Chińskojęzyczny cyberprzestępca włamał się na strony ponad 100 firm, w tym Deere, SharkNinja i Cummins, zlecając niemal całą pracę autonomicznym agentom AI uruchomionym na otwartoźródłowej platformie Cairn. Według raportu norweskiej firmy NorForge, opisanego 19 października 2026 r. przez agencję Reuters, agenci próbowali sforsować ponad 1200 witryn, a cała kampania kosztowała około 5 tys. dolarów w tokenach, czyli mniej więcej 50 dolarów za jedno udane włamanie.
- Chińskojęzyczny cyberprzestępca, wydając około 5 tys. dolarów w tokenach (średnio 50 dolarów za udane włamanie), zlecił autonomicznym agentom AI na platformie Cairn ponad 1200 prób włamań, z których ponad 100 zakończyło się sukcesem – a całą operację uruchomił, wpisując mniej niż 100 chińskich znaków instrukcji.
- Według raportu Gambit Security z 22 września 2026 r. podobna kampania prowadzona przez chińskojęzycznego operatora z użyciem agentów Strix, Cairn i Hermes doprowadziła do kradzieży ponad 600 tys. niewygasłych rekordów kart płatniczych z co najmniej dwóch firm, a koszt ukończonego skanu jednego celu wyniósł średnio 25,46 dolara.
- Firma Bitsight odnotowała 67-procentowy wzrost wzmianek o agentach AI, pośrednim prompt injection i protokole MCP na 16 podziemnych forach cyberprzestępczych między lutym a sierpniem 2026 r., a Snorre Fagerland z NorForge przyznał, że technologia autonomicznych ataków minęła już etap wymagający minimalnego nadzoru człowieka.
Snorre Fagerland, główny badacz zagrożeń w NorForge, obserwował całą operację na żywo. Nie dlatego, że przełamał zabezpieczenia hakera, tylko dlatego, że haker sam zostawił otwarty panel sterowania swoimi agentami.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Agenci włamywali się sami, haker wpisał mniej niż 100 znaków instrukcji
Operator kampanii nie pisał exploitów, nie szukał podatności i nie siedział godzinami nad skanami. Według raportu NorForge jego instrukcje dla agentów mieściły się w mniej niż 100 chińskich znakach i opisywały jedynie preferowane sposoby włamania. Resztę agenci robili sami.
Kampania ruszyła 25 września 2026 r. i była wymierzona w sklepy internetowe z USA, Kanady, Australii i Japonii. Do końca ubiegłego tygodnia agenci podjęli ponad 1200 prób włamań. Skuteczna intruzja zajmowała im zwykle około 23 godzin prób i błędów.
Fagerland, który pracuje w branży cyberbezpieczeństwa od blisko 30 lat, przyznał w rozmowie z Reuters, że niektóre techniki zrobiły na nim wrażenie. W jednym przypadku agenci nie znaleźli żadnej luki w głównej aplikacji dużej firmy. Zamiast odpuścić, przeszukali publiczne rejestry, odnalezli powiązaną infrastrukturę, zlokalizowali wystawiony do internetu panel administracyjny, wykryli w nim subtelny błąd w przetwarzaniu danych i po wielu godzinach zgłosili, że udało im się zmusić serwer do wykonywania własnych poleceń.
„Wymyślenie takich rozwiązań nie jest proste. To nie jest zabawa dla skryptowych dzieciaków” / „It’s not straightforward to come up with solutions like that. It’s not script kiddie stuff.”, powiedział Fagerland agencji Reuters.
Według szacunków Fagerlanda kampania korzystała z mieszanki chińskich modeli DeepSeek i Claude Code firmy Anthropic. Z relacji opisujących raport NorForge wynika, że nazwy procesów roboczych w panelu sugerowały konfigurację Claude Code z modelem DeepSeek, ale NorForge nie potwierdziło pełnej konfiguracji modeli.
Skąd to wiemy: badacz zaglądał hakerom przez ramię dzięki otwartym panelom Cairn
Fagerland trafił na kampanię, skanując internet w poszukiwaniu niezabezpieczonych instancji Cairn, otwartoźródłowej platformy do rozwiązywania złożonych zadań przez wiele współpracujących agentów AI. Cairn nie powstał jako narzędzie hakerskie, ale daje agentom dostęp do powłoki systemowej, przeglądarki i plików, co czyni go wygodnym silnikiem do automatycznych włamań.
