يهاجم المهاجمون لوحات Cairn AI-agent المكشوفة لزرع مفاتيح SSH وبرمجية Poseidon الضارة وسرقة مفاتيح API

نشرت NorForge، وهي شركة متخصصة في بيئات العزل تدرس أمن وكلاء الذكاء الاصطناعي، بحثًا في 26 أكتوبر 2026 يصف كيف استولى مهاجمون مجهولون على لوحات تحكم مكشوفة على الإنترنت تابعة لـ Cairn، وهي منصة وكلاء ترسل عمال ذكاء اصطناعي لتحقيق هدف، واستخدموا وكلاء المالكين أنفسهم لاختراق الأجهزة التي تستضيفهم. وجدت NorForge مهامًا خبيثة على 17 لوحة على الأقل، بعضها يخص فرقًا حمراء وتمارين التقاط العلم، وبعضها يخص مشغلين يُشتبه بأنهم مجرمون. ثبّتت إحدى المهام مفتاح SSH الخاص بمهاجم على المضيف؛ وسلّمت مهمة أخرى، في 21 أكتوبر، برنامج Poseidon المزروع للوصول عن بُعد والمكتوب بلغة Go؛ وبحثت مهام أخرى في مساحة العمل عن مفاتيح API وكتبت ما وجدته في ملاحظات قابلة للقراءة علنًا. كانت نقطة الدخول وصولًا إداريًا غير موثّق، لا ثغرة برمجية: لا ينطبق أي CVE ولا يوجد تصحيح. تقع درجة الخطورة الخاصة بالسجل وتقييم الثقة وقائمة المصادر في أرشيف حوادث الذكاء الاصطناعي، إلى جانب إدخالات الاختراق الوكيلي الأخرى المسجلة من حوله.

ما وجده المهاجمون مفتوحًا

كايرن، كما تصفها NorForge، منصة وكلاء عامة الأغراض: يحدد المشغّل هدفًا ونقطة انطلاق، وينفّذ عمال الوكلاء العمل وينشرون ما يتعلمونه في صورة «حقائق» على لوحة مشتركة. تلك اللوحة هي لوحة ويب. ويقول تقرير NorForge، «Automated Subversion and Attempted Takeover of AI Pentesting Harnesses»، إن لوحة غير مصادَق عليها هي أكثر بكثير من مجرد نافذة للقراءة فقط. إذ يستطيع الزائر أن يرى كل مشروع، ويبدأ مشروعه الخاص، ويوقف المهام الجارية أو يحذفها، ويقرأ كل النتائج التي أنتجتها المهام السابقة. ويكتب الباحث Snorre Fagerland: «من الناحية العملية، أنت الرئيس، حتى لو لم تكن قد تصفحت إلا في بعد ظهر ممل». وقد نشرت Cyber Security News وGBHackers هذه النتائج في 27 أكتوبر، وهو التاريخ الذي يحمله هذا السجل.

هذه هي الثغرة بأكملها، وهي خيار نشر وليس خللًا في البرمجيات. يصف NorForge تشغيل هذه اللوحات دون أمان أساسي بأنه «خيار تصميم غير حكيم»، ويشير إلى أن Cairn لديه «آليات أمنية قليلة افتراضيًا». لم تكن كل اللوحات التي راقبها إجرامية: يكتب NorForge: «تم إدراج مهام خبيثة مماثلة في 17 لوحة مكشوفة على الأقل»، و«لم تكن كل تلك اللوحات مملوكة لمجرمين. ويبدو أن بعضها مملوك أيضًا لفرق red teams أو تحديات CTF».

ظهرت الموجة الأولى على لوحة كانت NorForge قد ربطتها بـ AIA0002، أحد العناقيد الإجرامية في أبحاث Cairn السابقة. وصلت إحدى عشرة مهمة دفعة واحدة، منسّقة على نحو يختلف عن العمل المعتاد للوحة. حملت عدة منها سلاسل ست عشرية عشوائية في عناوينها، وكانت جميعها تشير إلى مضيف Cairn المحلي بدلًا من هدف خارجي. وتشدّد NorForge على أن حدثًا منفصلًا في 20 أكتوبر، شوّه فيه شخص يستخدم الاسم المستعار AstraRCE العديد من لوحات Cairn، «لم يكن له علاقة بما جاء لاحقًا».

