Cairnを使ったAIエージェントによる攻撃活動
- タグ
- 国外
目次
NorForgeの2026年10月19日の報告によると、外部にさらされたCairn（AIによるペネトレーションテストの基盤）の管理パネル20件超が、悪意ある活動に関連するとみられる［4］。Reutersによると、サイバーセキュリティの研究者はこの2週間ほど、中国語を話すハッカーが100社超のサイトに侵入するのを見ていた［6］。NorForgeは被害者への通知をReutersと進め、パネルの停止も試みている［4］。
報告の内容
NorForgeは、公開状態にあるAI駆動のペネトレーションテスト用の管理パネルを調べ、それらが悪意あるサイバー活動に広く使われていると報告し、その一つにCairnを挙げた［4］。NorForgeが見た範囲では、すべての活動が金銭目的とみられ、国家の支援を受けた明らかな侵入活動は無かった［4］。
NorForgeの報告では、パネルはエージェントが見つけたものすべてと、他で収集した認証情報を含む人の入力を表示していた［4］。パネルは完全に無保護に見え、エージェントの標的の変更、データの投入、プロジェクトの開始と停止など、ハーネスの管理機能の全体とみられるものを露出していた［4］。認証の無い状態でこうした操作が実際に動くかを、NorForgeは試していない［4］。
Cairnの仕組みと既定の設定
開発者のoriteraはREADMEで、Cairnを役割も作業手順も定めない汎用の問題解決エンジンと説明した［1］。Cairnは起点と目標を受け取り、未知の状態空間の中で経路を探す［1］。AIペネトレーションテストはその問題の一つで、実証された領域だとした［1］。ワーカーのバックエンドには、Claude Code、Codex、Piが使える［1］。
oriteraが推奨の手順に挙げるDocker Composeでは、cairn-serverがポート8000で起動する［1］。設定ファイルのdocker-compose.yamlは、cairn-serverにポートの割り当て「8000:8000」を置き、「--host 0.0.0.0」を付けて起動する［2］。oriteraは免責事項で、Cairnは明示的な許可のある環境でだけ使うことを意図しているとし、所有者か運用者の事前の許可なしに、システム、ネットワーク、アプリケーション、データに使わないよう求めた［1］。
NorForgeの説明では、Cairnは個々のタスクをプロジェクトとして扱い、エージェントは共有の黒板に、次に取る行動（intent）と見つけた事実（fact）を書き込む［4］。人の運用者も、同じ黒板にヒントを加えられる［4］。NorForgeが図で示した例では、米国の大手オンライン小売業者への攻撃が「GOAL MET: Webshell injected into the site」で終わっていた［4］。
AIA0001の標的と手口
NorForgeによると、AIA0001は公開パネルの攻撃者のうち群を抜いて活発で、主に米国・日本・オーストラリアの幅広い組織を狙った［4］。NorForgeは、後で収益化するために、ECや決済の基盤への持続的なアクセスを得ることが目的とみられるとした［4］。
NorForgeが訳した典型的なタスクでは、対象は4か国（US/CA/JP/AU）の実在が確認された通販サイトで、流量は20万〜150万だった［4］。標的は流量で順位を付けられ、Microsoftのブラウザー自動化の枠組みPlaywrightで注文できることを確かめてから、Cairnに送られていた［4］。Reutersは、中国語を話すハッカーの指示は簡潔で、好みの侵入手口を100字未満の中国語で示していたと報じた［6］。
NorForgeが示したタスクの目的は、認証の要らないリモートからのコード実行（RCE）である［4］。ペイロードには、コマンドを実行するWebシェルではなく、アップローダー型のシェルを指定していた［4］。目標の達成は、whoamiかidの出力でコマンドの実行を確かめたときとした［4］。タスクはすべてclaudecode_deepseek-v4.1-flashという名のワーカーが実行しており、NorForgeは、その名前が、9月に公開された中国のモデルDeepSeek 4.1 FlashをClaude Codeの枠組みで動かしていることを示しうるとした［4］。
NorForgeは、AIA0001の完了したタスクにあった大手ハードウェア部品販売業者のシェルのURLを実際に開き、返ってきたのがアップローダー型のWebシェルであることを確かめた［4］。エージェント自身の記述では、この侵入は、memcachedのセッションストアへの不正な書き込みに、PHPオブジェクトの安全でないデシリアライズと、古いZend Frameworkの部品にある悪用できるガジェットチェーンが組み合わさって可能になった［4］。