Od około 2 października NorForge znalazło około dwóch tuzinów instancji Cairn używanych do działań przestępczych. Ich operatorzy zostawili panele kontrolne bez zabezpieczeń, więc badacz mógł śledzić w czasie rzeczywistym, jakie zadania zlecają agentom i co agenci raportują z powrotem.
Chińskojęzyczny haker był najbardziej płodnym z obserwowanych operatorów, ale nie jedynym. Spośród pozostałych:
- jeden operator ukradł obszerny zbiór danych kart płatniczych,
- inny próbował zlecić agentom obrabowanie giełdy kryptowalut,
- relacje opisujące raport NorForge wskazują, że część zleceń była tak nietechniczna, że sprowadzała się do krótkich poleceń w stylu „zdobądź karty kredytowe” albo „zdobądź krypto”.
Raport NorForge nie wymienia ofiar z nazwy. Reuters ustalił je samodzielnie, analizując aktywność hakera zapisaną w Cairn. Agencja nie była w stanie stwierdzić, w jakim stopniu włamania zakończyły się wyciekiem danych.
Deere przekazało, że podjęło „niezbędne działania naprawcze” i nie ma „żadnych przesłanek, że uzyskano dostęp do wrażliwych informacji” / „no indication that sensitive information was accessed”. SharkNinja odpowiedziało, że atak dotknął odrębną stronę z informacjami o wsparciu produktów i zagrożenie zostało opanowane. Cummins poinformował, że bada doniesienia o potencjalnym cyberataku na stronę prowadzoną przez jednego z zewnętrznych dostawców. Dwie mniejsze firmy również potwierdziły włamanie, pozostałe ofiary z listy nie odpowiedziały na pytania Reuters.
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
Autor Cairn: platforma nie powstała do ataków hakerskich
Twórca Cairn, występujący w sieci pod pseudonimem le1xia0, potwierdził Reuters otrzymanie pytań, ale nie odpowiedział na nie. We wpisie na X napisał, że Cairn to innowacyjna architektura wieloagentowa, która nie została zaprojektowana do ataków hakerskich.
„Jeśli jest wykorzystywana do przeprowadzania szkodliwych ataków hakerskich, nie jest to moją intencją” / „If it is used to carry out harmful hacking attacks, that is not my intention.”
W osobnym wpisie dodał, że nadużycie to decyzja człowieka, a nie cecha silnika. NorForge zapowiedziało, że pracuje nad wyłączeniem wykrytych złośliwych instancji i powiadomieniem ofiar.
Najbardziej niepokojąca liczba w tym raporcie to nie „ponad 100 firm”, tylko „50 dolarów za włamanie”. Jeszcze rok temu taki poziom automatyzacji ataków przypisywano grupom z zapleczem państwowym. Teraz wystarczy karta kredytowa, repozytorium na GitHubie i kilkadziesiąt znaków instrukcji.
Jest w tej historii gorzka ironia. Hakera nie złapał żaden system obronny, tylko jego własne niechlujstwo: zostawił panel Cairn otwarty na świat. Gdyby zabezpieczył go hasłem, nikt by się nie dowiedział. Ilu takich operatorów działa dziś bez takiego błędu? Tego nie wie ani Fagerland, ani nikt inny.
Druga rzecz: to kolejny przypadek, w którym w łańcuchu narzędzi pojawiają się zarówno chińskie modele, jak i produkty Anthropic. Zachodni dostawcy mogą blokować konta i doskonalić zabezpieczenia, ale nie kontrolują modeli otwartych, a hakerzy wyraźnie uczą się je łączyć. Odpowiedzią na ten problem nie będzie wyłącznie lepszy filtr w jednym modelu.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Skala zjawiska: 600 tys. kart kredytowych i 67 proc. wzrost dyskusji o agentach na forach przestępczych
Raport NorForge nie jest odosobnionym sygnałem. Fagerland zaczął szukać instancji Cairn po tym, jak izraelska firma Gambit Security opisała we wrześniu kampanię prowadzoną z pomocą trzech otwartoźródłowych agentów: Strix, Cairn i Hermes.
