Злоумышленник использовал ИИ-агентов для кражи около 600 000 записей о банковских картах из онлайн-магазинов. Кампания началась не позднее июля 2026 года и продолжалась по состоянию на 22 сентября 2026 года. По данным компании Gambit, основная часть данных была похищена у двух компаний, а на сайтах еще пяти организаций хакер разместил вредоносные скиммеры.
В атаках применялись три платформы: фреймворк Strix для поиска уязвимостей, бот Cairn для эксплуатации систем и инструмент Hermes на базе claude-opus-4.6 для управления активностью. С 23 по 31 августа 2026 года Strix запускался 146 раз на 138 хостах, суммарно проработав 633 часа. Оператор давал агентам инструкции на китайском языке.
Всего было скомпрометировано не менее 119 веб-сайтов, включая ресурсы крупной авиакомпании, дистрибьютора промышленных товаров и компании из списка Fortune 500. Вредоносный код внедрялся в JavaScript-файлы, блоки тегов Google, кэш серверов и инстансы Kubernetes. Хакер также отдавал команды на удаление данных из баз Magento, что приводило к сбоям в работе ритейлеров.
Расходы злоумышленника составили от $12 000 до $18 000, при этом средняя стоимость атаки на один объект оценивается в $25. Согласно данным маркетплейса OpenRouter, за период до 25 августа 2026 года было потрачено $7 000. Исследователи отмечают, что использование ИИ позволяет проводить подобные кибератаки даже при низкой квалификации исполнителя.