NorForgeの集計では、AIA0001で目標に達したタスクについて、達成までに要した時間はプロジェクトの開始から数えて平均23時間弱、factの数は1プロジェクト平均140だった［4］。5日間より長く続いたプロジェクトもあり、NorForgeはこれらの値を調査した時の断面だとした［4］。
AIA0002とAIA0003の手口
NorForgeの報告では、AIA0002はクレジットカードと暗号資産の窃取をたびたび直接話題にし、盗んだデータを自分の管理する別のホストに上げていた［4］。多くのプロジェクトは、「fetch credit cards」「fetch crypto」のほかに、開始の技術的な指示を持たないように見えた［4］。典型的な目標は、ホームのディレクトリではない深い隠しディレクトリにconfirm.phpのような普通の名前でWebシェルを置き、そのリンクを渡すことだった［4］。Cairnは、暗号資産のウォレット間の送金などにも使われていた［4］。
AIA0002はタスクに、バックエンドの中継ホストへのSSHのログインを書いていたが、NorForgeはそのサーバーにログインしていない［4］。標的は加盟店の決済サービス、グレーな決済サイト、医薬品のサイトが中心で、明らかに犯罪のカーディングサイトもあり、アフリカの通販サイトも複数含まれていた［4］。NorForgeは、一部の標的に侵入した兆候があるとした［4］。AIA0002のプロジェクトには、pi_openrouter_deepseekという名のワーカーを使うと書かれていた［4］。
NorForgeによると、AIA0003の標的は小さな通販サイトと米国の大きな商業プラットフォームだった［4］。AIA0003のタスクは、初めは許可を得た診断として書かれ、後半になるほど、シェル、管理画面、DBへのアクセスを得ることをはっきり目標に掲げる［4］。
侵入に至った事例
| 事例 | 対象 | 内容 | 資料 |
|---|---|---|---|
| 1 | オーストラリアの通販サイト | Cairnのバックエンドが目標の達成を示し、Webサーバーでコマンドを実行できるシェルが実在した | ［4］ |
| 2 | レストランのPOSの本番のテナント | 認証の要らない登録とオブジェクト単位の認可の不備（BOLA）で、顧客アカウントを列挙した（図ではテナントAで約340、Bで約19,000、Cで約8,000） | ［4］ |
| 3 | 米国の小売業者 | Webアプリへの侵入 | ［4］ |
| 4 | 別の米国の小売業者 | 安全でないエラー処理を突いた侵入 | ［4］ |
| 5 | 日本の小売業者 | PHPのオブジェクトチェーン（Monolog/RCE2）で細工したCookieが入力の検査をすり抜け、認証なしのコマンド実行に至った（サーバーはエラーを返したが、応答にコマンドの出力が含まれていた） | ［4］ |
| 6 | 米国の非常に大きな小売業者 | エージェントが脆弱なバックエンドのサーバーを選ぶCookieの設定を見つけ、NorForgeが侵害の連鎖を検証した（図では画像のアップロードからのRCE、対象は非公表） | ［4］ |
Reutersが伝えた事例では、エージェントは大企業の公開アプリに弱点を見つけられず、デジタルの記録から関連する基盤を探して、公開された管理パネルを見つけた［6］。エージェントは、パネルがデータを処理する仕方のわずかな弱点を突き、数時間の試行の末に、サーバーに悪意あるコマンドを実行させたと報告した［6］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Gambit Security | オープンソースのAIハーネスで数百のオンライン小売業者を狙う攻撃活動を報告した | ［5］ |
| 2026年 | NorForge | 研究者が、悪意ある活動に使われるCairnのインスタンスを見つけ始めた | ［6］ |
| 2026年 | - | AIA0001のプロジェクト948件が作られ、10月3日の651件が最多だった（UTC） | ［4］ |
| 2026年 | - | AIA0002のプロジェクト48件が作られ、10月9日の16件が最多だった（UTC） | ［4］ |
| 2026年 | - | AIA0003のプロジェクト41件が15時〜16時（UTC）の1時間に作られた | ［4］ |
| 2026年 | JPCERT/CC | 国内組織の不正アクセスに関する注意喚起を公開した | ［3］ |
| 2026年 | NorForge | 報告「Inside Cairn」を公開した | ［4］ |
