Beveiligingsonderzoekers waarschuwen voor een aanvalsmethode waarbij gecompromitteerde AI-agenten bijna zelfstandig bedrijfswebsites doorbreken. De sleutel ligt niet alleen bij de inzet van een AI-tool, maar vooral bij iets eenvoudigs: de aanvallers lieten hun eigen controlepanelen onbedoeld publiek bereikbaar staan.
Volgens een analyse die door Reuters is overgenomen, werden in totaal meer dan 1.200 websites benaderd. Het betrof doelen van meer dan 100 bedrijven, waaronder bekende namen uit verschillende sectoren. Wat er precies is buitgemaakt is niet volledig bekend, maar de kans op ongeautoriseerde toegang en het plaatsen van kwaadaardige componenten wordt als reëel gezien.
Hoe gecompromitteerde AI-agenten een inbraak versnellen
De aanval draait om een open-source AI-tool (Cairn) waarmee agenten aan de slag gaan met een taak en een doel. De tool vormt een soort startpunt: de AI krijgt instructies en werkt stap voor stap richting het beoogde resultaat. Een menselijke operator kan daarbij hints geven, maar hoeft niet voortdurend handmatig te sturen.
In de onderzochte campagne werd Cairn niet ingezet zoals bedoeld voor geautoriseerde securitytests, maar gericht op online websites zonder toestemming. Daardoor konden de agenten in korte tijd veel pogingen doen, met wisselende uitkomsten.
Meer dan 1.200 sites geprobeerd
De onderzoeker Snorre Fagerland van NorForge ontdekte de activiteiten door op het internet te zoeken naar blootliggende exemplaren van Cairn. Hij vond rond 2 oktober ongeveer twee dozijn instances die in de praktijk zichtbaar waren en door derden konden worden gevolgd.
Door clustering van de blootgelegde controlepanelen concludeerde NorForge dat meer dan twintig ervan vermoedelijk kwaadaardig waren. Eén van de grootste clusters (genaamd AIA0001) leek specifiek gericht op een groot aantal projecten en koppelde 14 panelen aan meer dan 1.100 actieve aanvallen.
De doelen lagen onder meer in de Verenigde Staten, Japan en Australië. NorForge beschrijft daarnaast aanwijzingen dat de aanvallen niet alleen bedoeld leken voor onmiddellijke schade, maar ook voor blijvende toegang tot winkel- en betalingsgerelateerde systemen voor later gebruik.
Niet één route: agenten kiezen verschillende aanvalsketens
Een opvallend detail is dat de aanpak van slachtoffer tot slachtoffer kon verschillen. In één gedocumenteerde situatie wees de keten onder meer op misbruik van ongeautoriseerde schrijf-toegang tot een sessieopslag (memcached), onveilige afhandeling van opgeslagen PHP-objecten en een zwakte in oudere Zend Framework-code. In andere gevallen zagen onderzoekers weer andere routes naar het einddoel.
De campagne omvatte volgens het onderzoek ook instructies die agenten vroegen om manieren te vinden om code uit te voeren in een webwinkelomgeving en daarna een uploader voor een webshell te plaatsen. Daarbij werd benadrukt dat een eerste vorm die bestandsuploads opslaat niet per se het eindstation is: aanvallers kunnen later onderdelen vervangen voor iets krachtigers.
Controlepanelen zijn vaak het zwakke punt
Los van de daadwerkelijke inbraak is er nog een tweede risico: het publiek beschikbaar zijn van de Cairn-panelen. De panelen tonen namelijk informatie over welke doelen worden aangevallen, welke zwaktes er zijn gevonden en welke gegevens (zoals credentials en sleutels) mogelijk zijn verzameld.
NorForge gebruikte een secrets-scanner (Trufflehog) op de panelgegevens en vond honderden geheimen. Ongeveer 11% daarvan werd als nog steeds geldig geverifieerd. Dat betekent: zelfs wanneer een website niet direct is doorbroken, kan de openstelling van een test- of controlerapparaat derden in staat stellen om waardevolle gegevens te verzamelen.
Bovendien lijken de panelen ook de volledige set aan toolcontrole te bevatten, inclusief de mogelijkheid om projecten te starten en te stoppen, nieuwe data toe te voegen en agenten naar andere targets te sturen. NorForge testte niet of deze controlefuncties zonder authenticatie werkten, maar onderzoekers zagen wel aanwijzingen dat onderdelen zoals SSH-inloggegevens zichtbaar konden zijn in een tweede (Engelstalige) cluster.
Snelle doorlooptijd, lage drempel
De doorlooptijd die onderzoekers bij succesvolle inbraken zagen lag gemiddeld net onder de 23 uur. Tegelijkertijd schatten ze een succesratio van rond de 10% over de tools die ze konden waarnemen. Daarbij wordt wel benadrukt dat clusters andere doelen kunnen nastreven en dus niet één-op-één te vergelijken zijn.
