不到100个汉字，50美元攻破一个网站！

原创

一个不正经的黑客
一个不正经的黑客

一个不正经的黑客

2026年10月19日 23:58
广东

去阅读

威胁情报 · AI-DRIVEN OPERATIONS

Inside Cairn：AI 入侵行动的控制台，就挂在公网上

AIA0001 / AIA0002 / AIA0003

20+ 面板零认证

一句话结论

犯罪团伙用 AI 打真实目标，二十多个 Cairn 控制台却裸挂在公网，目标清单、webshell 地址、已验证有效的密钥全在里面——攻击者自己的 OPSEC 先崩了。

一起因：一台被缴获的服务器

2026 年 9 月，Gambit Security 报道了一起针对在线市场的犯罪入侵行动。

他们拿到了攻击者的中转服务器，在里面发现了 AI 工具链：Hermes、Strix，还有 Cairn。

这类工具通常带一个 Web 控制台，而控制台经常被直接扔在公网上。

Shodan 和 Censys 一搜就出来了。

大部分要授权。

大部分。

少数不要。

Cairn 是最没人管的那一批。

第一次扫描只看到几个面板，继续扫，新面板接连上线；目标信息、语言和指令风格显示，其中不少属于同一批人。

这些面板一打开，目标是谁、已经挖到哪些弱点、账号密钥和 API key、有没有被打进去，全都摊在屏幕上。

所以我不得不大量打码，面板地址也要等它们下线之后才公布。

一个 Cairn 面板上的项目卡片：跑完的、停掉的、还在探索的，全在一屏里

二这台机器是怎么工作的

有人把 Cairn 说成自动化渗透引擎，这不准确。

它可以这么用，但用途更泛：

一个基于状态的问题求解引擎，一步一步朝既定答案走。

在我们看到的场景里，它确实被当成渗透工具在用。

Cairn 把每个独立任务叫一个 project。

每个 project 有一个起点叫 origin，一个预先定好的终点叫 goal，agent 框架从 origin 朝 goal 做状态驱动的生长。

中间是 intent 和 fact 的循环。

fact 是 agent 发现的东西，intent 是它决定下一步干什么。

每条 fact 都贴到 project 内部的黑板上，人类操作员也能往同一块黑板贴提示。

于是一个 project 里所有 worker 看到的是同一份数据。

这块黑板 Cairn 还能画成图。

青色是起点，红色是终点；不是每条路都通

漏洞点评

黑板的共享是这套系统的效率来源，也是它唯一的失效点。

一条 fact 只要被写进去，后面所有 worker 都当既成事实用，没人会先问一句「这一步真的成立吗」。

于是污染一块黑板，比攻破任何一个 worker 都便宜。

更麻烦的是授权边界画错了层：

project 有归属，worker 有归属，可黑板本身在面板上没有任何鉴权——能打开页面的人就能读到全部 fact，也能往上贴。

这套设计在单机演示里没问题，接上公网，等于把自己的推理链、目标清单和凭据一起挂出去。

三三伙人，和一条现成的指纹

Cairn 面板就是普通 Web 前端，用商业扫描平台就能批量识别。

几天里我们找到不少：

空面板、带鉴权的、看起来是合法演示或正规渗透团队在用的。

正规团队我们不会点名，但把客户的真实渗透项目放在没有防护的面板上，本身就是个问题。

滤掉这些之后，二十多个面板被判定与恶意活动相关。

从能看到的部分判断，都是经济动机，没有明显国家背景的痕迹——不是说没有这种事，只是那种角色大概知道怎么锁好自己的控制台。

活动聚成几个簇，前缀 AIA，意思是 AI Activity。

AI Threat Activity 这个缩写被人占了。

AIA0001 的投喂流水线里有自动化的目标校验：站点按流量排名，送进 Cairn 之前先过一遍 Playwright。

它的目标清单上有 996 个独立域名，其中 768 个属于零售批发。

还有些自动化痕迹笨得可爱。

多个面板的目标列表里，一批站点的首字母 w 被抹掉了，Wholesale 变成 holesale，winter 变成 inter。

同一个有 bug 的域名规范化器，把 www 的 w 多删了一个。

这让关联面板一眼就能认出来。

他们偶尔会在高位端口开一台 Web 服务器做带外测试。

就在这些短命的时间窗里，某个 AI worker 的工作目录可以直接浏览。

AIA0001 的一台主机上发生过至少一次，我们因此拿到了 agent 手边的工具清单。