| 2026年 | JPCERT/CC | 注意喚起に情報を追記した | ［3］ |
根拠と範囲
NorForgeは報告の冒頭で、Gambit Securityがオンラインマーケットプレイスを狙う犯罪的な侵入活動を報告し、攻撃者の中継サーバーからHermes、Strix、CairnなどのAIハーネスの使用を見つけたことに触れた［4］。
Gambit Securityが先に報告した別の活動では、攻撃者はStrixを脆弱性の探索に、Cairnを自律的な一貫した攻略に、Hermesを活動の指揮に使い、Cairnの攻撃にはDeepSeek v4.1 Flashを使っていた［5］。
NorForgeによると、ShodanとCensysの検索で、さまざまな種類のAIハーネスを動かすとみられるホストが見つかり、その多くは利用に認証を要した［4］。NorForgeは、Cairnが最も放置されているプラットフォームの一つとみられるとした［4］。当初の検索で見つかった公開状態のCairnのパネルは数件だったが、走査を続けると新しいパネルが次々に現れた［4］。標的の情報、言語、指示から、その多くが同じ攻撃者のものと分かった［4］。
Cairnのパネルは通常のWebの画面で、商用のインターネット走査サービスで特定でき、NorForgeは数日間で多数のパネルを見つけた［4］。空のもの、認証で保護されたもの、正規のデモやペネトレーションテスト業者のものとみられるものもあった［4］。正規とみられるレッドチームの作業も、相当数が同じ形で公開されていた［4］。NorForgeは、これが顧客を危険にさらすおそれがあるとし、正規のレッドチームを名指ししないものの、実際の顧客のペネトレーションテストを保護の無いパネルに置くのは大きな問題だと述べた［4］。
複数のパネルの多くの標的サイトでは先頭の「w」が欠けており（Wholesaleがholesaleになる）、NorForgeは、共通の不具合のあるドメインの正規化の処理がうかがえるとした［4］。この欠落で、関連するパネルを見分けやすくなった［4］。NorForgeは活動クラスタに、「AI Activity」を意味するAIAの接頭辞で番号を振った［4］。
| クラスタ | 言語 | パネル | ホスティング | 悪意の評価の確度 | プロジェクト | 実質的な成果のあるプロジェクト | 作成の期間（UTC） | 資料 |
|---|---|---|---|---|---|---|---|---|
| AIA0001 | 中国語 | 14 | AS56594（Cgi Global Limited） | High | 1,139 | 96（8.4%） | 2026年9月25日〜10月9日 | ［4］ |
| AIA0002 | 英語 | 10 | AS20473（The Constant Company） | High | 71 | 32（45.1%） | 2026年9月24日〜10月10日 | ［4］ |
| AIA0003 | 英語 | 1 | AS200019（AlexHost） | Low | 59 | 6（10.2%） | 2026年10月5日〜6日 | ［4］ |
NorForgeの図では、3つの活動のプロジェクトは計1,269件〔注1〕だった［4］。NorForgeは、プロジェクトの作成は標的の意図を示すもので、実行の完了を必ずしも示さないと注記した［4］。AIA0002の一部のパネルは関連付けの確度が低く、多くは調査を始めた後に見えなくなった［4］。
NorForgeは平均の成功率を約10%とみるのが妥当とした［4］。目標に届かなかったタスクの多くも、一部の目標を果たしたか、次の試行に使える情報を集めていたとした［4］。クラスタごとに目的が違い、直接は比べられないとも述べた［4］。
| 成果の種類 | プロジェクト | 割合 | 資料 |
|---|---|---|---|
| Webシェル・リモートコード実行 | 56 | 41.8% | ［4］ |
| DBへのアクセス・データの持ち出し | 28 | 20.9% | ［4］ |
| アカウントの乗っ取り | 20 | 14.9% | ［4］ |
| 暗号資産のウォレットのデータ | 13 | 9.7% | ［4］ |
| カード情報 | 9 | 6.7% | ［4］ |
| その他 | 8 | 6.0% | ［4］ |
NorForgeは、トークンの使用量の実数は無いとしたうえで、失敗や早期の終了を含めたタスクの平均の費用を約5ドルと推定した［4］。intentとfactが1000を超えるプロジェクトもあり、その費用は100ドルを超えうるが、不確かさは大きいとした［4］。Reutersによると、NorForgeの研究者は、中国のDeepSeekとAnthropicのClaude Codeを組み合わせて使っていたとみられる活動が、約5,000ドル相当のトークンを使い、成功した侵入ごとでは約50ドルになったと見積もった［6］。