مهمة أخبرت الوكيل بأن يثق بمفتاح شخص غريب

كان عنوان إحدى المهام الإحدى عشرة «تثبيت مفتاح SSH لـ kali». ووفقًا لما تعيد NorForge إنتاجه، كانت التعليمات تخبر الوكيل بإنشاء /home/kali/.ssh بالوضع 700، ولمس ملف authorized_keys، وإلحاق مفتاح عام واحد من نوع ssh-ed25519 موسوم بـ kali@64.176.*.* إذا لم يكن موجودًا بالفعل، ثم تعيين الملكية إلى kali:kali والوضع 600 على الملف. وقد حجبت NorForge المفتاح نفسه وجزءًا من العنوان في لقطة الشاشة التي نشرتها. ونفّذ الوكيل ما طُلب منه. وأفاد ردّه، المقتبس في التقرير، بأنه ثبّت «المفتاح العام SSH المعتمد» وتحقّق من أن الدليل كان drwx------ وأن الملف كان 600 ومملوكًا لـ kali:kali.

وجود مفتاح المهاجم في authorized_keys يمثل بابًا خلفيًا فعّالًا: تسجيل دخول بدون كلمة مرور إلى ذلك الحساب طالما بقي المفتاح في الملف، على مضيف كان الوكيل نفسه يشغّل فيه أوامر بصلاحيات مرتفعة بالفعل. استُخدم sudo في تعليمات مهام NorForge في جميع الخطوات، ويُظهر تأكيد الوكيل أن الأوامر نجحت. المفتاح أيضًا واحد من الآثار القليلة لهذه الحملة التي يستطيع المدافع العثور عليها وإزالتها، ولهذا تضع إرشادات NorForge تدقيقًا على authorized_keys إلى جانب تدوير المفاتيح.

ثم اختفت المهام. كتب فاجرلاند: "وهكذا، اختفت المهام الخبيثة، حرفيًا بينما كنت أراقب"، ولم يتبقَّ سوى أثر واحد هو زيادة في عدّاد المشاريع في اللوحة. ثم ظهرت مهام مماثلة على لوحة غير ذات صلة، وعلى لوحات أخرى بعد ذلك، وهكذا وصل العدد إلى 17 على الأقل. وتقول NorForge إن اللوحات تعرّضت للهجوم في دفعات منفصلة، متزامنة عبر أهداف متعددة، وهو نمط تعود إليه عند السؤال عمّا إذا كانت الحملة قد أُدارت بواسطة برمجيات.

قسّمت الشركة النشاط إلى مجموعتين. يضيف AIA0009 لواحق سداسية عشرية عشوائية إلى أسماء المهام ويستخدم العلامة "cairnscan" في فحوصه؛ وتتمثل اهتماماته في الاستمرارية والوصول والبرمجيات الخبيثة. ويستخدم AIA0010 تسميات تحاكي أسماء Cairn الخاصة بالأعمال المخطط لها، مثل "i014"، وهو أكثر استكشافًا: الخدمات الداخلية، وبيانات الاعتماد، وحاوية الوكيل، ولوحات Cairn الأخرى المكشوفة. بحث NorForge عن دليل قاطع يربط الاثنين ببعضهما ولم يجده. ويكتب: "هناك الكثير من الصياغة نفسها المستخدمة في إعداد المهام، ولكن لا توجد مؤشرات صلبة مشتركة". الفصل مؤقت، ولم يُرصد سوى AIA0009 وهو ينشر برمجيات خبيثة.

الاستطلاع الذي كتب الأسرار على مرأى من الجميع

اقتبست مهام AIA0010 تسمية Cairn للعمل المخطط، التي تصنّفها المنصة باسم «intents» بحرف i وثلاثة أرقام. ويعيد NorForge إنتاج واحدة منها بالكامل. يبدأ بطباعة السلسلة i014env5253b8، ثم يشغّل id وhostname ونسخة بيئة مرتّبة، وسطر أوامر العملية الأولى، ومنافذ الاستماع، وقائمة محتويات /home/kali ومساحة عملها، والبحث عن ملفات بأسماء مثل cairn أو dispatcher أو .env. ثم يستخدم grep للبحث تكراريًا عن ANTHROPIC_AUTH_TOKEN وCAIRN_AUTH وDISPATCHER وAPI_KEY. وتنتهي التعليمات بإخبار الوكيل بأن يضع مخرجه المجمّع الكامل «نقلًا حرفيًا في حقيقة».

