Un’istruzione di meno di cento caratteri, scritta in cinese. Un budget complessivo stimato intorno ai 5.000 dollari. E nessun operatore umano a guidare materialmente l’attacco una volta premuto “invio”: per ore, a volte per giorni, uno sciame di agenti di intelligenza artificiale ha esplorato da solo oltre 1.200 siti e-commerce in Stati Uniti, Canada, Australia e Giappone, violando più di 100 aziende — tra cui nomi noti come il produttore di macchine agricole Deere e l’azienda di elettrodomestici SharkNinja. A scoprirlo è stato il ricercatore indipendente Snorre Fagerland di NorForge, imbattutosi per caso in decine di pannelli di controllo lasciati aperti su internet senza alcuna autenticazione.

Cairn: un motore di pentesting che non si ferma mai

Al centro della vicenda c’è Cairn, una piattaforma multi-agente descritta dal suo stesso sviluppatore — con lo pseudonimo le1xia0 — come un generico “motore di risoluzione di problemi” per il penetration testing, non uno strumento pensato per attacchi illegali. Nella pratica, un operatore fornisce a Cairn un bersaglio e un obiettivo finale (il “goal”); il sistema orchestra più agenti IA che analizzano il target, propongono azioni, le eseguono e verificano i risultati, pubblicando ogni scoperta (“fact”) e ogni piano d’azione (“intent”) su una lavagna condivisa che l’operatore può consultare e persino integrare con suggerimenti propri.

Tra i nomi degli agenti-lavoratori individuati da NorForge compare claudecode_deepseek-v4.1-flash, che lascia pensare all’uso di un harness compatibile con Claude Code abbinato al modello DeepSeek V4.1 Flash, e pi_openrouter_deepseek, riconducibile a un framework che instrada le richieste verso DeepSeek tramite il gateway OpenRouter. Fagerland sottolinea che si tratta di indizi dai nomi dei workflow, non di fatture o prove verificabili: non è possibile confermare con certezza quali modelli abbiano effettivamente eseguito ogni singola azione.

Tre cluster, tre strategie diverse

NorForge ha individuato circa 25 pannelli Cairn probabilmente malevoli, raggruppati in tre cluster distinti in base a lingua, hosting e obiettivi:

• AIA0001 — lingua cinese, 14 pannelli ospitati sullo stesso sistema autonomo (AS56594), oltre 1.100 progetti registrati. È il cluster più attivo, concentrato su accesso persistente a infrastrutture di e-commerce e pagamento in USA, Giappone e Australia.
• AIA0002 — lingua inglese, 10 pannelli su hosting Vultr (AS20473), orientato al furto di carte di credito e criptovalute, con target che includono siti di pagamento, farmaceutici, mercati “gray market” e alcune vittime africane.
• AIA0003 — un solo pannello, fase ancora esplorativa con 59 progetti, mix eterogeneo di piccoli negozi online e grandi piattaforme statunitensi.

Un dettaglio buffo quanto rivelatore: in diversi domini bersaglio il prefisso “www” compare troncato in modo sistematico a una singola “w”, tanto che tra gli obiettivi registrati figura un dominio diventato “holesale” al posto di “wholesale” — probabile effetto collaterale di un bug nella pipeline di raccolta automatica degli URL.

SQL injection, upload malevoli e un pizzico di fortuna

Nella cartella temporaneamente esposta di un worker del cluster AIA0001, NorForge ha trovato un arsenale di tutto rispetto: Playwright e Chromium headless per automatizzare la navigazione, PHPGGC per costruire catene di gadget PHP, un proof-of-concept per CVE-2026-75650 (una catena che da un report poisoning arriva all’esecuzione di codice su Magento) completo di un laboratorio Magento 2.4.9 per validare gli exploit prima dell’uso, oltre ai classici strumenti di ricognizione Amass, dnsrecon, ffuf e Nmap.

Le tecniche osservate nei progetti analizzati spaziano dalla SQL injection trasformata in esecuzione di codice remoto, all’upload di web shell tramite form di caricamento file mal protetti, fino a bypass di autenticazione e account takeover su endpoint non protetti. In un caso documentato ai danni di un grande distributore statunitense di componentistica hardware, l’agente ha combinato una scrittura non autorizzata su un session store Memcached con una deserializzazione PHP insicura in componenti legacy di Zend Framework per ottenere l’esecuzione di comandi. In un altro, contro uno dei maggiori retailer USA, l’agente ha scoperto che un singolo cookie di sessione determinava quale backend applicativo gestisse la richiesta — individuando così, per tentativi, il percorso verso il sistema vulnerabile. NorForge ha validato la catena d’attacco confermando che era realmente sfruttabile.

Non tutto, va detto, filava liscio per gli aggressori: nelle fasi iniziali di diversi progetti del cluster AIA0001 le web shell caricate erano di tipo “solo upload”, capaci cioè di scrivere file sul server ma non ancora di eseguire comandi — un limite che gli agenti cercavano poi di aggirare in passaggi successivi, non sempre con successo.

