北京
安全团队用AI工具测试自家网络，攻击者却把同样的工具变成了入口。一项新的调查记录了一轮自动化攻击：有人闯进Cairn的暴露面板，向其中的AI代理推送新任务，让代理替自己装后门、偷密钥。
Cairn的用法很直接：用户设定一个目标和一个起点，代理自行推进工作，并把发现作为"事实"发布在网页面板上。问题在于，只要能访问这块面板，就能查看项目、新建任务、停止或删除正在运行的任务。对攻击者来说，一块没有防护的面板价值极高。
从11个异常任务开始
入侵最初表现为某块面板上连续出现的11个新任务。这些任务与正常工作明显不同，标题里带着奇怪的十六进制字符串，指向的只是本地Cairn主机，而非外部目标。
其中一个任务名为"Install kali SSH key"，指令要求代理把一串未知公钥写入kali用户的authorized_keys文件。代理没有质疑，照做了。不久后，这些恶意任务从面板上消失。
专注AI代理安全的沙箱公司NorForge在观察暴露面板时发现了这些活动。该团队在技术博客中描述了注入任务的工作方式，并记录了恶意软件及其命令控制服务器。公司表示，他们只对面板做了被动观察，没有与攻击者交互。
NorForge随后在至少17块暴露面板上发现了类似的注入任务，其中一些面板属于红队和夺旗演练。
恶意软件与密钥窃取
攻击随后转向恶意软件。10月21日21时15分（UTC），一块面板上出现名为"Local worker maintenance"的任务，携带一段base64编码脚本，代理将其解码并执行。
脚本下载了一个Linux二进制文件，校验其SHA256哈希后在后台启动。NorForge确认该二进制为Poseidon植入体——一个基于Go的远程访问木马，通常通过开源红队框架Mythic管理。恶意软件一直运行到操作者创建停止文件为止，这种模式说明操作者希望它尽可能长时间保持活跃。
侦察任务走得更远。有任务要求代理在系统文件夹中搜索文件名和环境变量里含API_KEY、ANTHROPIC_AUTH_TOKEN等词的内容；还有任务把密钥写进公开的事实文本，任何能查看面板的人都能读到。NorForge报告称，这轮活动窃取了包括AI模型API密钥在内的机密信息。
这类风险并不总需要恶意软件。会执行命令、读取配置文件的代理，在正常工作过程中就可能泄露凭据。
两个团伙，一个更大的问题
NorForge追踪两个独立集群，分别命名为AIA0009和AIA0010。AIA0009在任务名中使用随机十六进制后缀，并用名为"cairnscan"的标签做探测，重点在持久化、访问权限和恶意软件投递。AIA0010则模仿Cairn自身的意图标签命名任务，例如"i014"，寻找内部服务、凭据和其他暴露面板。
NorForge未发现两者共享硬指标，目前将其视为独立团伙，但这一判断可能随新数据改变。目前只有AIA0009被观察到部署恶意软件。
研究人员也追问AI是否参与了这些活动的执行。活动以同步波次出现在多块面板上，指向脚本化操作；但人类似乎也在关键节点介入，比如在部署恶意软件前的停顿期，命令服务器和下载服务器被搭建起来。
即便如此，NorForge认为更大的问题在于代理系统暴露了什么。Cairn被滥用的案例不止这一起：另一项由Gambit Security进行的调查发现，一名以经济利益为动机的操作者利用Cairn针对零售商，在9月的单周内发起了105个项目。
运行Cairn的团队应立即加固面板。NorForge建议把代理任务放进容器内运行，将代理限制在严格边界内，绝不让面板直接暴露在互联网上；同时轮换可能已泄露的API密钥，并检查SSH的authorized_keys文件是否存在未知条目。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