الحقائق معلنة على لوحة مفتوحة، لذا لم يقتصر الاستطلاع على جمع الأسرار فحسب؛ بل نشرها. ويُفيد NorForge بأن الحملة سرقت أسرارًا، "بما في ذلك مفاتيح API لنماذج الذكاء الاصطناعي". ولا يذكر عدد المفاتيح، ولا اللوحات التي سُرقت منها، ولا الجهة التي تنتمي إليها، كما لا يقدم أي مصدر آخر رُوجع لهذا المقال عددًا لها. وما يثبته التقرير هو الآلية: مهمة كان بإمكان أي زائر قراءتها، نفّذها وكيل لديه وصول إلى مساحة العمل، وأُوعز إليه بكتابة النتائج حيث يستطيع أي زائر آخر قراءتها.

وقد رسمت مهام أخرى خريطة لحاوية الوكيل بدلاً من أسراره. ففحصت قدرات Linux، وأنظمة الملفات المثبّتة، ومقابس Docker، والقيود الأمنية، بحثًا عن طريقة للخروج من العزل الذي يفرضه إعداد Cairn الموصى به. ويصرّح NorForge بوضوح بأنه لم يتمكّن من تحديد ما إذا كان المهاجمون قد خرجوا: "لم نتمكّن من التأكد مما إذا كانوا قد نجحوا في هذا المسعى." ويضيف ما يذكره GBHackers عن التقرير أن استخدام الحاويات قد يحدّ من المدى الفوري لكنه لا يحمي الأسرار المتاحة بالفعل داخل مساحة عمل الوكيل. كما وجّهت AIA0010 الوكلاء المخترقين نحو الخارج، مستخدمةً إياهم لفحص نطاقات IP محددة بحثًا عن لوحات Cairn أخرى مكشوفة للعموم.

وجد NorForge آثارًا سابقة قد تنتمي أو قد لا تنتمي إلى الحملة. أُنشئت خمس مهام متتالية باسم recon-host-escape-* على لوحة يسميها panel 9 في موعد لا يتجاوز 10 أكتوبر على أقل تقدير. تشبه الأسماءُ والمحتوى عمل AIA0010 اللاحق، لكن NorForge يقول إنه «لا يستطيع التأكد من أنها تنتمي إلى العملية نفسها». ذلك هو أقدم تاريخ في السجل، وهو حد خارجي وليس تاريخ بداية.

غرسة Poseidon، وثلاث دقائق من التحضير

في الساعة 21:15 UTC يوم 21 أكتوبر، ظهرت مهمة بعنوان "Local worker maintenance 2b12ea848a8b2d4c" على لوحة يسميها NorForge اللوحة 51. كانت تحمل كتلة مشفّرة بترميز base64 وأخبرت الوكيل بفك ترميزها وتنفيذ الناتج مرة واحدة. تحقق السكربت المفكوك من أن الجهاز يعمل بنظام Linux على x86_64، وأنشأ دليلًا في ~/.local/libexec، ونزّل ملفًا باسم worker-health من 199.91.220[.]129 على المنفذ 28471، وقارنه بتجزئة SHA-256 1cfee868e5e488bb862140cf288fce46a167aa5982900102356dac552fa4fa43، وجعله قابلًا للتنفيذ، ونقله إلى مكانه وأطلقه منفصلًا، مع تسجيل معرّف عمليته في ملف. ثم كرر الحلقة كل 30 ثانية حتى ظهور ملف إيقاف.

يحدد NorForge أن الملف الثنائي هو برمجية Poseidon المزروعة، وهي حصان طروادة للوصول عن بُعد مكتوب بلغة Go ويُدار عادةً عبر إطار Mythic مفتوح المصدر الخاص بالفريق الأحمر، ويقول إن العينة كانت مُعدّة للاتصال بعنوان CDN تابع لـ Bunny.net. وتقييمه للأداة متوازن: "ليست متقدمة للغاية"، لكنها "أكثر من كافية لتمكين المهاجمين من الوصول إلى حاوية الوكيل (أو المضيف، إن لم تكن تعمل داخل حاوية)". ويقول NorForge إن الحلقة اللانهائية أُضيفت بعد بعض المحاولات الأولية، وكان المقصود منها على الأرجح إبقاء مساحة عمل الوكيل حية، بما يوسّع نافذة تشغيل البرمجية المزروعة. وفي عدة حالات، شغّل الوكيل البرمجية الخبيثة.

