Beveiligingsonderzoekers waarschuwen voor een nieuwe modus waarbij geautonomeerde AI-agents vrijwel zelfstandig inbraakpogingen doen. In plaats van dat een aanvaller elke stap handmatig uitvoert, richt een operator de agents op en laat het systeem vervolgens doelgericht taken uitvoeren op kwetsbare of openstaande doelen.
Volgens waarnemingen die door een onderzoeker zijn gedocumenteerd en door persinzichten zijn bevestigd, werden agent-control panels van Cairn op internet gevonden. Daardoor kon men real time zien wat de aanvallen deden en welke doelen werden geprobeerd. Wat daarbij opvalt: de agents testten snel en in grote aantallen, en de kans op blootstelling van gevoelige gegevens bleef niet beperkt tot “wat er werd gehackt”.
Wat we zien: agents die doelen zelfstandig proberen te compromitteren
De kern van het verhaal is dat een aanvaller autonome AI-agenten inzet via Cairn. Cairn is gemaakt om AI-agenten een startpunt en een opdracht te geven, waarna ze stap voor stap werken aan een doel. Een menselijke operator kan daarbij hints toevoegen, maar hoeft het proces niet volledig handmatig te sturen.
In de waargenomen campagne werden meer dan 1.200 websites benaderd, met raakvlakken bij doelwitten van meer dan 100 organisaties. Over de omvang van eventuele data-exfiltratie is in de beschikbare informatie geen harde eindconclusie, maar er zijn wel concrete aanwijzingen van succesvolle compromittering bij meerdere slachtoffers.
Waarom Cairn hier een opstap bleek
Cairn levert volgens de beschrijvingen een werkwijze waarin een agent eerst “begrijpt” wat het moet doen, en vervolgens acties onderneemt richting dat doel. De maker van het gereedschap gaf aan dat Cairn niet bedoeld is voor misbruik bij hacking. Tegelijkertijd laat de campagne zien dat dezelfde functionaliteit ook kan worden ingezet om ongeautoriseerde systemen aan te vallen.
Van opdracht naar webshell: een route die vaak op controle leunt
Een terugkerend patroon in wat onderzoekers zagen, was dat agents zochten naar mogelijkheden om code te laten draaien op webomgevingen en daarbij een vorm van een webshell-upload probeerden te plaatsen. Daarbij is het belangrijk om te begrijpen dat een webshell-opzet later kan worden aangepast: wat eerst “alleen” een uploadmechanisme is, kan later worden omgezet in iets dat direct commando’s uitvoert.
Onderzoekers rapporteerden daarnaast dat een voorbeeldintrusie verliep via een combinatie van factoren, waaronder onveilige omgang met opgeslagen PHP-objecten, een issue in oudere Zend Framework-code en een onbedoelde route via schrijfrechten naar een memcached session store. Niet elk slachtoffer gebruikte exact dezelfde keten, maar het onderliggende principe bleef vergelijkbaar: agents vonden een pad naar uitvoering of indirecte controle.
Het grootste risico zat niet alleen in de aanval—maar ook in de open panelen
Een cruciaal detail: de operator(s) lieten control panels van Cairn onbeveiligd blootstaan op internet. Door dat open karakter konden onderzoekers de voortgang volgen en zelfs realtime zien wat de agents “doen” en welke instructies zijn doorgezet.
De control panels gaven meer prijs dan je zou willen bij een pentest- of testopstelling. Ze toonden onder andere informatie over doelen, gevonden zwakheden en ook welke credentials of sleutels waren verzameld. Met andere woorden: zelfs als een inbraak niet slaagde, kon de open panel setup nog steeds geheimen lekken.
Secrets scanner vond honderden secrets
De onderzoeker gebruikte een secretscanner (Trufflehog) op de paneldata. Daaruit kwamen honderden secrets naar boven. Een deel daarvan bleek bovendien nog geldig. Dat is extra gevaarlijk, omdat aanvallers niet per se hoeven te wachten op een succesvolle exploit: soms kunnen ze met gelekte gegevens direct waarde pakken.
Wat slachtoffers meldden (en wat dat betekent voor jouw risico-inschatting)
Een aantal benadeelde organisaties gaf in de beschikbare berichtgeving aan dat de impact beperkt was, of dat de dreiging op een specifieke component was ingekapseld.
- Deere gaf aan stappen te hebben genomen om het probleem te verhelpen en geen aanwijzingen te hebben dat gevoelige informatie is benaderd.
- SharkNinja meldde dat de aanval een zelfstandige product-supportsite trof en dat men de dreiging heeft ingedamd.
- Cummins gaf aan bezig te zijn met onderzoek naar een mogelijke aanval via een website die door een leverancier werd beheerd.
Daarnaast kwamen er meldingen van kleinere bedrijven naar voren die ook werden geraakt. Ook werd er een voorbeeld genoemd waarin een onderzoeker via analyse kon vaststellen dat er een webshell daadwerkelijk actief was, bij een grote leverancier van hardware-onderdelen.
