perché conta

Cairn è un motore generico di problem-solving basato su stati: un operatore definisce un progetto con un'origine (il punto di partenza) e un obiettivo (lo stato finale desiderato), e uno sciame di agenti si muove dall'una all'altro. A ogni passo un agente pubblica un intent — ciò che ha deciso di fare — e i fatti che scopre finiscono su una lavagna condivisa che ogni worker può leggere e che un operatore umano può orientare con suggerimenti. Cairn può rappresentare il tutto come un grafo.

Niente di tutto questo è intrinsecamente malevolo — è una descrizione ragionevole di come lavora un red team autonomo. Ed è proprio questo il punto. Puntato su un bersaglio con l'obiettivo "trova un modo per eseguire codice su questo negozio e pianta una webshell di upload", la stessa architettura è un motore di exploitation autonomo. I worker trovati da Norforge si chiamavano claudecode_deepseek-v4.1-flash e pi_openrouter_deepseek — modelli commerciali raggiunti via OpenRouter, non un sistema self-hosted costruito da zero. La barriera per gestire una campagna offensiva instancabile e parallelizzata è ormai un file di configurazione e un budget di token.

L'economia si è ribaltata

Il motivo per cui questa storia pesa più di qualsiasi singola violazione è la curva dei costi. Dai dati dei pannelli esposti Norforge ha ricostruito i numeri:

• ~5 dollari per task in media, inclusi i progetti falliti.
• ~50 dollari per violazione riuscita secondo la stima di Fagerland — l'intera campagna da 1.200 siti è costata circa 5.000 dollari di token.
• ~10% di successo, con molti dei restanti task arrivati a obiettivi parziali o usati per raccogliere informazioni per un tentativo successivo.
• Poco meno di 23 ore in media, dall'origine all'obiettivo, per il cluster più grande — circa 140 fatti registrati per progetto riuscito; uno è durato più di cinque giorni.
• Le istruzioni degli attaccanti erano spesso banali — in alcuni progetti nient'altro che "prendi le carte di credito" o "prendi le cripto".

Prima servivano un operatore esperto, giorni del suo tempo e un motivo per interessarsi proprio al tuo negozio. Ora l'operatore scrive una frase, l'agente gira per un giorno e il costo marginale di provare il tuo sito è qualche dollaro. L'oscurità economica — "siamo troppo piccoli per essere un bersaglio" — non è mai stata un controllo forte. A 5 dollari a task non è più alcun controllo.

È la stessa forza dietro l'economia dell'LLMjacking che finanzia gli attacchi autonomi: l'offesa agentica consuma molti token, così gli attaccanti industrializzano il calcolo. Qui lo hanno semplicemente pagato, ed era economico.

Chi è stato colpito, e come

Il targeting era meccanico. Per il cluster più grande, Norforge ha trovato bersagli ordinati per traffico — siti tra 200.000 e 1,5 milioni di visite — pre-validati con il framework di automazione del browser Playwright di Microsoft, poi passati a Cairn con l'obiettivo di un'esecuzione di codice remoto non autenticata e di una webshell di upload non eseguente comandi, per l'accesso duraturo. Un task completato puntava a una webshell di upload sul sito di un rivenditore di ricambi hardware che era ancora servita quando Norforge l'ha esaminata.

Il toolkit recuperato da un workspace di agente esposto sembra il kit di un pentester all'opera: Playwright e Chromium, Nmap, OWASP Amass, dnsrecon, ffuf, PHPGGC, la wordlist rockyou, Docker — e un proof-of-concept StyleSmuggler per CVE-2026-75650, lo zero-day di Magento usato per piantare backdoor RCE, insieme a un laboratorio di validazione Magento 2.4.9. Gli agenti non inventavano exploit inediti dal nulla; concatenavano con competenza tecniche note — ed è esattamente per questo che il penetration testing automatizzato a velocità di macchina è così efficace contro la lunga coda di e-commerce non aggiornati. Trufflehog, passato sui dati dei pannelli esposti, ha trovato centinaia di segreti, l'11% dei quali ancora validi.

È l'escalation di secondo stadio della campagna dello skimmer AI autonomo descritta da Gambit Security un mese fa: stessa classe di strumenti, ora con vittime di scala Fortune e un ricercatore dentro le dashboard degli stessi attaccanti.

Remediation

Se gestisci una piattaforma e-commerce o di pagamento, trattalo come una caccia a una minaccia attiva, non come una voce di backlog.

