Cairn：AI 驱动的网络作战之窗洞开

# 深入 Cairn：大规模 AI 驱动网络行动的公开窗口 - NorForge 来源：https://norforge.com/blog/inside_cairn ## 01 概要 NorForge 对公开暴露的 AI 驱动渗透测试控制面板进行了一项调查，揭示了这些面板如何被广泛用于恶意网络行动。其中之一就是 Cairn。 在此背景下，Cairn 是一套由 AI 驱动的黑客系统。给它一个目标和一个任务目标，它就能协调 AI 代理去调查目标、搜索安全弱点，并尝试入侵。 我们共识别出超过 20 个公开暴露的 Cairn 面板，它们很可能与恶意活动相关，这为我们提供了一个异常详细的视角，得以了解威胁行为者如何选择目标、指挥自主代理、利用漏洞以及在被入侵系统上建立持久访问。 此外，还有相当数量看似合法的红队行动也以这种方式暴露，可能使客户面临风险。 ## 02 开端 2026 年 9 月，Gambit Security 报道了一起针对在线市场的犯罪入侵行动。他们获取了攻击者的暂存服务器，发现攻击者使用了 AI 仪表框架（harness），如 Hermes、Strix 和 Cairn。这些信息非常重要，因为这类工具通常具有基于 Web 的用户界面，而这些界面往往在开放的互联网上未加防护。 果然如此：使用 Shodan 和 Censys 搜索引擎进行快速搜索，就能发现运行着各种 AI 仪表框架的主机。大多数需要授权才能访问。注意，是"大多数"。 但有相当多的此类界面被其操作者遗留在开放状态。而显然，被忽视最严重的平台之一就是 Cairn。 我们的搜索最初发现了少数几个开放的 Cairn 面板。继续扫描后发现，新的面板在短时间内陆续上线；而目标信息、语言和指令显示，其中许多属于同一批威胁行为者。 在本文中，我们将详细介绍其中一些面板。然而，这些面板的特性决定了它们会暴露大量关于目标的敏感信息，包括目标是谁、发现了哪些弱点、账户凭据和 API 密钥，以及他们是否已被入侵。这意味着我们必须对提取的数据进行严格脱敏，并且在面板能够被下线之前不会披露其地址。 一个开放的 Cairn 面板上的操作者任务，目标名称和凭据已脱敏。(https://norforge.com/blog/inside_cairn/images/operator-task-secrets.webp)包含密钥信息的操作者任务。甚至攻击者数据暂存区的 root 访问权限也暴露在外。 ## 03 机器 一个列出了活跃和已完成项目的 Cairn 面板。(https://norforge.com/blog/inside_cairn/images/cairn-panel-projects.webp)一个包含若干活跃或已完成项目的 Cairn 面板。这属于一个无关的行为者，所幸没有使用可识别的目标标签。 有人将 Cairn 描述为一个自主渗透测试引擎。这种说法并不完全准确；它确实可以这样使用，但其用例更为通用：它是一个基于状态的问题解决引擎，朝着定义好的解决方案逐步推进。 但在我们的案例中——是的，它被用于渗透测试。 在 Cairn 中，每个独立的任务被视为一个项目。每个项目都有一个称为"起点（origin）"的起始位置和一个预定义的终点目标。代理框架随后以基于状态的有机增长方式，从起点向目标推进。 在起点和终点之间，是"意图"和"事实"的循环。事实是代理发现的某种信息，意图是它决定下一步要做什么。代理将每条事实发布到项目内部的黑板上。人工操作者也可以向同一黑板添加自己的提示。通过这种方式，事实和提示成为路径上所有代理工作者在通往定义好的解决方案的途中都可以使用的数据。这可以通过图形方式可视化，Cairn 也是这样做的。 一个从起点延伸到目标的 Cairn 项目图。(https://norforge.com/blog/inside_cairn/images/project-graph.webp)从青色的起点到红色的目标的推进过程。并非所有路径都能成功。此次攻击针对的是一家美国大型在线零售商，最终结果为 GOAL MET：已在网站上注入 Webshell。 ## 04 行为者 Cairn 面板是普通的 Web 前端，可以使用商用互联网扫描平台轻松进行画像分析。在几天的时间里，我们发现了大量此类面板。有些是空的，有些有未授权访问保护，有些则看起来是合法的演示或正规渗透测试机构。我们不会在此曝光合法红队，但显然，将真实的客户渗透测试放在未加防护的面板上是极其不妥的。 但即便过滤掉这些，仍有超过 20 个此类面板被判定为可能恶意。据我们观察，所有这些都具有经济动机；没有发现明显的国家级入侵活动。这并不意味着此类活动不存在，但人们会假设这类行为者知道如何保护好仪表板。 观察到的大部分活动似乎集中在少数几个聚类中，公开面板中包含的信息将它们关联在一起。 我们用以 "AIA" 为前缀的序号标识每个活动聚类，含义为"AI Activity"（AI 活动）。"AI Threat Activity"的缩写已被占用。 ### ClusterAIA0001 语言：中文 | 面板数量：14 | 托管 AS：56594 | 置信度：高 该活动聚类使用中文，在所有公开其面板的行为者中是最为活跃的。该行动规模庞大，在与该组相关的 14 个仪表板上共有超过 1100 个攻击项目。 