منح سجل خادم التنزيل الخاص NorForge طابعًا زمنيًا شديد الدقة على نحو غير معتاد. وقد سُجّل طلب HEAD إلى /worker-health عند الساعة 21:12:05 UTC، أي قبل ظهور أول مهمة لجلب البرمجيات الخبيثة بثلاث دقائق: "على الأرجح فحص للتأكد من أن الملف سليم"، كما يقول التقرير. كما لاحظ NorForge ما بدا أنه جولة ثانية من عمليات التثبيت، لكن بحلول الوقت الذي عثر فيه على تلك المهام، لم تكن خوادم التحكم والقيادة وخوادم التنزيل تقبل الاتصالات بعد الآن.

موجات مبرمجة، والسؤال الذي عجز NorForge عن الإجابة عنه

التوقيت هو أقوى دليل على أن الحملة كانت تُدار بواسطة برمجية. وصل تشغيل واحد لـ AIA0009 مقابل خمس لوحات Cairn في صورة مجموعة متقاربة من الفحوصات، كل منها يطبع العلامة cairnscan، ثم المعرّف واسم المضيف، ويكتب عقدة معلومات أولى تحتوي على الهوية واسم المضيف. وبعد ساعتين وأربعين دقيقة بالضبط، تم إنشاء مشاريع متابعة على اللوحات الخمس كلها، بما في ذلك التلاعب عبر SSH، وفي النهاية البرمجيات الخبيثة. وعلى امتداد لوحات غير مرتبطة، رأى NorForge موجات من إنشاء المهام تصل في وقت واحد تقريبًا.

هذا يدعم استخدام السكربتات. لكنه لا يثبت أن ذكاءً اصطناعيًا أدار الحملة. وتؤكد NorForge صراحةً أنها لم تستطع رؤية الأنظمة التي تُصدر التعليمات: «لا توجد لوحة يمكننا النظر إليها لمعرفة من بدأ هذه المهام». وعادة AIA0010 في وسم المهام بتسميات نوايا على غرار Cairn مثل i014 تشير إلى ذلك، لكن التقرير يصفها بأنها «دليل غير قاطع على الإطلاق». كما يجد علامات على تدخل بشري عند نقاط حرجة: توقف مؤقت في إنشاء المهام قبل نشر Poseidon، بما يتسق مع الوقت اللازم لإعداد البرمجية الخبيثة وإنشاء خوادم القيادة والتحكم والتنزيل، وفجوات مماثلة في كلتا المجموعتين. وتخلص NorForge إلى أن «الحملات يُرجح ألا تكون مستقلة تمامًا».

وثمة حدّان إضافيان يخصّان السجل. رصدت NorForge اللوحات رصدًا سلبيًا وتقول إنها لم تكلّف أي وكيل ولم تتلاعب بأي لوحة؛ ورؤيتها لما فعله الوكلاء مستمدة من مخرجات اللوحات نفسها. كما أن عناقيد الشركة تجميعات سلوكية لا إسنادات: فهي لا تذكر أي فاعل أو بلد أو دافع وراء AIA0009 أو AIA0010، ولا أي مؤشرات صلبة مشتركة بينهما، بل مجرد صياغة متشابهة.

ما هو ثابت، وما هو غير ثابت

السجل مصنَّف بدرجة ثقة A، وغير موسوم بأنه محل خلاف، ويسجّل ضررًا حقيقيًا. وتتعلّق تلك الدرجة بالتوثيق، وهو مفصَّل على نحو غير معتاد: فقد نشر NorForge نص المهمة، وردود الوكيل، وتجزئة البرنامج المزروع، وقائمة التحكم والقيادة الخاصة به. وما لا توفّره الدرجة هو التحقق المستقل، والتقسيم الوارد أدناه هو ما يحتاجه القارئ.