1. Sono esposto? Inventaria i negozi e le pagine di pagamento esposti su Internet. Enumera la tua reale superficie d'attacco come facevano gli agenti — endpoint non autenticati, pannelli admin, percorsi di upload. Se usi Magento/Adobe Commerce, verifica di aver applicato la patch per CVE-2026-75650 (StyleSmuggler): gli agenti ne portano un PoC funzionante.
2. Cerca la webshell di upload. L'obiettivo di accesso duraturo era una shell da file-upload, spesso non eseguente comandi per restare silenziosa. Esamina le web root e le cartelle di upload per file PHP aggiunti o modificati di recente, handler inattesi e file i cui timestamp non coincidono con lo storico dei deploy. Controlla i log del web server e del WAF per upload via POST su percorsi insoliti.
3. Ruota ogni segreto che ha toccato una superficie esposta. Con l'11% dei segreti raccolti verificati come validi, considera bruciate le chiavi API, le credenziali del DB e i token del gateway di pagamento raggiungibili da un host compromesso. Ruotale dopo aver confermato che l'host è pulito, non prima.
4. Segnali di rilevamento, solo da indicatori pubblicati. Norforge ha riferito che i pannelli erano spesso raggiungibili sulla porta 8000, ospitati su ASN specifici, e condividevano un bug rivelatore: un normalizzatore di dominio che toglieva una "w" iniziale, storpiando www. — così le liste di bersagli correlate portavano gli stessi hostname malformati. Norforge ha trattenuto l'elenco completo degli IP in attesa dei takedown e lo condividerà con ricercatori verificati. Non inventare IOC oltre quanto pubblicato dal vendor.
5. Guarda l'uscita, non solo l'ingresso. Una webshell piantata e qualunque esfiltrazione di carte o cripto producono traffico di rete — la shell di upload che viene scaricata, lo skimmer che chiama casa. Il rilevamento sul filo coglie la fase che la revisione dei log si perde.

Cosa non si sa ancora

Reuters non ha potuto stabilire quanti dati, se del caso, siano stati effettivamente sottratti alle vittime nominate; le dichiarazioni delle aziende vanno da "nessun segno di accesso" a "stiamo indagando". L'insieme completo degli indicatori è deliberatamente trattenuto fino al completamento dei takedown. L'attribuzione si ferma a "a movente finanziario", con un cluster più grande di lingua cinese e un cluster di carte/cripto di lingua inglese che Norforge ritiene possa avere base in Africa; non è stato rivendicato alcun nesso statale. E poiché i pannelli sono stati trovati per caso — esposti sull'Internet pubblico — i cluster mappati da Norforge sono un pavimento, non un soffitto. Gli operatori che hanno protetto i propri pannelli, per definizione, non sono in questo dataset.

Dove si colloca Zero Hunt

La lezione scomoda è che gli attaccanti stanno già facendo girare un red team autonomo contro il tuo perimetro, e l'unico modo onesto per sapere se il tuo cede è farne girare uno governato prima. È ciò che è Zero Hunt: un red team AI autonomo di agenti coordinati — recon, exploit, web, credenziali, post-exploit — che genera una catena di exploit funzionante per ogni bersaglio invece di rigiocare un catalogo, collaudata nell'AI Gym prima che qualcosa giri in produzione. Lavora on-premise sui propri modelli (nessun account OpenRouter da prosciugare, nessun modello di terzi che possa rifiutare, limitare o essere spento), con un umano nel ciclo per ogni azione che conta e ogni risultato firmato al momento della scrittura. In modalità black-box pone la sola domanda a cui il vulnerability scanner non sa rispondere: un agente arriva all'esecuzione di codice sul mio negozio, in meno di 23 ore, come ha fatto Cairn?

E poiché l'accesso duraturo e l'esfiltrazione delle carte attraversano entrambi la rete, l'AI Traffic Analysis di Zero Hunt — un modello di deep learning con quattro teste di inferenza, addestrato su miliardi di sequenze PCAP e in esecuzione sulla GPU dell'apparato — è costruito per segnalare il download della shell, il beacon dello skimmer e l'uscita anomala mentre l'attività accade, non nel digest SIEM del mattino dopo. Quando un solo operatore può noleggiare un motore offensivo funzionante per 5.000 dollari, la difesa deve correre alla stessa velocità e sullo stesso terreno.