AIA0001 针对大量组织，主要分布在美国、日本和澳大利亚。其目标似乎是获得对电子商务/支付基础设施的持久访问，以便日后进行变现。 该组目前似乎偏好通过 AS56594，即 Cgi Global Limited 托管其面板。我们以高置信度评估该聚类为恶意。 AIA0001 按行业划分的目标柱状图。(https://norforge.com/blog/inside_cairn/images/aia0001-target-selection.webp)AIA0001 的目标选择。 该行为者似乎在其任务分发流程中大量使用自动化。例如，以下是相当典型的一个任务： 一个典型的 AIA0001 自动化任务，以中文撰写。(https://norforge.com/blog/inside_cairn/images/aia0001-automated-task.webp)一个典型的自动化任务。 > 译文：以下是来自四个国家（美国/加拿大/日本/澳大利亚）的真实购物/电商网站，日流量为 20 万至 150 万。Playwright 已验证可以下单。目标：寻找无需认证的 RCE（命令执行/代码注入/反序列化/文件上传 Webshell/可导致 RCE 的 SQL 注入/SSTI/可导致 RCE 的 SSRF）。优先级：登录 SQL 注入、未认证端点、文件上传、反序列化、认证绕过、账户接管。载荷：上传器 shell（HTML 上传表单 + move_uploaded_file 保存文件），明确不使用命令执行型 Webshell。 分发流程中还包括对目标站点的自动验证。目标不仅按流量排名，还使用 Microsoft 的浏览器自动化框架 Playwright 进行了测试，然后才发送给 Cairn 进行利用。 还有其他迹象表明自动化存在；其中一些显得颇为可笑。例如，多个面板上的许多目标网站的首字母 "w" 都被移除了。'Wholesale' 变成了 'holesale'，"winter" 变成了 "inter"。这表明存在一个有缺陷的通用域名规范化器，从 www 中多删了一个 "w"。这让识别关联面板变得非常容易。 这些攻击者偶尔会在高端口上开启一个 Web 服务器进行带外测试。在这些短暂的时间窗口内，某个 AI 工作者的工作目录就可以被浏览。AIA0001 的一台主机上至少发生过一次，这让我们有机会近距离查看代理可用的工具。 在这个特定案例中，我们发现了： 在代理工作者目录中发现的工具 | 软件 / 包 / 工具 | 用途 | |---|---| | Playwright | 浏览器自动化和 Web 测试；其配置目录是 Chromium 浏览器状态，而非源代码包 | | Chromium | Playwright 及相关浏览器自动化所使用的浏览器引擎 | | PHPGGC（PHP Generic Gadget Chains） | 生成 PHP unserialize() gadget 链载荷，用于授权漏洞验证和漏洞利用研究 | | StyleSmuggler HTTP PoC | 针对 StyleSmuggler / CVE-2026-75650 Magento 报告投毒至代码执行链的研究性概念验证 | | Magento Open Source 2.4.9 验证实验室 | 基于 Docker 的、版本固定的 Magento 漏洞/补丁实验室，用于安全验证 CVE-2026-75650 / VULN-39341 | | MarkShust PolyShellPatch | 一个已废弃的 Magento 模块，旨在阻止通过购物车自定义选项上传可执行文件 | | Docker | 用于隔离验证环境的容器构建/运行时工具 | | PHP | 用于 PHP 载荷生成和 PHP Web 应用测试的运行时和脚本语言 | | Composer | PHP 依赖/包管理器；清单文件中标识了 Magento PolyShellPatch 包 | | Python 3 | 用于侦察、HTTP 测试、解析器、概念验证代码和自动化的主要脚本语言 | | Node.js | Web 探测、浏览器自动化支持和特定目标脚本所使用的 JavaScript 运行时/工具 | | Vosk | 离线语音识别工具包/模型 | | OpenSSL | TLS/加密命令行和配置工具 | | Xvfb | X 虚拟帧缓冲，用于在无物理显示器的情况下运行 GUI/浏览器应用程序 | | tmux | 终端复用器/运行时状态，通常用于保持长时间运行的会话和监听器存活 | | OWASP Amass | 外部攻击面发现和子域名枚举 | | dnsrecon | DNS 枚举和侦察 | | ffuf | 快速 Web 模糊测试工具，用于目录、参数、虚拟主机和内容发现 | | Nmap | 网络/端口/服务扫描 | | rockyou 字典 | 大型密码字典，常用于授权的密码审计和凭据测试流程 | | Odoo 框架构件 | 提取的 Odoo 服务器/模块源代码或探测脚本，用于了解 Odoo 的 Web、ORM、QWeb 和动作执行行为 | | 各种自定义工具 | 项目专用的代理、载荷验证、流量捕获、修补和概念验证工具 | 但更重要的是，其中一条代理任务更新包含了以下文本： > 代理任务更新：本地环境是一个 Kali 容器，属于 tsec CTF/智能渗透测试竞赛框架（在 `/home/kali/workspace/.claude/skills/tsec-actions/SKILL.md` 中有 flag 提交接口的描述，flag 格式为 `flag{...