Eén hacker brak met AI-agents in bij ruim honderd sites

Eén hacker, een open-source agentplatform en ongeveer 5.000 dollar aan tokens. Meer was er volgens beveiligingsonderzoeker Snorre Fagerland van NorForge niet nodig om bij ruim honderd bedrijfswebsites binnen te komen. Reuters bracht het verhaal maandag als exclusief, nadat het persbureau het rapport van NorForge vooraf had ingezien.

Agents deden het zware werk

De campagne begon op 25 september en draaide op Cairn, een open-source platform dat AI-agents stap voor stap naar een doel laat werken. Volgens Reuters probeerden de agents tot eind vorige week meer dan 1.200 sites in de Verenigde Staten, Canada, Australië en Japan. Bij ruim honderd lukte het. Onder de getroffen bedrijven noemt Reuters landbouwmachinefabrikant Deere, huishoudmerk SharkNinja en motorenbouwer Cummins.

Opvallend is hoe weinig de aanvaller zelf hoefde te doen. De instructies besloegen minder dan honderd Chinese karakters. Een geslaagde inbraak kostte gemiddeld iets minder dan 23 uur rekentijd. Fagerland schat de kosten op zo’n 50 dollar per geslaagde hack. NorForge noemt zelf een gemiddelde van ongeveer 5 dollar per taak, mislukte pogingen meegerekend, en erkent dat die cijfers onzeker zijn. “It’s not script kiddie stuff”, zei Fagerland tegen Reuters.

Webshops als doelwit

The Next Web zet de details uit het rapport op een rij. NorForge vond de campagne doordat veel Cairn-gebruikers hun bedieningspanelen open op internet hadden staan. Via internetscans kwamen de onderzoekers vanaf ongeveer 2 oktober meer dan twintig panelen tegen die waarschijnlijk kwaadaardig waren. Het drukste cluster was Chineestalig en voerde ruim 1.100 aanvalsprojecten uit, vooral gericht op webwinkels. De agents probeerden code uit te voeren op de server en een webshell achter te laten, kennelijk om blijvend toegang te houden tot winkel- en betaalsystemen.

Had een groot bedrijf zelf geen zwakke plek, dan zochten de agents een gekoppeld beheerpaneel en wisten ze na uren proberen alsnog commando’s uit te voeren. Een tweede, Engelstalig cluster richtte zich op creditcards en cryptovaluta. Ook lekten de open panelen honderden inloggegevens en API-sleutels, waarvan 11 procent nog geldig bleek. Dat doet denken aan het recente OpenCode-lek waarbij gebruikers hun API-sleutels moesten vervangen.

Deere zegt maatregelen te hebben genomen en geen aanwijzingen te zien dat gevoelige data is ingezien. SharkNinja spreekt van een losstaande supportsite en zegt dat de dreiging is ingedamd. Cummins onderzoekt een melding over een site die door een leverancier wordt beheerd. Hoeveel data er is buitgemaakt, kon Reuters niet vaststellen.

Claude Code met DeepSeek erachter?

De taken draaiden op een worker met de naam “claudecode_deepseek-v4.1-flash”. NorForge leidt daaruit af dat de aanvaller mogelijk Anthropics Claude Code gebruikte als schil rond het goedkope DeepSeek V4.1 Flash-model. Dat is een interpretatie van een label, geen bewijs. In de berichtgeving staan geen reacties van Anthropic of DeepSeek. De maker van Cairn, bekend als le1xia0, schreef op X dat het platform niet voor hacken is ontworpen.

Wat betekent dit

De drempel voor geautomatiseerde aanvallen zakt hard. Wat vroeger een team met ervaring vroeg, doet één persoon nu met een agent die dag en nacht doorprobeert en tien procent van de tijd slaagt. Eerder deze week waarschuwde de Indiase CERT-In al dat AI-agents ongemerkt bedrijfsdata lazen. Voor bedrijven betekent dit vooral oude huiswerkpunten serieus nemen: beheerpanelen niet open op internet, sleutels roteren en logbestanden echt bekijken. Modelmakers proberen misbruik aan hun kant te beperken, zoals Anthropic met zijn afweer tegen het kopiëren van Claude, maar met open modellen en open platforms ligt de verdediging grotendeels bij de bedrijven zelf.