Według raportu Gambit Security z 22 września 2026 r. ta kampania, również prowadzona przez chińskojęzycznego operatora, doprowadziła do włamań do co najmniej 27 firm i kradzieży ponad 600 tys. niewygasłych rekordów kart płatniczych z dwóch z nich. Eyal Sela, dyrektor ds. wywiadu zagrożeń w Gambit, podał, że ukończony skan jednego celu kosztował średnio 25,46 dolara, a cała operacja od lipca pochłonęła od 12 do 18 tys. dolarów. Gambit powiązało poszczególne narzędzia z konkretnymi modelami: Cairn pracował na DeepSeek V4.1 Flash, a Hermes, koordynujący całość, na Claude Opus 4.6.
Już w sierpniu Gambit informowało, że rosyjskojęzyczni szantażyści wykorzystali narzędzie Cursor do włamań do siedmiu organizacji.
Firma Bitsight, która analizuje fora cyberprzestępcze, podała w ubiegłym tygodniu, że w próbie tysięcy postów z 16 podziemnych społeczności liczba wzmianek o agentach AI, pośrednim prompt injection i protokole MCP wzrosła o 67 proc. między lutym a sierpniem 2026 r. Bitsight zaobserwowało też ofertę narzędzia MONST3R-AI, reklamowanego jako platforma do autonomicznych testów penetracyjnych działająca na skradzionych kluczach API OpenAI, Anthropic lub Google, co przerzuca koszt obliczeń na okradzionego właściciela klucza.
Fagerland przyznał, że wcześniej zakładał, iż agenci-hakerzy będą potrzebowali choćby minimalnego nadzoru człowieka. Teraz uważa, że technologia ten etap już minęła.
„Rozwój w tej dziedzinie jest zdumiewający” / „The development in this field is astounding.”
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co to oznacza dla polskich firm
Polska jest najbardziej atakowanym państwem w Unii Europejskiej. Tak określił sytuację wicepremier i minister cyfryzacji Krzysztof Gawkowski podczas konferencji SECURE 2026 w kwietniu, gdzie zaprezentowano roczny raport CERT Polska: zespół zarejestrował w 2025 r. rekordową liczbę ponad 260 tys. incydentów.
Metody opisane przez NorForge i Gambit celują w sklepy internetowe, czyli w segment, w którym działają tysiące polskich firm. Agenci nie wybierają ofiar według kraju, tylko według tego, czy znajdą słabo zabezpieczony panel administracyjny albo podatną wersję platformy sklepowej. Polski sklep na Magento z niezałatanym pluginem jest dla takiego agenta równie dobrym celem jak amerykański.
Polskie zespoły bezpieczeństwa widzą już to zjawisko z obu stron. Raport CERT Orange Polska za 2025 r. zawiera osobny rozdział o wykorzystaniu AI do oszustw w sklepach internetowych oraz o testach bezpieczeństwa aplikacji webowych z użyciem agentów AI. Z kolei ESET w raporcie zagrożeń za okres od grudnia 2025 do maja 2026 r. przeanalizował blisko 900 tys. dodatków i zestawów instrukcji dla agentów AI pod kątem nadużyć.
„Liczba dodatków dla agentów AI rośnie bardzo szybko, zwiększając jednocześnie powierzchnię potencjalnego ataku”, komentuje Kamil Sadkowski z ESET.
Wniosek dla polskich właścicieli sklepów i administratorów jest prozaiczny: atakujący nie potrzebuje już zespołu ani budżetu, więc liczba prób będzie rosła. Przy 50 dolarach za udane włamanie opłaca się atakować wszystko, co jest podłączone do internetu.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym ekskluzywnego materiału Reuters z dnia 19.10.2026 opisującego raport NorForge, raportu Gambit Security z 22.09.2026 omówionego przez BleepingComputer oraz The Next Web. Polski kontekst na podstawie komunikatu Ministerstwa Cyfryzacji z SECURE 2026, raportu CERT Orange Polska 2025 i raportu zagrożeń ESET.
Cytaty Snorre Fagerlanda, głównego badacza zagrożeń NorForge, oraz autora Cairn zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji w temacie kampanii opisanej przez NorForge i wykorzystania platformy Cairn do ataków.