}`），但环境变量 `TSEC_SERVER_HOST` 为空，`TSEC_AGENT_TOKEN` 也未实际注入，因此无法访问竞赛提交接口。 这似乎表明该代理配置是从一个早期的腾讯 CTF 挑战赛配置中改造而来的。这几乎可以确定是犯罪分子在复用现有工具，没有理由认为腾讯与此行动有任何关联。 据我们观察，所有任务均由一个名为 `claudecode_deepseek-v4.1-flash` 的工作者执行，这可能意味着使用了 Claude Code 仪表框架配合中国 DeepSeek 于 9 月发布的 4.1 Flash 模型。 我们没有关于 token 使用量的实际数据，但基于底层数据可以大致估算。DeepSeek 4.1 Flash 是一个低成本模型，但费用因高峰时段与非高峰时段、以及 token 是否被缓存而异。我们估计如果将未成功的、提前结束的项目也计入，每个任务的平均成本约为 5 美元。运行时间更长的项目成本会更高——有些项目包含超过 1000 条意图和事实，其成本可能超过 100 美元。但这里的不确定性相当大，数字可能有明显偏差。即便如此，可以肯定的是，这相当便宜。 ### ClusterAIA0002 语言：英文 | 面板数量：10 | 托管 AS：20473 | 置信度：高 该聚类使用英文，以金融盗窃为导向。我们发现了 10 个可能与该组相关的面板，尽管其中一些的关联置信度较低。自本次调查开始以来，许多面板已下线。 他们经常直接谈论窃取信用卡和加密货币，以及将窃取的数据上传到他们控制的独立主机上。令人难以置信的是——他们在任务指令中暴露了后端暂存主机的 SSH 登录信息。（不，我们没有登录他们的服务器，尽管我们非常想这么做。）有趣的是，许多项目似乎没有任何技术性的起始指令，除了"获取信用卡"或"获取加密货币"之外。代理就从那里开始自行运作。 该组偏好通过 AS20473，即 The Constant Company（多数情况下指 VULTR VPS 实例）托管其面板。我们以高置信度评估该聚类为恶意。 这些面板上列出的目标主要面向商户支付服务、灰市支付站点和药品网站；甚至有一个明显属于犯罪性质的信用卡盗刷卡站。有迹象表明他们已经成功入侵了其中一些。 在不属于上述类别的目标中，有几个是非洲商业站点，这暗示该行为者可能在非洲大陆设有基地。 AIA0002 按行业划分的目标柱状图。(https://norforge.com/blog/inside_cairn/images/aia0002-target-sectors.webp)AIA0002 的目标行业分布。 该行为者运行的项目声明使用名为 pi_openrouter_deepseek 的工作者，这表明其配置为 Pi 编码代理框架通过 OpenRouter（一个第三方 AI 模型 API 网关）使用 DeepSeek 语言模型。 ### ClusterAIA0003 语言：英文 | 面板数量：1 | 托管 AS：200019 | 置信度：低 该实体仅公开了一个面板，列有 59 个项目。目标为小型电商网站和大型美国商业平台的混合。使用的语言完全是英文。该面板托管在 AS200019，即 AlexHost。 该面板上列出的项目最初声称是对各种站点的授权评估，但随后逐渐变得更加明确地涉及对目标的利用，包括获取 shell 权限、管理后台访问权限或数据库访问权限。 该行为者似乎更处于探索阶段。我们以低置信度评估该行为者为恶意。 AIA0001、AIA0002 和 AIA0003 的项目创建活动仪表板。(https://norforge.com/blog/inside_cairn/images/project-creation-activity.webp)三个聚类的项目创建活动。 ## 05 漏洞利用 一个任务是否成功达成其目标，以及这是否构成现实中的安全问题，在很大程度上取决于目标设定有多激进。在某些情况下，任务在确认存在漏洞后就会停止。然而，本文涵盖的威胁行为者通常会进一步行动。 此前，我们展示了一个 AIA0001 使用的任务。该任务明确要求安装一个 Webshell 才能达成目标。为了验证，我们对一个针对大型硬件部件供应商的已完成任务中提到的 shell URL 进行了访问检查，以确认所声称的入侵是否真的发生了。该 URL 确实提供了一个上传器 Webshell。攻击者随时可以将其改为更具恶意性的内容。 从供应商站点提供的一个裸文件上传表单。(https://norforge.net/blog/inside_cairn/images/live-uploader-webshell.webp)从供应商站点提供的实时上传器 Webshell。 根据代理自身的解释，这次入侵是通过未授权的对 memcached 会话存储的写入访问权限实现的，结合不安全的 PHP 对象反序列化以及遗留 Zend Framework 组件中可利用的 gadget 链。