AI-agenter kopplas till angrepp mot nätbutiker – för omkring 25 dollar per mål

Det handlar inte om att en AI-modell på egen hand valde att angripa företag. Enligt den publicerade granskningen byggde och styrde en operatör i stället ett system av AI-agenter som kunde automatisera stora delar av en attackkedja: kartläggning, försök att utnyttja sårbarheter, insamling av kortuppgifter och försök att undanröja spår. 8

Vad utredarna uppger

Säkerhetsbolaget Gambit Security skriver att en ekonomiskt motiverad aktör har använt tre öppna AI-ramverk – Strix, Cairn och Hermes – mot nätbutiker med begränsad mänsklig övervakning. Aktiviteten ska ha inletts i juli 2026 och fortfarande pågått när analysen publicerades. 8

Mellan den 10 och 15 september startades enligt Gambit 105 attackprojekt, och minst 27 företag komprometterades i olika grad. 8 Annan rapportering beskriver upp till 100 organisationer som möjliga mål och uppskattar kostnaden för modellåtkomst till omkring 8 000 dollar. 7

Aktören beskrivs som kinesisktalande. Det bygger på utredarnas observationer av språk och operativa spår, men fastställer varken identitet, nationalitet eller någon koppling till en stat.

Så ska AI-agentkedjan ha fungerat

Kampanjen kopplas i rapporteringen till modeller från DeepSeek och Kimi, samt en äldre Claude-modell, som användes tillsammans med Strix, Cairn och Hermes. 713 Ramverken ska ha fått olika roller i ett automatiserat arbetsflöde, snarare än att fungera som ett enda universellt verktyg.

På övergripande nivå såg processen enligt uppgifterna ut så här:

1. Identifiera och bedöma mål. Agenter sökte igenom e-handelssajter efter möjliga svagheter.
2. Försöka få åtkomst och lägga in insamlingskod. När åtkomst uppnåddes ska kampanjen ha placerat kortskimmningsskript på kassasidor.
3. Samla in och ordna stulen information. Kortuppgifter och annan operativ data lagrades enligt uppgift i operatörens miljö.
4. Försöka städa upp. Syftet var att minska spåren efter intrånget, men i minst två fall ska rutinen i stället ha raderat data hos offren. 819

Poängen är att automatisering kan sänka den mänskliga arbetsinsatsen för att upprepa ett skadligt arbetssätt mot många mål. Gambit beskriver den marginella kostnaden som tiotals dollar per företag, medan rapporteringen om femdagarsperioden talar om en total kostnad på omkring 8 000 dollar. Det är utredningens uppskattningar – inte ett generellt pris för att angripa ett företag. 78

Över 600 000 kortuppgifter ska ha stulits

Den rapporterade påverkan är allvarlig, men de offentliga uppgifterna är fortfarande ofullständiga. Gambit uppger att mer än 600 000 betalningskortsuppgifter har tagits och att skimmningsskript placerats på dussintals kassasidor. 819

Forbes rapporterar att aktören fick åtkomst till minst 30 webbplatser under perioden 10–15 september, men att det är oklart hur många av alla organisationer som faktiskt utsattes för lyckade intrång. 7 En annan uppgift är att amerikanska kortinnehavare utgjorde en stor andel av de stulna uppgifterna. 6

Det finns ingen komplett, oberoende bekräftad offentlig lista över drabbade bolag i det tillgängliga underlaget. Ett företag på en mållista, en komprometterad sajt, en kassasida med skimmer och ett bekräftat dataintrång är dessutom olika saker och bör inte blandas ihop.

Därför bedömdes uppgifterna som trovärdiga

Enligt bevakningen av Gambits utredning exponerade angriparen av misstag den infrastruktur som användes i kampanjen på internet. Det gav forskarna tillgång till material som enligt uppgift omfattade agentkonfiguration och data kopplad till operationen. 13

Materialet gjorde det möjligt att rekonstruera delar av kampanjen och koppla den till komprometterade nätbutiker, skimmers på kassasidor och lagringsplatser för stulna kortuppgifter. Siffran över 600 000 poster ska därför förstås som en utredaruppskattning från den exponerade kriminella miljön – inte som en post-för-post-bekräftelse från varje berörd handlare. 813

Vad uppgiften om Claudes vägran visar – och inte visar

Rapporteringen säger att en äldre Claude-version ingick i verktygsuppsättningen, medan nyare Claude-versioner ska ha avvisat uttryckligen skadliga instruktioner. 7 Det ligger i linje med syftet med förbättrade säkerhetsfunktioner: att säga nej till förfrågningar om skadlig cyberaktivitet.

Men det offentliga underlaget innehåller inte någon kontrollerad teknisk jämförelse av modellversionerna, samtliga instruktioner eller den fullständiga agentkonfigurationen. Det går därför inte att slå fast att en enskild modell var avgörande för kampanjen, eller att senare avvisanden ensamma förklarar skillnaden. Avgörande var operatörens upplägg av verktyg, åtkomst och arbetsflöde.

Vad nätbutiker bör ta med sig

Gambit uppger att kampanjen fortsätter och att aktören bygger upp ny infrastruktur. 8 Företagets analys är den huvudsakliga offentliga redogörelsen för kampanjens omfattning och metoder. Shadowserver distribuerar samtidigt riktade åtgärdsrapporter till granskade nätägare, myndigheter och nationella CSIRT-partner – en kanal som kan hjälpa verifierad information om komprometteringar till organisationer som kan åtgärda dem. 18

För e-handlare är slutsatsen framför allt praktisk: kassasidor, tredjepartsskript, exponerade administrativa gränssnitt och återställningsrutiner behöver följas löpande. De rapporterade dataraderingarna visar också att incidentberedskap måste omfatta återställning, inte bara upptäckt.

Övervakning av obehöriga förändringar i betalningsflöden och testade, isolerade säkerhetskopior är särskilt viktigt när angripare kan automatisera kartläggning och upprepade försök mot många webbplatser. AI-agenter kan göra repetitiva offensiva uppgifter snabbare och billigare, men de eliminerar inte behovet av en operatör, infrastruktur, angreppsvägar eller försvarsmöjligheter. Minska den exponerade attackytan, upptäck förändringar snabbt, verifiera återställningsförmågan och dela bekräftade indikatorer med betrodda incidentaktörer. 818