| クラスタ | 業種 | ドメイン | 資料 |
|---|---|---|---|
| AIA0001 | 一意の標的ドメインの計 | 996 | ［4］ |
| AIA0001 | 小売・卸売 | 768 | ［4］ |
| AIA0001 | 金融サービス・決済 | 52 | ［4］ |
| AIA0001 | 旅行・宿泊・レジャー | 48 | ［4］ |
| AIA0001 | 製造・産業 | 24 | ［4］ |
| AIA0001 | メディア・出版 | 21 | ［4］ |
| AIA0001 | 専門・ビジネスサービス | 19 | ［4］ |
| AIA0001 | 政府・公共サービス | 15 | ［4］ |
| AIA0001 | 技術・ソフトウェア | 14 | ［4］ |
| AIA0001 | 医療 | 10 | ［4］ |
| AIA0001 | 公益 | 10 | ［4］ |
| AIA0002 | 一意の標的ドメインの計 | 60 | ［4］ |
| AIA0002 | 決済・金融サービス | 40 | ［4］ |
| AIA0002 | 医薬品の通販 | 13 | ［4］ |
| AIA0002 | 小売 | 2 | ［4］ |
| AIA0002 | カーディングの市場 | 1 | ［4］ |
NorForgeは、パネルから標的、見つかった弱点、アカウントの秘密情報とAPIキー、侵害の成否が分かるため、抽出したデータを強く伏せ、パネルのアドレスは停止できるまで公開しないとした［4］。侵害の痕跡の表には、AIA0002の中継サーバー2件と、ポート8000で動く各クラスタのパネルを載せ、パネルのIPアドレスは一部を伏せた［4］。多くのパネルは稼働中で機微なデータを含むため、伏せない一覧は正当な研究者にだけ提供する［4］。
パネルに残った秘密情報
NorForgeがCairnのデータに秘密情報の検査器Trufflehogをかけると、数百の秘密情報が見つかった［4］。NorForgeが図に付けた説明では、運用者のタスクに秘密情報が含まれ、攻撃者がデータを置く場所へのrootのアクセスまで露出していた［4］。
| 項目 | 値 | 資料 |
|---|---|---|
| 重複を除いた検出 | 622件 | ［4］ |
| 秘密情報の種類 | 79 | ［4］ |
| 有効と確認 | 68件（検出の10.9%、critical 42件・high 26件） | ［4］ |
| 重大度 | Critical 370件（59.5%）、High 206件（33.1%）、Moderate 46件（7.4%） | ［4］ |
| 種類の上位 | URI 75、Gemini API key 74、Auth0 OAuth 41、AWS 41、Shopify 38 | ［4］ |
NorForgeは、公開状態のCairnで自社のサイトを試験されることは、試験の結果にかかわらず重大なセキュリティの問題になることが多いとした［4］。正規のレッドチームにとっても、顧客から集めた秘密情報をインターネットに公開する問題になっていたと述べた［4］。
関係者の対応
NorForgeは、パネルの停止はホスティング事業者が停止の要請にどう応じるか次第で、できないこともありうるとした［4］。
Reutersは、NorForgeの報告が名指ししていない被害者を、中国語を話すハッカーのCairnの活動を独自に調べて特定したと報じ、Deere・SharkNinja・Cumminsの名を挙げた［6］。小規模の2社も侵害を認め、Cairnのデータにあったほかの被害者は返信しなかった［6］。
Deereは、必要な是正の措置を取り、機微な情報にアクセスされた兆候は無いとReutersに回答した［6］。SharkNinjaは、被害を受けたのは製品のサポート情報だけを載せた独立のサイトで、脅威は封じ込めたと説明した［6］。Cumminsは、第三者のベンダーの1社が運営するWebサイトがサイバー攻撃を受けた可能性があるとの報告を調べていると回答した［6］。
Reutersの記事が引いた最近のXへの投稿で、Cairnの作者は、Cairnは革新的な種類のマルチエージェントの構成で、ハッキングの攻撃のために設計したものではないと述べた［6］。有害な攻撃に使われるなら、それは自分の意図ではないとも書いていた［6］。作者はReutersのメッセージの受領を認めたが、質問の一覧にはすぐには答えなかった［6］。