Il costo di un’intrusione: circa 50 dollari

I numeri aggregati raccontano bene la portata del fenomeno. Il tasso di successo medio dei progetti Cairn osservati si aggira intorno al 10%, ma molti dei tentativi falliti producono comunque informazioni riutilizzabili in seguito. Un progetto completato con successo richiede in media poco meno di 23 ore dall’avvio al raggiungimento dell’obiettivo, con circa 140 “fatti” scoperti lungo il percorso; alcuni task più complessi hanno superato i cinque giorni di attività continua. Sul fronte economico, Fagerland stima un costo medio di circa 5 dollari per task (falliti inclusi), che può salire oltre i 100 dollari per i progetti più lunghi e articolati — per un costo complessivo dell’intera campagna che lo stesso ricercatore valuta, con ampio margine di errore, intorno ai 5.000 dollari: circa 50 dollari per ciascuna delle oltre 100 intrusioni riuscite.

Gli attaccanti si tradiscono da soli

Il paradosso più interessante di questa storia è che gli stessi operatori di Cairn si sono dimostrati tutt’altro che rigorosi sulla propria sicurezza operativa. I pannelli erano raggiungibili da chiunque conoscesse l’indirizzo, senza autenticazione, ed esponevano pubblicamente bersagli, vulnerabilità scoperte e credenziali rubate. Passando i dati estratti attraverso Trufflehog, NorForge ha individuato centinaia di segreti — password, chiavi API, token — e una verifica automatica ne ha confermato la validità per circa l’11%. Alcuni pannelli sembravano permettere anche l’interferenza diretta con gli agenti in esecuzione (avvio, arresto, redirezione dei task), anche se i ricercatori non hanno testato se questi controlli fossero davvero accessibili dall’esterno senza credenziali.

NorForge ha scelto di collaborare con Reuters, che ha pubblicato un’inchiesta sul caso, per avvisare le vittime identificabili. Deere ha dichiarato di aver adottato contromisure e di non aver rilevato accessi a informazioni riservate; SharkNinja ha confermato la violazione di un singolo sito contenente informazioni sui prodotti, definendo la minaccia contenuta; Cummins ha riferito di stare verificando un possibile attacco partito da un fornitore terzo. La reale estensione degli eventuali furti di dati resta, in generale, sconosciuta.

Non è un episodio isolato

Il caso Cairn arriva a poche settimane da un’altra campagna molto simile documentata da Gambit Security, che in appena sei giorni ha tracciato la compromissione di almeno 27 aziende tramite gli strumenti autonomi Hermes, Strix e Cairn stesso, con il furto di oltre 600.000 record di carte di pagamento. In quel caso, la routine automatica di “pulizia delle tracce” di uno degli agenti ha finito per cancellare per errore 180 tabelle di un database, incluse le copie di backup — un effetto collaterale che un operatore umano, probabilmente, non si sarebbe lasciato scappare.

Il quadro che emerge da entrambi i casi è coerente: non servono più competenze avanzate di exploit development né team numerosi per condurre campagne di compromissione su larga scala. Bastano un orchestratore multi-agente, un abbonamento a uno o più modelli linguistici e la pazienza di lasciarli lavorare per ore senza supervisione.

Cosa significa per chi gestisce un sito

• Patchare rapidamente le vulnerabilità note su piattaforme e-commerce diffuse (Magento, Zend Framework e componenti legacy restano bersagli preferiti): una falla non ancora corretta può diventare un canale d’accesso prima ancora che l’amministratore se ne accorga.
• Verificare la sicurezza degli endpoint di upload file e disabilitare l’esecuzione di script nelle directory destinate ai contenuti caricati dagli utenti.
• Monitorare pattern di scansione automatizzata e massiva, caratteristica tipica di agenti che testano sistematicamente molte varianti di payload in sequenza.
• Controllare la sicurezza dei session store (es. Memcached) e la gestione della deserializzazione in componenti legacy ancora in produzione.
• Non sottovalutare il rischio reputazionale/legale dei propri strumenti di red teaming: anche pannelli legittimi, se lasciati esposti senza autenticazione, possono rivelare dati di clienti reali e vulnerabilità non ancora corrette.

Dati tecnici principali

Piattaforma: Cairn (multi-agent orchestration engine)
Sviluppatore dichiarato: pseudonimo "le1xia0"
Agenti/worker osservati: claudecode_deepseek-v4.1-flash, pi_openrouter_deepseek

Cluster individuati da NorForge:
- AIA0001: 14 pannelli, lingua cinese, AS56594, >1100 progetti
  target: e-commerce/pagamenti in USA, Giappone, Australia
- AIA0002: 10 pannelli, lingua inglese, AS20473 (Vultr)
  target: carte di credito, crypto, farmaceutico, gray market
- AIA0003: 1 pannello, AS200019, fase esplorativa, 59 progetti

Exploit/CVE citati:
CVE-2026-75650 - catena report-poisoning to RCE su Magento (PoC "StyleSmuggler")

Metriche campagna:
- Tasso di successo medio: ~10%
- Tempo medio intrusione riuscita: ~23 ore (max osservato: >5 giorni)
- Costo medio per task: ~5 USD (fino a >100 USD per i progetti più lunghi)
- Costo stimato intera campagna: ~5.000 USD
- Vittime confermate/sospette citate: Deere, SharkNinja, Cummins (fornitore terzo)
- Periodo attività: dal 25 settembre 2026

Fonti primarie:
NorForge (Snorre Fagerland) - norforge.com/blog/inside_cairn
Reuters - inchiesta sulla campagna, ottobre 2026
Gambit Security - campagna correlata Hermes/Strix/Cairn, 27 aziende, 600k+ carte