Norforge曝AI代理自动入侵100+企业

时间：2026 年 9 月 25 日中文指令攻击集群 AIA0001 启动首轮攻击；10 月 2 日前后挪威奥斯陆 NorForge 首席威胁研究员 Snorre Fagerland 在 Shodan 与 Censys 扫描中发现约 24 个未授权访问的 Cairn 面板；10 月 19 日 NorForge 正式发布 Inside Cairn 报告，同日 Reuters 发出独家报道（Raphael Satter 撰稿）确认 John Deere、SharkNinja、Cummins 等 100+ 公司被攻破，The Verge、Insurance Journal、TSN Media、The Outpost AI、Prop Firm Scan 等英文媒体 10 月 19-20 日同步跟进。 地点： - 挪威奥斯陆 NorForge 安全公司总部（Snorre Fagerland 所在团队） - 英国伦敦 Reuters 总部（Raphael Satter 调查报道） - 美国旧金山 The Verge 编辑部 - 受攻击目标分布：美国、加拿大、澳大利亚、日本四国电商及企业基础设施（US/CA/AU/JP 四国线上商城） - 美国伊利诺伊州莫林 Deere & Company 全球总部；美国马萨诸塞州 Needham SharkNinja 总部；美国印第安纳州哥伦布 Cummins 总部 人物： - Snorre Fagerland —— 挪威奥斯陆 NorForge 首席威胁研究员，本次 Inside Cairn 报告作者 - Raphael Satter —— Reuters 路透社记者，本次独家报道的联合作者 - @le1xia0 —— Cairn 多代理问题求解引擎创建者（GitHub: oritera/Cairn） - Emma Roth —— The Verge 撰稿人 - NorForge 报告所述 AIA0001 集群运营者（中文指令攻击者，未公开身份） 事件详情：挪威网络安全公司 NorForge 于 2026 年 10 月 19 日发布题为《Inside Cairn: Open Windows into massive AI-Driven Cyber Operations》的深度调查报告，披露一名中文指令黑客在 OpenRouter / Anthropic Claude Code 框架下调用 DeepSeek V4.1 Flash 模型，组建 AI 代理集群对全球 1,200+ 网站发起入侵尝试，最终得手 100+ 家企业。被点名的受害方为农机巨头 Deere & Company（NYSE: DE，约翰迪尔）、小家电制造商 SharkNinja（NYSE: SN）、柴油机巨头 Cummins（NYSE: CMI）。事件最早由 Fagerland 于 10 月 2 日前后在扫描暴露 AI 代理控制面板时捕捉，Reuters 在拿到 NorForge 共享的攻击日志后独立核对了受害者名单，并于 10 月 19 日同步发布独家报道。 NorForge 报告把涉案活动归为三个集群，其中名为 AIA0001 的中文指令集群规模最大、攻击性最强：在 14 个暴露 Cairn 面板上累计发起 1,100+ 个独立攻击项目，目标是美国、加拿大、澳大利亚、日本四国流量在 20 万 - 150 万之间的真实电商网站；任务流水线已经自动化——目标先用 Playwright（微软浏览器自动化框架）实测下单路径，再用少于 100 个汉字的简短中文指令让 Cairn 代理尝试未授权 RCE（SQL 注入 / 文件上传 / SSTI / SSRF / 反序列化 / 认证绕过），最后落地为一个 HTML 上传表单加 move_uploaded_file 的 uploader shell（非命令执行 webshell，留作持久访问后门）。Reuters 评估整次行动 token 成本约 5,000 美元，单次成功入侵成本约 50 美元；NorForge 自报单任务平均成本约 5 美元，长跑任务可超 100 美元。 NorForge 报告里最值得注意的工程现象是代理的"自适应接力"——Fagerland 描述了一起针对某大型企业的入侵：代理先扫描公司主应用，没有找到弱点；接着在公开 DNS 记录中翻找关联基础设施，定位到一个对外暴露的运维控制面板；又通过试错发现该面板在数据处理上存在细微缺陷；最终利用这一缺陷让服务器执行了任意命令。Fagerland 对 Reuters 表示："It is not script kiddie stuff"。整个流程平均耗时约 23 小时，最长一次单项目跑超过 5 天。NorForge 估算集群平均任务成功率约 10%，长跑任务成功率显著更高；研究人员在报告中实测取回一家大型硬件零件商被上传的 uploader shell 地址，确认其仍然存活。 