NorForgeのSnorre氏は、インターネットから認証なしで開けるCairnの画面を調べた。Cairnは目標へ向かって状態を広げる問題解決エンジンで、今回観察された使い方は侵入である。正当なレッドチームの画面も同じように露出しており、顧客情報を載せたまま公開する危険も指摘している。
最も活動が多かったAIA0001は中国語で、画面14件、プロジェクト1100件超。標的は主に米国、日本、オーストラリアで、ECや決済基盤への持続的なアクセスが目的だと評価している。作業者名はclaudecode_deepseek-v4.1-flash。指示は未認証のRCEを探し、コマンド実行型ではなくファイルを置くアップローダ型のシェルを目標にしていた。別の英語クラスタはカード情報や暗号資産の取得を直接指示していた。
成功の定義はクラスタで違うが、観察したキャンペーンの成功率はおおむね10%前後。AIA0001で目標に到達した作業は、開始から23時間弱、事実の記録が平均140件だった。費用は失敗を含めて1件あたり約5ドルという概算で、長い案件は100ドルを超える可能性があり、幅は大きいと注記している。研究者は、ハードウェア部品ベンダーのサイトで、完了タスクが示すアップローダ型シェルが実際に応答することを確認した。
Trufflehogで画面上のデータを走査すると、数百件の秘密が見つかり、11%は有効と検証された。攻撃が失敗しても、調査過程の認証情報が公開画面に残る。ECを運営するなら想定外のアップローダを探し、侵入用エージェントを使う側は操作画面をインターネットへ出さないことが、この報告からの直接の対処になる。