Кампания, которую исследователи Norforge связали с использованием ИИ-агентов, затронула более 100 сайтов, включая ресурсы Deere & Company, SharkNinja и Cummins. Как следует из публикации Habr, один оператор с помощью агентной системы вел параллельный поиск уязвимостей и попытки проникновения в сайты компаний из нескольких стран. Значение истории — не в появлении одной новой уязвимости, а в том, что разведка и перебор сценариев, прежде требовавшие значительного ручного труда, могут выполняться автономно и серийно.

Что подтверждено по инцидентам.

Доступная фактура не позволяет говорить о едином масштабе ущерба для всех названных компаний. Deere сообщила, что приняла меры по устранению последствий и не видит признаков доступа к конфиденциальной информации. SharkNinja заявила, что атака затронула отдельный сайт с материалами технической поддержки, а угрозу удалось локализовать. Cummins проверяет сообщение о возможной атаке на сайт, который поддерживает сторонний поставщик. Эти заявления, приведённые в материале The Verge, описывают разные по критичности контуры, а не подтверждённую компрометацию корпоративных систем компаний.

Отдельно сообщалось, что две неназванные небольшие компании подтвердили взлом. Но публичных подтверждений эксфильтрации клиентских, платёжных или производственных данных у Deere, SharkNinja и Cummins нет. Это различие принципиально: несанкционированный доступ к веб-ресурсу сам по себе не доказывает кражу данных или проникновение во внутреннюю сеть. Такой вывод также подчёркивает сводка Yahoo Tech, отделяя факт доступа от последствий, которые пока не установлены.

Как агентная схема стала видимой исследователям.

В центре расследования оказалась Cairn — открытая платформа, в которой оператор задаёт стартовую точку и цель, а несколько агентов разбивают задачу на промежуточные действия, фиксируя ход работы. Norforge обнаружила активность через доступные из интернета панели управления такими развёртываниями. По данным исследователей, с начала октября было выявлено около двух десятков экземпляров Cairn, вероятно применявшихся в злоумышленных целях. Открытые панели дали возможность увидеть журналы задач, а не только последствия атак на стороне жертв.

Norforge связала 14 панелей и более 1 100 проектов с китайскоязычным кластером, сообщал QZ. Целями были организации в США, Канаде, Австралии и Японии, прежде всего сайты электронной коммерции. Исследователи указывали, что операторы стремились получить устойчивый доступ к коммерческим и платёжным системам для последующей монетизации. Это не означает, что такая цель была достигнута по каждому проекту, но показывает модель применения агентов: человек задаёт намерение, а система длительно ведёт техническую работу и документирует результаты.

Экономика кампании и её ограничения.

Наиболее активный оператор, по сообщениям, сформулировал предпочитаемые тактики менее чем в 100 китайских иероглифах. Успешные попытки занимали около 23 часов, а к середине октября агенты атаковали более 1 200 сайтов. В описании Martin Cid говорится примерно о 5 000 долларов токенных расходов за кампанию с использованием моделей DeepSeek и Claude Code. Это оценка исследователей, а не проверенная финансовая отчётность злоумышленника.

QZ приводит другую метрику Norforge: средняя стоимость одной задачи составляла около 5 долларов с учётом неудачных и остановленных запусков, а средний успех среди наблюдаемых ИИ-инструментов оценивался примерно в 10%. Оценка сопровождается оговоркой о большой погрешности. Вместе эти данные указывают не на гарантированно дешёвый взлом, а на более доступную экономику массового тестирования целей. Агентам всё ещё требовались часы работы, часть проектов не достигала результата, а затраты на модель не включают всю инфраструктуру и дальнейшие действия оператора.

Почему событие важно для рынка ИИ и безопасности.

История с Cairn не доказывает, что автономные агенты способны без участия человека взламывать произвольные системы. Исследование описывает конкретную кампанию, где оператор выбрал цели и тактики, а агенты выполняли повторяющуюся разведку, адаптировали шаги и продолжали работу между сессиями. Однако именно такое распределение ролей снижает значение человеческого времени как ограничения: один человек может запускать больше параллельных проектов и дольше удерживать их в работе.

Для разработчиков агентных продуктов это пример двойного назначения: инструмент общего назначения может стать компонентом атакующей цепочки, если его возможности сочетаются с внешними инструментами и доступом к целевым системам. Для компаний инцидент возвращает внимание к базовым границам ответственности — инвентаризации внешних сайтов, защите административных панелей, журналированию действий и контролю подрядчиков. Случай Cummins показывает, что даже сайт, которым управляет поставщик, остаётся частью внешнего периметра бренда.

Практический вывод.

Главный вывод из этой кампании — защищать нужно не только наиболее ценные базы данных, но и весь набор публичных веб-ресурсов, включая сайты поддержки и сервисы третьих сторон. Ограниченный характер подтверждённого воздействия у Deere и SharkNinja не отменяет самого сигнала: агентные системы делают длительное и широкое тестирование внешнего периметра более масштабируемым. При этом оценивать риски следует по подтверждённым признакам доступа, данным расследований и фактическому ущербу, а не по числу запущенных агентных задач.