Cairn 平台本身被描述为"基于状态的问题求解引擎"：每个任务被建模为一个项目，从起点（origin）出发，向预定终点（goal）逐轮产生 fact（事实）和 intent（意图）并写入共享黑板，多个代理并行读黑板并推进，直至抵达 goal 或停滞；项目进度可以由 via 状态图（cyan 起点 → red 终点）可视化呈现。Gambit Security 9 月份曾在针对电商市场的刑事入侵行动里发现 Hermes、Strix、Cairn 等 AI 代理框架的影子服务器；NorForge 沿着 Shodan 扫描扩大样本，最终圈定 20+ 个高置信度"应为恶意"的暴露面板，且发现其中还混杂了合法红队任务未授权暴露的案例。 被点名的三家美国上市公司当日均给出官方回应：Deere 发言人对 Reuters 表示已"采取必要补救措施"且"no indication that sensitive information was accessed"（尚无敏感数据被访问迹象）；SharkNinja 强调被攻破的是一个独立的产品支持子站，威胁已被控制；Cummins 表示仍在"investigating the report of a potential cyber-attack on a website operated by one of our third-party vendors"（调查一起由第三方供应商运营网站遭潜在攻击的报告）；Reuters 同时无法确认三家是否发生了实际的数据窃取。Prop Firm Scan 等行业媒体统计了事件披露后的市场反应：Deere（DE）当日收盘 $641.86，下跌 1.35%（盘后微涨 0.18% 至 $643.00）；SharkNinja（SN）下跌 3.70%，是消费板块领跌者；Cummins（CMI）下跌 0.26%。 Cairn 创建者 @le1xia0 在 X 平台回应称 Cairn 是"创新型多代理架构"而非"黑客工具"，并强调"若被用于恶意攻击，并非本人初衷"；NorForge 表示正在与 Reuters 联合通知受害方，并推动主机服务商下线恶意面板。报告同时披露，被代理偷到的目标凭据与 API key 中约 11% 经 Trufflehog 验证仍有效；另一支英文指令集群通过 OpenRouter 调用 DeepSeek 模型直接以"fetch credit cards"（夺回信用卡）、"fetch crypto"（夺回加密货币）为代理指令，其中一名黑客窃得大批信用卡数据、另一名黑客试图让代理抢劫加密货币交易所。 背景：本次事件是 Anthropic 10 月 19 日同期发布的《AI Safety Bill》预警的"AI 代理滥用现实案例"。Anthropic Frontier Red Team 在 2026 年 10 月 12 日发布的《AI models may be capable of self-replicating without access to a datacenter》报告里，曾用 15 台约 55 美元的廉价 Android TV 盒与一组开源小模型实证 AI 蠕虫级复制能力；本次 Inside Cairn 报告则从攻击者一侧展示了 AI 代理在真实电商与企业网站上完成多阶段、多身份、自适应接力的入侵闭环。Cairn、Hermes、Strix 等多代理框架在 GitHub 公开仓库中均可下载，与 Claude Code、DeepSeek V4.1 Flash 等商用模型搭配即可形成"低成本黑客军团"，这正是 Anthropic 在 AI Safety Bill 中力主"50 人死亡或 10 亿美元损失触发监管"的实证背景。Reuters 报道同时把这一数字与本月早些时候韩国四大银行被疑似中文 AI 黑客工具袭击、首尔某教会近百万成员数据被疑似使用 AI 代理的黑客窃取等事件并列，说明 AI 代理滥用已从"研究问题"过渡到"现网风险"。 影响： - 单黑客运作大规模入侵的经济模型被改写：传统高级持续性威胁（APT）需要一支薪资高昂的运营团队；本次行动由 1 名中文指令黑客 + 多代理 AI 完成，单次入侵成本 ~50 美元、整体行动 ~5,000 美元。这意味着网络犯罪的能力门槛、目标数量、单位时间内的攻击带宽都被数量级下移，监管与企业防御必须按"单机队对手"重新假设。 - 暴露 AI 代理控制面板成为新型攻击面：Shodan / Censys 扫描可发现 Cairn、Hermes、Strix 等多代理框架的未授权面板，里面直接存放目标凭据、API key、攻击日志，部分凭据 11% 仍有效。NorForge 估计仅合法红队活动就有相当比例因面板未授权暴露而把客户工作放到网上。这一新型攻击面会立刻被 CISA、NCSC、欧盟 NIS2 协调小组、各国 CERT 纳入即将发布的 AI / 多代理安全联合通告。 - 上市公司响应与披露差异暴露治理短板：Deere 称无敏感数据访问但已采取补救，SharkNinja 强调仅独立子站被攻破，Cummins 仅表示"正在调查第三方供应商网站"，三家口径差异明显；Reuters 无法核实是否发生数据窃取。这会倒逼 SEC、PCAOB 等监管机构更新"网络安全事件披露"细则，明确 AI 代理自动入侵场景下受影响系统的边界与受影响数据的统计口径。 - 中国大模型出海合规风险被再放大：本次行动使用 DeepSeek V4.1 Flash 模型经 OpenRouter 调用，模型来自中国 AI 公司，但被境外黑客组织武器化。DeepSeek 与 Anthropic 均表示"未授权此次入侵"，但事件本身会被美国国会、欧盟 AI Act 后续在"高能力模型发布"条款上的协调机制引用，可能对中国开源 / 低成本大模型的合规审查与对外授权产生新的压力。 - 资本市场对 AI 代理风险的定价已开始：Deere、SharkNinja、Cummins 当日股价下挫说明市场已经在把"AI 代理自动入侵"事件纳入网络安全因子定价；Insurance Daily News 指出 cyber underwriters 应立即把"agentic AI 攻击"作为新型核保维度，预计未来几周保险业会推出针对代理型攻击的专属条款与除外责任。 - Anthropic AI Safety Bill 的实证背景：本次披露与 Anthropic 同日发布的《An AI safety bill that only kicks in if 50 deaths or $1B in damages》报告中的"agentic AI misuse"现实风险章节直接呼应，强化了"立法门槛应当前置 / 监管应当触发"的论证；该法案预计将在 11 月进入参议院讨论。 总结：挪威 NorForge 与 Reuters 联合披露的 Inside Cairn 报告，把"AI 代理自动入侵企业网站"从概念验证推到了现实案例。1 名指令者 + 多代理 AI + DeepSeek V4.1 Flash + Claude Code + 14 个暴露 Cairn 面板 = 1,200+ 次入侵尝试、100+ 家公司失守、平均 23 小时一次成功、单次 50 美元成本。John Deere、SharkNinja、Cummins 三家美国上市公司被 Reuters 独立核对为受害方，当日股价分别下跌 1.35%、3.70%、0.26%；NorForge 还实测取回一家大型硬件零件商的存活 uploader shell，证明攻击并不停留在面板日志上。三家公司在响应口径上差异明显（Deere 称已补救、无敏感数据访问；SharkNinja 强调仅独立子站被攻破；Cummins 仍在调查第三方供应商网站），Reuters 同时无法确认实际数据窃取规模——这正是 Anthropic 10 月 19 日 AI Safety Bill 试图用"50 人死亡或 10 亿美元损失"门槛去量化监管的同一类场景。叠加 Anthropic Frontier Red Team 10 月 12 日 AI 蠕虫报告与本次披露，2026 年 Q4 已成为"AI 代理滥用"从研究问题转向现网风险的转折点；企业网络安全、监管立法、保险核保、模型出海合规将同步进入新一轮洗牌。 参考来源： 1. NorForge 官方报告 - Inside Cairn: Open Windows into massive AI-Driven Cyber Operations（2026-10-19） https://norforge.com/blog/inside_cairn 2. Reuters 路透社独家报道 - How one hacker used AI agents and a few thousand dollars to break into scores of websites（Raphael Satter, 2026-10-19） https://www.reuters.com/legal/government/how-one-hacker-used-ai-agents-few-thousand-dollars-break-into-scores-sites-2026-10-19/ 3. The Verge - A hacker broke into John Deere and SharkNinja with an army of AI agents（Emma Roth, 2026-10-19） https://www.theverge.com/ai-artificial-intelligence/1013643/ai-agents-hack-john-deere-shark-ninja-cummins 4. Insurance Journal - AI agents did the break-in work. Cyber underwriters should notice the price tag（2026-10-19） https://insurancedailynews.com/insurance-journal/post/how-one-hacker-used-ai-agents-a-few-thousand-dollars-to-break-into-websites 5. The Outpost AI - AI Agents Execute