Cairn: skupina CL-STA-1238 nechala autonomní AI agenty útočit na výrobce čipů, obranu i neziskovky

Co se stalo

Výzkumný tým Unit 42 firmy Palo Alto Networks 12. listopadu 2026 popsal kampaň skupiny, kterou označuje CL-STA-1238. V srpnu a září 2026 vedla 25 operací proti nejméně 19 organizacím a útoky za ni z velké části prováděli AI agenti. Unit 42 skupinu se střední jistotou spojuje se sběrem zpravodajských informací v zájmu Číny: tasking a „autorizační“ texty jsou čínsky, útočníci používali výhradně čínské modely a cíle odpovídají prioritám čínských státních zpravodajských služeb. Za kampaní podle rozboru nejspíš stojí jeden operátor nebo malý tým.

Nástrojem byl Cairn, veřejně dostupný open-source framework pro penetrační testy. Útočníci provozovali vlastní upravenou verzi na serveru v Hongkongu a přidali do ní sadu dovedností „AIScan Runner Skills“, kterou původní projekt nemá.

Jak útoky probíhaly

V Cairnu pracuje několik agentů řízených AI modelem. Každý v cyklu zhodnotí dosavadní zjištění, vybere další krok, provede jednu akci a výsledek zapíše do společné „tabule“. Potvrzená zjištění se stávají pevnými fakty, plánované kroky čekají ve frontě. Operátor jen zadá kořenové domény cíle, občas přidá nápovědu nebo podklady (například adresu VPN brány a sdílené heslo skupiny) a nechá agenty pracovat – podle Unit 42 od 20 minut až po víc než 50 hodin bez časového limitu.

Konkrétní vstupy, které Unit 42 popisuje: zkoušení slabých hesel proti serveru aplikace, prolomení produkčního hesla platného pro více účtů v aplikaci pro partnery, zápis do cloudového úložiště bez přihlášení (útočník tak přepsal živý dokument hlasování normalizační organizace), obejití zakládání účtů v CMS a otevřený registrační endpoint platformy pro správu identit. Čísla CVE Unit 42 nejmenuje, mluví jen o „starších veřejně známých chybách“.

Modely: Zhipu GLM 5.2 ve 13 operacích, DeepSeek V4 Flash v 8 a DeepSeek V4 Pro ve 4. Odmítnutí modelů útočníci obcházeli čínským úvodním textem a vygenerovaným souborem AUTHORIZATION.md, které tvrdily, že jde o povolený test.

Koho se to týká

• Dodavatelský řetězec polovodičů a pokročilé výroby (7 organizací) – litografie, návrh čipů, materiály, fotomasky a normalizační orgány.
• Obrana a obranná politika (3) – firma z kosmických technologií, dodavatel obranné analytiky a think tank.
• Lidská práva a občanská společnost (4) – kanadská organizace pro lidská práva, americká odborová organizace učitelů, skupina prosazující vědeckou politiku a vzdělávací nezisková organizace.

U 10 organizací Unit 42 potvrdila výsledek: desítky platných hesel, neveřejné adresářové databáze, neoprávněné administrátorské účty a trvalý API token u výrobce polovodičů, přes milion záznamů členů a hashe hesel zaměstnanců odborové organizace, zhruba 500 uživatelských záznamů včetně účtů .mil a .gov u obranného think tanku a kolem 150 000 interních dokumentů u výrobce průmyslové automatizace.

Jak poznat napadení

Unit 42 zveřejnila jen dvě síťové indikátory (zneškodněné), hashe ani domény neuvádí:

154[.]44[.]31[.]4    server s frameworkem Cairn (Hongkong, AS979)
82[.]29[.]129[.]54   staging a odchozí provoz útoků (USA, AS142036)

Naše tipy pro kontrolu:

• Prohledejte logy webových serverů, VPN, WAF a přihlášení za srpen až listopad 2026 na obě adresy. Exporty logů vložte do našeho extraktoru IOC – adresy vytáhne přímo v prohlížeči.
• Hledejte série neúspěšných přihlášení následované úspěchem, nové účty vzniklé přes registraci, nové administrátory a API tokeny, které nikdo nezaložil.
• AI agent pracuje vytrvale a metodicky: mnoho různých požadavků na API a přihlašovací stránky z jedné adresy během hodin až dnů je signál, i když každý jednotlivý požadavek vypadá nevinně.

Co udělat

1. Hesla a identity: zakažte slabá, výchozí a sdílená hesla, zapněte vícefázové ověření na všem, co je dostupné z internetu, a omezte trvalá privilegovaná oprávnění. Sílu hesel a passphrase ověříte v našem testu síly hesla.
2. Zmenšete plochu útoku: projděte veřejné registrační endpointy, API bez přihlášení a cloudová úložiště s veřejným zápisem – v popsaných útocích stačily právě tyhle chyby.
3. Záplaty: doplňte i staré opravy. Unit 42 výslovně uvádí, že útočníci zneužívali starší veřejně známé chyby.
4. Počítejte s objemem: autonomní útoky podle Unit 42 nejsou důmyslnější, ale rychlejší a širší. Rate limiting a upozornění na neobvyklé přihlášení dávají smysl i u méně důležitých aplikací.

Jak útoky AI agentů vypadaly v případě frameworku ARTEX a skupiny Storm-3358, popisujeme v článku ARTEX: útočníci nechávají AI agenty hledat tajemství na GitHubu.

Časová osa

Aktualizace

• 12. 11. 2026 – první verze článku.