Praktisch gezien betekent dit: zelfs als “de schade meevalt”, is de kans reëel dat er sporen zijn (zoals uploads, webshells, of toegangspaden) die je moet opsporen en uitroeien.
Hoe snel ging dit proces en wat zegt dat over de schaalbaarheid?
De onderzoekers stellen dat succesvolle doorbraken gemiddeld rond de 23 uur duurden. De successrate lag naar schatting rond 10% binnen de set die men observeerde, al waarschuwt men dat clusters niet één-op-één vergelijkbaar zijn omdat de doelen en context verschilden.
Wat verder opvalt is dat de kosten relatief laag werden ingeschat: per taak zou het grofweg enkele dollars kunnen bedragen, en de totale campagne (volgens een separate berekening) zou in de orde van grootte van enkele duizenden dollars aan rekentokens hebben gebruikt. Juist die combinatie—goedkoop, snel en (gedeeltelijk) onbemand—maakt de methode zorgwekkend voor organisaties met een brede digitale aanvalsoppervlakte.
Indicatoren om nu te checken
Verdedigers kunnen volgens de bevindingen op een paar concrete punten letten. Niet alle signalen wijzen direct op Cairn, maar ze sluiten goed aan op de manier waarop dit soort agent-gestuurde workflows worden ingezet.
1) Onbeveiligde agent-control panels
Agent-control panels zijn in dit soort setups vaak bereikbaar via een specifieke poort (in de waarnemingen werd poort 8000 genoemd). Als er een panel publiek toegankelijk is zonder login, is dat een dringend signaal om te controleren en direct te blokkeren.
2) Onverwachte uploadformulieren in verborgen paden
Een tweede focuspunt is het vinden van “vreemde” uploadmogelijkheden, zeker wanneer ze in een verborgen directory zitten. In de beschreven aanval vormden zulke uploadroutes een belangrijk startpunt richting het plaatsen van een webshell-achtige oplossing.
3) Magento patch-status (StyleSmuggler)
Onderzoekers vonden een bewijsconstructie rond een Magento-kwetsbaarheid die in berichtgeving is aangeduid als StyleSmuggler (CVE-2026-75650). In de beschikbare informatie is er geen bewijs dat deze specifieke kwetsbaarheid per se werd misbruikt in de onderzochte inbraken, maar als jouw Magento-installatie binnen een getroffen versie valt, is patchen wel relevant.
De genoemde aanbeveling is om de Adobe Commerce of Magento Open Source hotfixes toe te passen voor de genoemde reeksen (2.4.4 t/m 2.4.9 voor Adobe Commerce en 2.4.6 t/m 2.4.9 voor Magento Open Source).
Meer context: eerdere rapporten en het bredere patroon van misbruik
De zoektocht naar de Cairn-panelen werd gekoppeld aan eerdere signalen in de industrie. Er was eerder een rapport van een andere securitypartij waarin Cairn in combinatie met andere AI-tools werd genoemd bij diefstal van creditcards. In de beschikbare informatie is er echter geen directe koppeling tussen die operatie en de campagne die hier is waargenomen.
Ook wordt genoemd dat hostingproviders in beweging moeten komen om open panelen offline te halen. De effectiviteit daarvan hangt af van hoe snel en volledig hosts reageren.
Wat je intern kunt organiseren (zodat AI-misbruik niet “vanzelf” doorgaat)
Los van specifieke tools is de les breder: het uitrollen van een agent-platform betekent ook dat je toegang tot control surfaces en opslag van testdata serieus moet beveiligen. Als operators panels open zetten, kan dat leiden tot datalekken van secrets en tot realtime misbruik.
Werk daarom aan drie lijnen: (1) inventariseer je blootgestelde services (zoals interne panels), (2) controleer uploadpaden en web-immutables, en (3) zorg dat patchmanagement voor je web- en commerceplatformen actueel is.
Als je eerder te maken had met compromittering door misbruik van credentials of toegang, kan dit ook helpen om je responseproces te herijken. Bijvoorbeeld in situaties waarin account- of platformtoegang misbruikt wordt, zoals beschreven in ons artikel over een gecompromitteerde login bij ETS: wat dit betekent.
Conclusie
De opvallendste waarschuwing uit dit onderzoek is dat geautonomeerde AI-agents kunnen opschalen zonder dat operators elke stap hoeven te ondersteunen. Tegelijkertijd blijkt dat slechte operationele hygiëne—openstaande control panels—een tweede, vaak onderschat risico creëert: lekken van secrets en controle-informatie.
Controleer daarom snel op onbeveiligde panelen, onverwachte uploadroutes en achterstallige patches. Daarmee verlaag je de kans dat AI-gestuurde inbraakpaden in jouw omgeving voet aan de grond krijgen.
Bron: https://thehackernews.com/2026/10/hackers-use-autonomous-ai-agents-to.html