Qua kosten en inzet kwam het er neer op een relatief goedkope campagne. NorForge gaf een ruwe schatting van ongeveer $5 per taak, inclusief mislukte pogingen of taken die voortijdig stopten. Daarnaast rapporteerde Fagerland dat de hele campagne vermoedelijk zo’n $5.000 aan tokens gebruikte, omgerekend circa $50 per succesvolle hack (met nadruk op onzekerheid in die cijfers).
Over de gebruikte modellen lopen conclusies niet tot in detail door: de onderzoekers noemden een workernaam die mogelijk verwijst naar een modeltraject met koppelingen aan andere AI-componenten, maar bevestigingen ontbreken. Wel stelt Reuters dat de campagne leek te werken met DeepSeek en Claude Code.
Welke signalen moeten defenders controleren?
NorForge noemt meerdere praktische punten waarop organisaties kunnen letten. Geen daarvan is een garantie dat een aanval actief is, maar samen helpen ze om de risico’s van open of verkeerd geconfigureerde agent- en testomgevingen te verkleinen.
- Blootliggende panelen: agentcontrolepanelen van dit type reageren vaak op poort 8000. Instances zonder login zijn extra interessant voor onderzoek en mitigatie.
- Onverwachte uploadlocaties: let op een bestandsuploadformulier dat op een onverwachte plek staat, bijvoorbeeld in verborgen directories. Dat kan de ingang zijn die de agenten gebruiken.
- Patchstatus van webshops: NorForge trof een proof-of-concept aan voor een kritieke Magento-kwetsbaarheid (StyleSmuggler, CVE-2026-75650). In de onderzochte rapportage is geen hard bewijs dat deze specifieke kwetsbaarheid daadwerkelijk is misbruikt in alle doorbraken, maar organisaties die nog op een getroffen build zitten moeten wel direct de hotfix toepassen.
Concreet gaat het volgens het onderzoek om Adobe Commerce 2.4.4 t/m 2.4.9 en Magento Open Source 2.4.6 t/m 2.4.9 als getroffen versies, waarvoor Adobe een hotfix heeft gepubliceerd. Stem je patchplanning af op jouw omgeving (incl. integraties en releasecycli), maar neem dit type kwetsbaarheid vooral hoog in prioriteit.
Waarom dit ook organisaties zonder ‘hacker teams’ raakt
Een belangrijk leerpunt is dat het probleem niet alleen bij criminele campagnes ligt. NorForge signaleerde ook ogenschijnlijk legitieme penetration-testingbedrijven die echte klanttests op onbeschermde panelen hadden staan. Dat vergroot het risico dat ook hun klanten, en dus hun data, bloot komen te liggen.
Daarom is het verstandig om niet alleen te kijken naar “zijn we zelf doelwit?”, maar ook naar hoe externe tooling en testomgevingen bereikbaar zijn vanaf het internet. Een verkeerd ingestelde exposure kan hetzelfde effect hebben, of het nu om aanvallers of om testers gaat.
Vergelijkbare incidenten: let op credentials en toegangsbeheer
De kern van het risico draait vaak om toegang: credentials die zichtbaar worden, panels die te breed openstaan of tokens die onbedoeld uitlekken. Eerder zagen we bijvoorbeeld dat blootgelegde credentials of gecompromitteerde toegang in andere contexten tot directe actie leiden. Over het belang van het snel beperken van misbruik kun je ook lezen in:
Hoewel de exacte techniek verschilt, is de boodschap vergelijkbaar: als AI-tools of automatisering direct in een operationele keten terechtkomen, moet het toegangsmodel net zo strak zijn als bij andere beveiligingskritische systemen.
Conclusie: beperk exposure en verifieer je AI-testopstellingen
De recente bevindingen laten zien hoe gecompromitteerde AI-agenten veel schaal kunnen creëren, vooral wanneer controlepanelen en testomgevingen toegankelijk zijn voor derden. Met korte instructies konden de agenten honderden stappen doorlopen en uiteindelijk inbraaken uitvoeren bij een deel van de doelen.
Voor defenders is het belangrijkste: controleer op blootliggende panelen (vaak op poort 8000), inspecteer onverwachte uploadroutes, en zorg dat kritieke webapplicaties—zoals getroffen Magento/Adobe Commerce builds—tijdig zijn bijgewerkt. Daarmee verminder je de kans dat zowel aanvallers als “legitieme” testers onbedoeld in dezelfde valkuil stappen.
Bron: https://thehackernews.com/2026/10/hackers-use-autonomous-ai-agents-to.html
