Atacantes comprometeram pelo menos 17 painéis de testes de invasão (pentest) do Cairn AI expostos na internet, transformando agentes autônomos de segurança baseados em inteligência artificial (IA) contra a própria infraestrutura. Os invasores usaram os painéis para roubar credenciais, obter acesso não autorizado e implantar malware.
Entre as vítimas estavam painéis associados a operações criminosas suspeitas, além de instâncias aparentemente usadas para simulações de ataque legítimas (red teaming), pesquisas em programas de recompensa por falhas (bug bounty) e desafios de captura de bandeira (capture-the-flag).
Os ataques exploram acesso administrativo sem autenticação, e não uma vulnerabilidade de software recém-divulgada.
Depois de entrar em um painel exposto, os invasores podem criar projetos e instruir os agentes a executar comandos contra a infraestrutura que os hospeda.
A NorForge acompanha provisoriamente as atividades como AIA0009 e AIA0010. Embora as instruções tenham formulações semelhantes, os pesquisadores não encontraram indicadores técnicos compartilhados que comprovem que os dois grupos pertencem ao mesmo operador.
O AIA0009 acrescenta sequências aleatórias de caracteres hexadecimais aos nomes das tarefas e prioriza persistência, acesso remoto e implantação de malware.
Seus comandos de reconhecimento usam o marcador « cairnscan » antes de coletar a identidade da conta que executa a tarefa e o nome do host.
O AIA0010 usa rótulos de tarefa semelhantes aos identificadores de intenção nativos do Cairn, como « i014 ». Suas operações concentram-se na descoberta do ambiente, em serviços internos, no mapeamento da infraestrutura, na extração de credenciais e na varredura de faixas adicionais de IP público em busca de painéis expostos.
Os invasores direcionaram os agentes para enumerar variáveis de ambiente, portas em escuta, arquivos de configuração e possíveis segredos, incluindo credenciais de API (interface de programação de aplicações) de modelos de IA.
A Norforge afirmou em um relatório compartilhado com o GBhackers que as campanhas se intensificaram por volta de 20 de outubro de 2026, embora o reconhecimento relacionado possa ter começado já em 10 de outubro.
Painéis de testes de invasão com IA
Os resultados eram gravados em « fatos » acessíveis publicamente, transformando os painéis em um canal adicional de divulgação de informações.
As descobertas ampliam reportagens anteriores sobre infraestrutura exposta do Cairn, que descreviam operadores criminosos revelando inadvertidamente alvos, históricos de projetos e segredos roubados por meio de painéis sem proteção.
Várias tarefas injetadas instruíram os agentes a instalar chaves públicas SSH (protocolo Secure Shell) controladas pelos atacantes no arquivo authorized_keys da conta kali.
Os pesquisadores observaram saídas dos agentes confirmando a instalação, alterações de propriedade e permissões restritivas de arquivo, o que demonstra a execução bem-sucedida de instruções administrativas não autorizadas.
Outras tarefas verificaram capacidades do Linux, sistemas de arquivos montados, sockets do Docker e restrições de segurança para identificar possíveis caminhos de escape de contêineres. A NorForge não conseguiu determinar se os invasores ultrapassaram com sucesso essas barreiras de isolamento.
Em 21 de outubro, às 21h15 UTC (Tempo Universal Coordenado), o AIA0009 enviou uma tarefa com tema de manutenção que continha um script de shell codificado em Base64.
Depois de decodificado, o script baixou um executável do Linux chamado worker-health a partir de 199.91.220[.]129:28471, verificou seu checksum SHA-256 (código de verificação de integridade) e o iniciou em segundo plano.
A carga maliciosa foi identificada como Poseidon, um implante escrito em Go e associado ao ecossistema de comando e controle (C2) de código aberto Mythic. O repositório oficial do projeto descreve suporte a sistemas Linux e macOS.
Segundo os relatos, a amostra observada se comunicava por meio da infraestrutura da rede de distribuição de conteúdo (CDN) da Bunny.net.
Um laço de repetição mantinha a tarefa do agente ativa até que um arquivo de parada designado aparecesse, o que aparentemente preservava o ambiente de trabalho e prolongava o período de operação do implante.
A criação sincronizada de tarefas em painéis não relacionados indica fortemente uma coordenação por scripts. Em uma sequência, cinco painéis receberam sondagens muito agrupadas, seguidas exatamente duas horas e quarenta minutos depois por novos projetos voltados ao acesso e à execução de malware.
No entanto, a automação não comprova uma orquestração autônoma por IA. Os rótulos de intenção semelhantes aos do Cairn e os padrões operacionais sugerem essa possibilidade, mas os pesquisadores não tiveram visibilidade sobre os sistemas que emitiam as instruções.
A principal exposição é arquitetural: um painel de agentes acessível pode se tornar uma interface de comando privilegiada.
A conteinerização pode limitar o alcance imediato, mas não protege os segredos já disponíveis dentro do ambiente de trabalho de um agente.
As campanhas observadas mostram como planos de controle inseguros podem inverter o papel de uma ferramenta de segurança baseada em IA, transformando o testador no alvo comprometido.
Indicadores de comprometimento (IOCs)
Observação: endereços IP e domínios foram propositalmente neutralizados, com marcações como [.] no lugar do ponto, para evitar resolução ou links acidentais. Eles devem ser restaurados apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gestão de eventos e informações de segurança).