JPCERT/CCの注意喚起は、2026年9月前後に国内組織で相次いだ、不正アクセスによる個人情報等の漏えい被害を扱っている［3］。JPCERT/CCは10月23日の追記で「ケースE：AIを用いたペネトレーションテスト基盤を悪用した攻撃試行」を加え、Cairn、CyberStrikeAI、ARTEXなどを悪用した攻撃試行が確認されているとした［3］。
ケースEの攻撃試行は主にインターネットに公開されたWebアプリを標的にしたもので、脆弱性を探して悪用を試みている［3］。機器の管理不備等を悪用した攻撃（環境設定ファイルやバックアップファイルの窃取など）も確認されている［3］。攻撃試行には、インターネットに公開されたWSUSサーバーを狙うものも含まれる［3］。
JPCERT/CCは、ケースEの不審な送信元のIPアドレス9件を載せ、これまでに攻撃を受けたかを確かめるために、これらからのアクセスの有無を調べるよう求めた［3］。一覧のIPアドレスは、調査の段階では正規に利用されている可能性もあるとした［3］。
| IPアドレス | 観測日または攻撃インフラの稼働が推定される日（JST） | 資料 |
|---|---|---|
| 31.59.92[.]155 | 10月4日〜20日 | ［3］ |
| 31.56.206[.]187 | 9月27日〜10月20日 | ［3］ |
| 38.244.50[.]120 | - | ［3］ |
| 46.8.227[.]73 | 9月27日〜10月19日 | ［3］ |
| 64.44.24[.]195 | 10月15日〜 | ［3］ |
| 94.183.184[.]98 | 10月13日〜19日 | ［3］ |
| 94.183.184[.]254 | 10月3日〜20日 | ［3］ |
| 95.182.99[.]112 | 10月4日〜19日 | ［3］ |
| 176.65.144[.]71 | 9月23日〜10月17日 | ［3］ |
注意喚起の参考情報には、NorForgeの「Inside Cairn」が加わった［3］。
未公表の事項
- パネルが無保護に見える状態で公開されていた理由
- 日本の被害組織の名と数
- 持ち出されたデータの量（Reutersは、侵入がデータの無断の持ち出しにどの程度至ったかを確認できなかったと報じた［6］）
- 攻撃者の身元
- パネルに露出した秘密情報の悪用の有無
注
- 〔注1〕Reutersは10月19日の記事で、中国語を話すハッカーのエージェントが、先週後半までに1,200を超えるサイトへの侵入を試みていたと報じた［6］。
出典
当事者
- ［1］oritera『Cairn（README.md）』（公開日不明、2026年10月26日閲覧）
- ［2］oritera『docker-compose.yaml』（公開日不明、2026年10月26日閲覧）
公的機関
- ［3］一般社団法人JPCERTコーディネーションセンター『直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT-AT-2026-0030）』（2026年10月8日公開、2026年10月23日更新）
調査・観測
- ［4］NorForge Inc『Inside Cairn: Open Windows into massive AI-Driven Cyber Operations』（2026年10月19日公開）
- ［5］Gambit Security『Autonomous AI Agents are breaking into hundreds of Online Retailers for $25 a target in an ongoing campaign』（2026年9月22日公開）
報道機関
- ［6］The Express Tribune『How one hacker used AI agents and a few thousand dollars to break into scores of sites』（2026年10月19日公開、Reutersの配信）
更新記録
- 2026年10月26日13時27分：公開した。
- 2026年10月26日17時36分：リードの第2文を出典［6］の原文どおり研究者がこの2週間ほど侵入を見ていた形に改めて被害企業の名を「関係者の対応」に移し、「根拠と範囲」のGambit Securityの報告の事実を別の活動として別の段落に分け、「時系列」からReutersの記事の配信の行を削った。
- 2026年11月3日：題とリード、「AIA0001の標的と手口」「根拠と範囲」の文の言い回しを改め、AIA0001の所要時間とfactの数の文を「根拠と範囲」から「AIA0001の標的と手口」に移し、「報告の内容」「Cairnの仕組みと既定の設定」「AIA0002とAIA0003の手口」の言い回しも改めた（事実と出典は変えていない）。