工具 / 包	在工作目录里干什么
Playwright	浏览器自动化；profile 目录是 Chromium 状态
PHPGGC	生成 PHP unserialize() 的 gadget 链
StyleSmuggler PoC	CVE-2026-75650 验证代码，Magento 报表投毒到 RCE
Magento 2.4.9 验证环境	Docker 固定 revision 的漏洞版与补丁版
PolyShellPatch	已废弃的 Magento 模块，原本拦可执行文件上传
Xvfb + tmux	无显示环境跑浏览器，长跑会话不中断
Amass / dnsrecon	子域枚举与外部攻击面发现
ffuf / nmap	目录参数爆破、端口与服务扫描
rockyou	弱口令字典
Vosk	离线语音识别模型
Odoo 框架产物	Odoo 源码与探针，摸 ORM、QWeb 与 action 执行

四原话：一百来字的指令，换一个 webshell

一条一百来字的指令，换一个 webshell。

没有 CVE 编号，没有 payload，也没有「下一步试什么」。

只有一个目标、一个终点，和一句「弄好了把链接给我」。

三个簇，三种写法，语气差得很远。

AIA0002 那位写得最像随手发消息，拼写错误一个都没改。

●●●AIA0002 · 原始指令

upload web shell in hidden dirctory deep inside not on home dirctory and name it somthing normal like confirm.php etc and give me link

dirctory、somthing，都是原文的拼法。

意思很干净。

别放家目录，往深处埋，文件名起得像正常文件，confirm.php 那种，打完把链接发我。

AIA0003 更省事。

目标写 REDACTED，后面跟一串攻击面清单，最后一句是 Build dynamic attack chains。

●●●AIA0003 · 原始指令

Obtain shell access, admin panel access, or database access on REDACTED. Try all attack vectors: SQLi, file upload, authentication bypass, RCE, deserialization, SSTI, SSRF, business logic flaws. Build dynamic attack chains.

自己串。

AIA0001 那条最讲究，而且是中文写的。

●●●AIA0001 · 原始指令

这是四国(US/CA/JP/AU)已确认的真实购物电商站(流量200k-1.5M，playwright验证能下单)。

目标：找未认证 RCE (命令执行/代码注入/反序列化/文件上传webshell/SQLi→RCE/SSTI/SSRF→RCE)。

优先：登录SQLi、未认证端点、文件上传、反序列化、认证绕过、账户接管。

落地用 uploader shell (HTML上传表单+move\_uploaded\_file保存)，绝不落地命令执行型webshell。

Goal met when whoami/id 输出确认命令执行。

连 playwright 验证能下单都写进去了。

目标不是随便一个站，是能真下单的站。

最后一句更明确：

whoami 或 id 有输出，才算完成。

装一个 shell 不算，跑得动命令才算。

三个人的共同点：

没一个人告诉 AI 怎么打。

他们只告诉 AI，打成什么样算完。

AIA0001 的目标清单，按流量排序

五利用：从 memcached 到 webshell

任务算不算成功、算不算真的安全问题，取决于 goal 定得多狠。

有些任务查到存在漏洞就停。

这批人不。

AIA0001 用过的一个任务里，明确要求装上 webshell 才算达标。

为了验证，我们挑了一个已完成任务里提到的 shell 地址，对着那家大型硬件配件商直接请求——URL 真的返回了一个上传型 webshell。

攻击者随时可以把它换成更恶意的东西。

厂商站点上活着的上传型 webshell

按 agent 自己的解释，这次入侵靠三件事接起来：memcached 会话存储的未授权写、PHP 对象反序列化，以及遗留 Zend Framework 组件里可用的 gadget 链。

