Ifølge Gambits forskere har en kampagne drevet af autonome AI-agenter, der har været i gang siden juli 2026, ført til tyveri af mindst 600.000 betalingsoplysninger, og den er stadig aktiv. Angriberne menes at have kompromitteret en lang række detailhandelssites ved hjælp af tre AI-rammeværktøjer til en gennemsnitlig omkostning på 25 dollars per mål.
Ifølge sikkerhedsforskerne hos Gambit har en kampagne med kart-skimming (kopiering af betalingsoplysninger), der har været i gang siden juli 2026 og drives af autonome AI-agenter, ramt en lang række detailhandelssites verden over og ført til tyveri af mindst 600.000 betalingsoplysninger. Ifølge virksomhedens udtalelse er angrebet stadig aktivt, og angrebene på websites fortsætter som led i kampagnen.
Forskerne lykkedes med at genskabe kampagnens funktionsmåde ved at overtage den staging-server, som angriberne brugte. Skimmerne på ofrenes sites blev set i realtid, og logfilerne på serveren samt data tilhørende AI-agenterne blev undersøgt. Ifølge Gambit gennemførte agenterne 105 angrebsbølger i en femdages periode mellem 10. og 15. september og kompromitterede 27 organisationer i "forskellige grader".
Store virksomheder blandt ofrene
Ifølge Gambits udtalelse omfatter ofrene en virksomhed på Fortune 500-listen inden for overnatning, et "stort" amerikansk flyselskab, en stor distributør af industrielle materialer i den private sektor og en amerikansk online modeforhandler. Et af AI-værktøjerne opbyggede angiveligt sin målliste ved hjælp af en website-rangeringsservice og gik primært efter sites, der bruger specialsoftware.
Omkostning per mål på få dollars
Forskerne vurderer, at angriberne er kinesiske trusselsaktører med økonomisk vinding for øje. Ifølge virksomhedens udtalelse bruger angriberne tre AI-"harnesses" (rammeværktøjer), der kan udføre næsten hele angrebskæden autonomt, og de målretter sig mod omkring 10 virksomheder om dagen.
Der blev brugt omkring 7.000 dollars over fire uger, og den samlede omkostning for operationen har indtil videre ikke oversteget 18.000 dollars. Ifølge de tal, Gambit fremlægger, svarer det til et gennemsnit på 25,46 dollars per mål; 3,13 dollars for det billigste mål og 79,31 dollars for det dyreste. Forskerne bemærkede, at det i de tilfælde, hvor der blev opnået adgang, som regel tog under en dag, og i de fleste tilfælde kun et par timer.
Ifølge udtalelsen indeholder angribernes playbook også instruktioner, hvor agenten kører slette- eller oprydningsprocedurer, hvilket kan forstyrre en virksomheds drift – og det skete faktisk i nogle af bruddene.
Tre AI-rammeværktøjer: Strix, Cairn og Hermes
De tre harnesses, der blev brugt i kampagnen, hedder Strix, Cairn og Hermes. Ifølge Gambits udtalelse er Hermes en open source-autonom AI-agent med vedvarende hukommelse, egenskaber den selv skriver og redigerer, et søgbart arkiv over tidligere sessioner og mulighed for at udføre planlagte opgaver.
På den undersøgte server indlæste Hermes angiveligt en kinesisk systempersona kaldet "SOUL - Red Team Operator" med 121 færdigheder (78 angrebsfærdigheder). Ifølge virksomheden brugte Hermes Anthropics opus-4.6-model, fordi nyere modeller afviste anmodningerne; der blev skrevet 1.951 menneskeskabte prompts på tværs af 260 sessioner, og der faldt kun nogle få prompts per mål. Disse prompts var angiveligt typisk korte kinesiske instruktioner, der iværksatte angrebet, fastlagde agentens næste skridt eller angav, hvad der skulle gøres, efter adgang var opnået.
Strix beskrives som et open source-AI-pentestværktøj, mens Cairn beskrives som en autonom pentest-motor. Ifølge Gambits udtalelse tager Cairn imod måldomæner og et mål som at opnå shell- eller administratoradgang og arbejder i timevis, indtil målet er nået, der opstår timeout, eller den stoppes; dette værktøj brugte DeepSeek v4.1 Flash-modellen.
Forskerne opfordrer til forsvar
Gambits forskere bemærkede, at kampagnen er meget billig og når et niveau af tålmodighed, vedholdenhed og kreativitet, som de fleste menneskelige angribere "næppe ville kunne opretholde".
Virksomheden opfordrer organisationer til at tilpasse sig en virkelighed, hvor angrebene er blevet markant hurtigere og mere omfattende. Det anbefales at anlægge en tilgang, der prioriterer modstandsdygtighed, og at implementere en sikkerhedsinfrastruktur, der kan følge med AI'ens hastighed. Det oplyses, at de fleste af de berørte organisationer er blevet underrettet, og at skimmerne er blevet fjernet.
