Cairn: Sicherheitsvorfall
KI-Plattform für Angriffe auf über 100 Unternehmen missbraucht.
| incidentID | Datum | Betroffene | Land | Sicherheitsvorfall | href | Land | Tags |
|---|
Cairn: Sicherheitsvorfall
Laut einem Bericht KI-Sicherheitsunternehmen Norforge vom 20. Oktober 2026 missbrauchen Angreifer die quelloffene KI-Plattform Cairn, um Angriffe auf Hunderte Websites weltweit zu automatisieren.
Cairn ist eine universelle Problemlösungs-Engine, die KI-Agenten auf ein vorgegebenes Ziel hin koordiniert und als autonomes Penetrationstest-Werkzeug dienen kann. Jede Aufgabe gilt als Projekt mit Ausgangspunkt und Ziel. Die Agenten arbeiten Schritt für Schritt und legen Absichten und Ergebnisse auf einem gemeinsamen Blackboard ab.
Norforge stieß auf die Aktivitäten, weil einige Täter ihre Dashboards offen im Netz ließen. Das Unternehmen identifizierte drei Cluster mit vermutlich bösartiger Nutzung, die auf die Einrichtung permanter Hintertüren zu IT-Systemen und finanziell motivierten Taten hindeuten.
Der größte Cluster nutzt chinesische Sprache und umfasst über 1.100 Angriffsprojekte auf 14 Dashboards. Er zielt auf E-Commerce- und Zahlungsinfrastruktur in den USA, Japan und Australien. Ziel ist offenbar dauerhafter Zugang zu großen Plattformen über Webshells, den die Täter vermutlich später zu Geld machen wollen. Die Ziele wurden nach Traffic gereiht und mit dem Browser-Automatisierungsframework Playwright geprüft, bevor sie in Cairn eingespeist wurden. Laut Reuters drang dieser Akteur in über 100 Unternehmen ein, darunter der US-Gerätehersteller John Deere und der Haushaltsgerätehersteller SharkNinja.
Der zweite Cluster legte 10 Panels offen. Er arbeitet auf Englisch und stiehlt Kreditkarten- und Kryptowährungsdaten, vor allem bei Zahlungsdienstleistern, Graumarkt-Zahlungsseiten und Pharmaplattformen. Norforge vermutet eine Basis der Täter in Afrika, da einige Ziele afrikanische Handelsseiten sind.
Der dritte Cluster legte ein Panel mit 59 Projekten offen. Es richtet sich gegen E-Commerce-Seiten aller Art, darunter sehr große US-Plattformen. Die Täter zielten auf Shell-Zugriff sowie Zugang zu Admin-Panels und Datenbanken ab. Insgesamt waren die Angreifer bei etwa 10 Prozent der Versuche erfolgreich. In den offenen Paneldaten fanden sich Hunderte Zugangsdaten, von denen 11 Prozent als gültig bestätigt wurden.