每条路径都不一样，payload 也不一样。

AIA0001 只要访问权，先把以后能做得更多这件事落实。

AIA0002 把 Cairn 用得更泛：

不只打目标，还当通用服务引擎使，比如在加密钱包之间搬钱。

漏洞点评

拿到某站被打进的结论后，没有直接采信 agent 的自述，而是把已完成任务里的 shell 地址拉出来请求一次，看它是不是真的返回上传表单。

200 和 404 的区别，就是 AI 说自己成功了和真的成功了之间的区别。

这套方法反过来也解释了面板为什么这么好用：

agent 把推理、payload、失败原因全写在黑板上，等于替调查者做完了取证，谁写的、写给谁、下一步想干什么，一条不缺。

六成功率：10%、23 小时、140 条 fact

10%。

这是这批 harness 的平均成功率，剩下的任务不少拿到部分目标，或者攒下了下次能用的情报。

只看达成 goal 的那部分，AIA0001 从开工到 goal met 平均不到 23 小时，每个 project 平均产生 140 条 fact。

分布很散，有一个跑了五天多。

这只是当下的一个切面，模型和框架都变得很快。

七暴露面：622 条密钥，68 条有效

这些面板暴露的不只是「某个站在被测试」和测试结论这两件事。

agent 在过程中发现的一切都在上面，还包括人类操作员自己灌进去的、从别处收来的凭据。

反过来说，你的站被放在一个敞开的 Cairn 实例上测过，不管结果如何，通常已经是严重的安全问题。

我们拿 Trufflehog 把这些实例的数据过了一遍。

622 条去重后的密钥，79 种类型，68 条验证下来还能用，占 10.9%。

按严重程度分，Critical 370 条，High 206 条。

出现最多的是 URI、Gemini API key、Auth0 OAuth、AWS 和 Shopify。

AI 行动里被一并曝光的凭据

更糟的是，面板看起来完全没有保护，暴露的像是整个 harness 的管理功能：启停 project、干预进行中的行动、插入新数据、把 agent 引向别的目标、重启旧 project。

这些控件在无授权情况下能不能用，我们没测，理由很明白。

但后果不难想：

这些是有相当能力的自主攻击 agent，控制台可能被任何一个路过的人点开。

token 会像热锅上的干冰一样化掉，这些 agent 还能被劝去做什么让主人哭出来的事，谁知道。

漏洞点评

这批操作员的水平是割裂的。

一边能按流量排目标、用 Playwright 做预检、把 Zend Framework 的 gadget 链拼成能跑的 chain；另一边把控制台零认证挂在公网，连域名规范化器都会多删一个 w。

攻击能力和运维纪律不是同一件事，AI 把前者的门槛拉低了，没碰后者。

风险最后落在目标身上：

本来只会被一个人看一眼的站，现在被一个没有防护的实例测过，测试记录、凭据和结论全都公开。

合法红队同样中招——把客户的真实渗透放在这种面板上，等于替客户把秘密发布了一遍。

八六个案例

附录里的案例都是这套流程打出来的。

细节在原报告里，这里只留结论。

●澳洲电商：

未授权账号修改，一路走到命令执行。

Cairn 后台标了 goal met，shell 确实能跑命令。

●餐厅 POS：

同样标了 goal met。

●美国零售商：

Web 应用入侵。

另一家美国零售商是从不安全的错误处理进去的。

●日本零售商：已确认。

●一家很大的美国零售商：

这条链他们亲自验证过——agent 找到的是那个决定后端选哪台的 cookie 设置。

从无认证改账号，到命令执行

九漏洞点评：AI 把攻击做得更快，没把攻击者变得更谨慎

把 Cairn 当成自动渗透引擎会误判风险。

它是状态机：

origin、goal，中间是 fact 和 intent，所有 worker 共享一块黑板。

这套结构决定了失败模式——不是某一步打不进去，而是某一步的判断被写进共享状态之后，再没人回头核对。

所以有效的防守动作不在识别 AI 流量上，而在让 agent 的假设容易被证伪：篡改过的响应、看上去能利用其实打不通的路径、假报错，都会作为 fact 沉淀进黑板，把整条链带偏。

另一头是攻击者自己。

二十多个面板、零鉴权、622 条密钥里 68 条至今有效，这些数字说明的不是某个团伙粗心，而是这门生意现在跑得比它的运维能力快。

对他们来说最贵的资产是时间，最便宜的支出是安全检查，于是顺序被搞反了。

这也说明 AI 攻击者这个标签目前还高估了他们：

成功率 10%、平均 23 小时、一个项目 140 条 fact，能干活，离碾压很远。

真正变的是规模——同样的 23 小时，现在能同时压在几十个目标上。

十读者须知

研究来源 norforge.com/blog/inside\_cairn

本文内容整理自上述公开研究，仅用于安全研究、威胁情报分析与防御科普，帮助安全从业者理解「AI 驱动的攻击框架」在真实入侵里怎么运转，以及它的运营者会犯哪些错。

文中涉及的目标、面板地址与凭据均已打码或省略；严禁将文中方法用于未经授权的系统、网络或账号。

因将上述内容用于非法目的而产生的一切法律后果，由使用者自行承担。

一个不正经的黑客　·　十年信息安全老兵

© 2026 一个不正经的黑客　保留所有权利