• ثبت:أن ما لا يقل عن 17 من لوحات Cairn المكشوفة على الإنترنت كانت تحمل مهامّ مُدخَلة، بما في ذلك منشآت الفريق الأحمر ومنشآت التقاط الأعلام، فضلًا عن منشآت يُشتبه في كونها إجرامية، وكانت المهامّ المُدخَلة موجَّهة إلى المضيفين الذين يشغّلون الوكلاء. ويعيد NorForge إنتاج نص المهمة ومخرجات الوكيل التي تؤكد التنفيذ.

• ثبت: أضافت مهمة مُحقنة مفتاح ssh-ed25519 يتحكم به المهاجم إلى authorized_keys الخاصة بحساب kali، وأبلغ الوكيل عن التثبيت والأذونات الناتجة. وظهرت مهام مشابهة على عدة لوحات.

• تاريخ الإنشاء:في 21 أكتوبر الساعة 21:15 بالتوقيت العالمي المنسق، سلّمت مهمةٌ نصًا برمجيًا بترميز base64 جلب ملفًا ثنائيًا وتحقق من بصمته التجزئة وشغّله، وهو ملف ثنائي تُعرّفه NorForge بأنه برمجية Poseidon الضارة، وقد شغّله الوكيل في عدة حالات. وتنشر NorForge قيمة SHA-256 وأربعة مؤشرات للتحكم والسيطرة: 103.181.134[.]12، و199.91.220[.]129، و64.176.50[.]179، واسم مضيف Bunny.net.

• تاريخ الإنشاء:قامت مهام بالتنقيب عن API_KEY وANTHROPIC_AUTH_TOKEN بين سلاسل أخرى، وكتبت مخرجاتها في نصوص حقائق عامة، ويُبلّغ NorForge عن سرقة مفاتيح API لنماذج الذكاء الاصطناعي. لم يُذكر أي عدد أو مالك أو قيمة، ولم يظهر أي منها في المصادر التي جرى مراجعتها هنا.

• استنتاج NorForge: أن AIA0009 وAIA0010 مجموعتان منفصلتان. والأساس هو اختلاف في تسمية المهام وعدم وجود مؤشرات صلبة مشتركة، ويقول NorForge إن التقييم "قد يتغير إذا ظهرت بيانات جديدة".

• استنتاج NorForge: أن النشاط كان مؤتمتًا وربما مُنسَّقًا بالذكاء الاصطناعي. الموجات المتزامنة تدعم الأول؛ أما التسميات ذات الطابع القصدي فتوحي بالثاني. وليس أي منهما دليلًا، ويقول NorForge إن البشر على الأرجح تدخلوا في منعطفات معينة.

• لم يثبت:من يقف وراء أي من المجموعتين. لا يوجد إسناد ولا مشغّل مسمّى ولا دافع في السجل.

• لم يثبت: ما إذا كان أي وكيل قد فرّ من حاويته، وكم عدد بيانات الاعتماد التي أُخذت، أو أي المنظمات فقدتها. وتقول NorForge إنها لم تتمكن من تحديد فرار الحاوية، ولم تسمِّ أي ضحية لهذه الحملة.

• لم يتم التأكد منها بشكل مستقل:كل رواية عن هذه الحملة عُثر عليها لهذا المقال تعود إلى NorForge. وتنسب Cyber Security News وGBHackers وCyber Press جميعها النتائج إلى الشركة، ويصف GBHackers التقرير بأنه أحد التقارير التي شاركتها NorForge معه. ولا يذكر أي منفذ إخباري تمت مراجعته هنا أنه تحقق من نشاط اللوحة، أو حدد عناوين القيادة والتحكم، أو أجرى مقابلة مع مالك لوحة.

• اقتباس جدير بالقراءة المتأنية: المصدر الثالث المذكور لهذا السجل، وهو مدخل من VibeIncidents عن لوحات Cairn المكشوفة، يوثّق بحث NorForge الأسبق "Inside Cairn"، المنشور في 19 أكتوبر، حول مشغّلي عمليات إجرامية استخدموا وكلاء Cairn ضد مواقع ويب خارجية. تلك حملة مختلفة عن الاستيلاء على اللوحة الموصوف هنا، ولا تؤيد نتائج 26 أكتوبر.