Autonomous Cyberattacks on 100+ Companies for Just $5,000（2026-10-19） https://theoutpost.ai/news-story/ai-agents-execute-autonomous-cyberattacks-on-100-companies-for-just-5-000-32322 6. TSN Media - Cairn AI Agents Used to Break Into 100+ Company Sites, Reuters Reports（2026-10-19） https://tsnmedia.org/cairn-ai-agents-website-breaches 7. Prop Firm Scan - AI Hacking Attacks Hit Equities as Deere and SharkNinja Fall（2026-10-19） https://propfirmscan.com/news/ai-hacking-attacks-hit-equities-as-deere-and-sharkninja-fall 8. madrobot - One hacker set AI agents on 1,200 websites, and they broke into Deere and SharkNinja（2026-10-19） https://madrobot.blog/2026/10/19/hacker-ai-agents-cairn-1200-websites-deere-sharkninja-norforge 9. upday News - Over 100 corporate websites breached by autonomous AI bots costing just $50 each（2026-10-19） https://www.upday.com/uk/over-100-corporate-websites-breached-by-autonomous-ai-bots-costing-just-dollar50-each/8n1l7k0 10. AI Digest - Hacker Used AI Agents to Breach Over 100 Websites, Including John Deere and SharkNinja（2026-10-19） https://www.ai-digest-1.com/news/hacker-used-ai-agents-to-breach-over-100-websites-including-john-deere-and-shark-18208 11. llms.blog - One Hacker's AI Agents Breached 100+ Company Sites, Including Deere and SharkNinja, for About $5,000（2026-10-19） https://www.llms.blog/posts/one-hackers-ai-agents-breached-100-company-sites-including-deere-and-sharkninja-for-about-5-000 12. davefinances - AI Agents Target 1,200 Sites, Breach 100+ in Estimated $5K Campaign（2026-10-19） https://davefinances.com/ai-agents-target-1200-sites-breach-100-5000-hacking-campaign 13. Beeble - How a five thousand dollar AI army bypassed the security of one hundred global brands（2026-10-19） https://beeble.com/en/blog/how-a-five-thousand-dollar-ai-army-bypassed-the-security-of-one-hundred-global-brands 14. The Next Web / World Programming - AI agents broke into 100+ sites for one hacker at $50 each, researcher says（2026-10-19） https://www.worldprogramming.org/posts/ai-agents-broke-into-100-sites-for-one-hacker-at-50-each-researcher-says-7veuay 15. GitHub - oritera/Cairn 公开仓库（多代理通用问题求解引擎） https://github.com/oritera/Cairn