NorForge fand mehr als 20 offen erreichbare Cairn-Oberflächen, die es mit hoher Wahrscheinlichkeit Kriminellen zuordnet; auf das Gerüst war bereits Gambit Security im September in einer ähnlichen Kampagne gestoßen. Cairn ist quelloffen: Der Nutzer gibt Ausgangspunkt und Ziel vor, die Agenten sammeln Zwischenbefunde auf einer gemeinsamen Tafel und arbeiten sich Schritt für Schritt vor.
Der aktivste Akteur betrieb 14 solcher Oberflächen. Seine Ziele waren Onlineshops in den USA, Kanada, Japan und Australien, vorab automatisch darauf geprüft, dass sich Bestellungen aufgeben lassen. Der Auftrag lautete, ohne Anmeldung Code auf dem Server auszuführen und ein Upload-Formular als Hintertür abzulegen. Alle Aufgaben liefen über einen Agenten namens „claudecode_deepseek-v4.1-flash“, nach NorForges Deutung Claude Code mit DeepSeek V4.1 Flash als Modell.
Etwa jedes zehnte Projekt erreichte nach NorForges Schätzung sein Ziel, im Mittel nach knapp 23 Stunden. Die Kosten schätzt die Firma auf rund 5 Dollar je Aufgabe einschließlich der Fehlschläge, betont aber die große Unsicherheit. Eine gemeldete Hintertür bei einem großen Händler für Hardware-Teile rief NorForge selbst auf, sie war aktiv.
Gegenüber Reuters erklärte Deere, es gebe keine Anzeichen für einen Zugriff auf sensible Daten; SharkNinja sprach von einer eigenständigen Support-Seite und einem eingedämmten Vorfall, Cummins prüft eine Seite eines Dienstleisters. Wie viele Daten abflossen, ist offen. Die ungeschützten Oberflächen legten zudem Hunderte Zugangsdaten und Schlüssel offen; 11 Prozent davon bestätigte ein Prüfwerkzeug als gültig.