• لا ينطبق: لا توجد ثغرة CVE، ولا إصدار متأثر، ولا تصحيح، لأن التعرض ناتج عن نشر دون مصادقة وليس عن خلل برمجي.

ماذا تغيّر بعد ذلك؟

لم يتم ترقيع أي شيء، لأنه لا يوجد شيء لترقيعه. لا يحمل السجل أي استشارة من المورّد، ولا إصدار متأثر، ولا إصلاح، واستجابة NorForge هي إرشادات موجّهة إلى الأشخاص الذين يشغّلون اللوحات. تعليماتها الأولى هي تأمين لوحة Cairn فورًا: ضعها خلف المصادقة وأبقِها بعيدًا عن الإنترنت المفتوح. وعلاوة على ذلك، توصي بتشغيل مهام الوكيل داخل حاويات، وتقييد ما يمكن للوكيل الوصول إليه، وتدوير أي مفاتيح API قد تكون تعرّضت للكشف، وتدقيق ملفات authorized_keys بحثًا عن إدخالات غير معروفة، ومراجعة إعدادات الحاويات مثل تعريض مقبس Docker وقدرات Linux.

لم يُذكر ما إذا كان أي مالك لوحة قد اتبع تلك النصيحة. تقول NorForge إن المهام الخبيثة التي كانت تراقبها اختفت بينما كان الباحث ينظر إلى اللوحة، ولا تذكر من أزالها. وقد أنتج منشورها السابق Cairn نمطًا مشابهًا: فقد خرجت العديد من اللوحات الإجرامية عن الاتصال بعده، وبقيت عدة لوحات عاملة، وظهرت لوحات جديدة، بعضها يخص باحثين يسعون إلى مكافآت الثغرات. هذا التقلّب هو سبب عدم اختفاء اللوحات المكشوفة ببساطة بعد أول إفصاح.

إن تأطير NorForge للدرس معماري لا إجرائي. فإعداد الحاوية الموصى به يحدّ من مدى وصول مهمة مُدخلة، لكنه لا يحمي المفاتيح التي يستطيع الوكيل قراءتها بالفعل، ولا يمنع إصدار أمر للوكيل بنشرها. أما إرشادات الشركة بتدوير المفاتيح فتنبع مما فعلته المهام، لا من أي سرقة تمكنت من تتبعها إلى مالك بعينه.

لماذا تُعدّ اللوحة المفتوحة مستوى تحكم

تكمن أهمية الحملة في الانعكاس الذي تصفه. فـ Cairn منصة وكلاء عامة الغرض يوجّهها مستخدموها نحو الاختبار الأمني، ووكلاؤها يشغّلون الأوامر ويقرؤون الملفات ويسبرون الشبكات بحكم التصميم. ولوحة مفتوحة تعكس تلك القدرات من الخارج إلى الداخل: فيصبح المختبر هو الهدف، ويُوجَّه الوكيل الذي كان يُفترض أن يكتشف نقاط الضعف في شبكة شخص آخر إلى الجهاز الذي يعيش عليه. وتلاحظ NorForge أن ذلك حدث لمنشآت أصحاب القبعات البيضاء كما حدث للمنشآت الإجرامية، وأنه لم يكن يتطلب استغلال ثغرة برمجية.

السؤال الختامي للشركة أوسع من Cairn: "ما أسطح الهجوم التي تجلبها الأنظمة الوكيلية إلى الطاولة ولم نفكر فيها بعد؟ وكيف يمكن أن تستغلها أنظمة وكيلية أخرى؟" يقدّم السجل إجابة واحدة ملموسة، وهي لا تتعلق بنموذج يرفض طلبًا أو مطالبة تتسلل عبر مرشح. بل تتعلق بمستوى تحكم بلا قفل، وبوكيل يتعامل مع النص المُرسل كعمل، وبمساحة عمل تحتفظ ببيانات اعتماد يستطيع الوكيل قراءتها ونشرها. تقول NorForge إنها لا تعرف ما إذا كانت الحملات التي استغلت ذلك كانت هي نفسها مُدارة بواسطة ذكاء اصطناعي. لكنها تعرف أنها لم تكن بحاجة إلى أن تكون متطورة لتنجح.