En hackares AI-agenter bröt sig in hos John Deere för 50 dollar per intrång

En hackare tog sig in på webbplatser hos över hundra företag, däribland lantbruksmaskintillverkaren Deere, vitvarumärket SharkNinja och motortillverkaren Cummins, och lät AI-agenter stå för nästan hela arbetet. Angriparen skissade på sina favorittaktiker för intrång på några rader kinesiska och lät sedan agenterna ägna timmar åt att undersöka varje mål och ta sig in utan ytterligare hjälp. Snorre Fagerland, ledande hotforskare på säkerhetsföretaget NorForge, följde förloppet och säger att varje lyckat intrång kostade angriparen omkring 50 dollar i AI-användning.

Det priset förändrar vilka som blir angripna. Att ta sig in på ett företags webbplats brukade kräva dagar av tålmodigt arbete från en skicklig person, så kriminella sparade sådana angrepp till mål som var värda besväret. När en maskin kan undersöka en webbplats till priset av en hämtmiddag blir även nätbutiker där du lämnar din adress och ditt kortnummer värda att ge sig på – också små butiker. Fagerland sade till Reuters att han hade räknat med att hackaragenter fortfarande skulle behöva övervakas av en människa, och att den kampanj han följde visade att tekniken redan hade passerat den gränsen.

Angriparen avslöjades av verktygen som användes. Fagerland sökte igenom internet efter offentligt åtkomliga kopior av Cairn, en plattform med öppen källkod som låter AI-agenter arbeta med ett problem från en startpunkt till ett mål och loggar varje steg. Från början av oktober hittade han ett tjugotal exponerade Cairn-installationer som körde skadliga uppdrag, vilket gjorde att han kunde läsa agenternas arbetsloggar medan de arbetade. Den kinesisktalande hackaren var den mest aktiva i gruppen. En annan operatör stal en stor mängd kreditkortsuppgifter, och en tredje försökte få sina agenter att råna en kryptobörs.

Enligt Fagerlands siffror riktade sig den mest omfattande kampanjen mot e-handelssajter i USA, Kanada, Australien och Japan. I slutet av förra veckan hade agenterna försökt ta sig in på över 1 200 webbplatser. Ett lyckat intrång krävde omkring 23 timmars försök och misstag, och hela körningen förbrukade tokens för ungefär 5 000 dollar i en kombination av DeepSeek-modeller och Claude Code. I ett fall hittade agenterna ingen svaghet i ett stort företags huvudsakliga webbapplikation. De sökte därför i offentliga register efter andra servrar med koppling till företaget, hittade en exponerad kontrollpanel och ägnade timmar åt att testa en subtil brist i hur den hanterade data. Enligt deras egen redogörelse lyckades de till slut få servern att köra deras kommandon. ”Det är inte självklart hur man hittar lösningar av det slaget”, sade Fagerland. ”Det här är inget för scriptkiddies.”

Det finns gränser för vad man vet. NorForges rapport namnger inga offer. Reuters identifierade Deere, SharkNinja och Cummins genom att själv gå igenom angriparens aktivitet i Cairn, men kunde inte fastställa hur mycket data som eventuellt stals. Deere sade att företaget hade vidtagit ”nödvändiga åtgärder för att åtgärda problemet” och att det ”inte finns några tecken på att känslig information har kommit åt”. SharkNinja sade att angreppet drabbade en fristående webbplats med enbart produktinformation och att hotet hade begränsats. Cummins uppgav att företaget undersökte ett möjligt angrepp mot en webbplats som drivs av en av dess tredjepartsleverantörer. Två mindre företag bekräftade att de hade utsatts för intrång, medan de övriga företagen inte svarade. Ett intrång på en supportsida är inte detsamma som ett angrepp mot en kunddatabas, och agenterna behövde fortfarande större delen av ett dygn för varje mål.

Cairn byggdes inte som ett vapen, hävdar plattformens skapare. Utvecklaren, som skriver under namnet le1xia0, skrev på X att plattformen är ”en innovativ typ av multiagentarkitektur och inte utformades för hackerattacker” och tillade att ”om den används för att genomföra skadliga hackerattacker är det inte min avsikt”. Tidigare den här månaden skrev samma utvecklare att missbruk ”är ett mänskligt beslut, inte en funktion i verktyget”. Problemet är att ett verktyg som outtröttligt prövar tusen vägar mot ett mål inte bryr sig om målet är att lösa en gåta eller ta sig in på en server.

NorForge-fallet ger hittills den tydligaste inblicken i en trend som forskare har följt i flera månader. I augusti upptäckte det israeliska företaget Gambit Security rysktalande utpressare som använde ett AI-verktyg för kodning för att ta sig in hos sju organisationer. I september dokumenterade företaget en agentstyrd attackvåg mot 25 företag, där minst 600 000 kreditkortsuppgifter stals. Förra veckan rapporterade hotunderrättelseföretaget Bitsight att diskussionerna om autonoma agenter ökar kraftigt på cyberkriminella forum.

NorForge uppger att företaget nu arbetar för att få de skadliga Cairn-installationerna nedstängda, och rapporten publicerades den 19 oktober. Att stänga ned dem tar bort insynen som Fagerland hade, men inte agenterna bakom attackerna. Nästa kampanj behöver bara hålla sin kontrollpanel privat.

Taggar: cybersäkerhet, AI-agenter, Cairn, Cummins, John Deere, NorForge