护栏在模型，攻击力在编排层：Cairn 面板打开的入侵窗口

故事的入口不是某一款模型突然「学会了黑站」，而是一排忘了上锁的控制面板。NorForge 的 Snorre Fagerland 用 Shodan / Censys 一类扫描，扫到大量开源 harness 的 Web 界面；其中 Cairn 被忽视得最彻底。2026-10-19 的报告 Inside Cairn 写明：超过 20 个面板被判为 likely malicious；与此同时，相当数量看起来合法的红队面板也同样裸奔在公网上。攻击者自己的运维卫生，成了外界第一次看清「半自动入侵流水线」的窗口。

Reuters 同日独家（The Verge、THN、Dark Reading 转述）把受害方名字推进公开视野：在攻击者记录与记者审阅里，Deere、SharkNinja、Cummins 等超过一百家公司的网站被触达；对一千二百多次尝试而言，这是触达数，不是已证实的数据外泄数。三家回应口径有限：Deere 称已采取补救、未见敏感信息被访问迹象；SharkNinja 称独立产品支持站受影响且已遏制；Cummins 称在调查第三方供应商站点上的可能攻击。数据是否被取走，Reuters 自己也写明无法确认——本篇不把它升格成「大规模窃密」。

TL;DR：Cairn 是开源的状态式问题求解引擎（origin→goal，facts/intents 上 blackboard），作者 le1xia0 对 Reuters 称并非为黑客工具设计；恶意用途里它变成「给目标与目标态，协调 Agent 探弱点并尝试进入」的编排层。主簇 AIA0001（中文界面、14 面板、AS56594 Cgi Global、1100+ 攻击项目）典型任务：Playwright 已验证可下单、流量 20 万～150 万的美加日澳电商站 → 找未认证 RCE → 落地 uploader webshell；成功约一成（跨所见 harness 的粗估）、达标项目平均略低于 23 小时、约 140 条 facts/项目。全部任务挂在 worker 名 claudecode_deepseek-v4.1-flash 下——NorForge 写的是「could mean」Claude Code harness + DeepSeek V4.1 Flash，未独立验证。成本猜测：均任务约 $5（含早停失败）、长项目可超 $100，不确定度大；Reuters 另有「几千美元 / 成功约 $50」的战役级转述，与报告内猜测同属量级旁证。判断：Astra Critical、CVP 分档锁的是模型门口；攻击力落在公网可部署的编排层。不要把 worker 名写成已核模型，也不要把触达写成已证实外泄。

一、暴露的面板，才是主语

九月 Gambit Security 中期报告（自述）曾写：针对在线零售商的犯罪入侵里出现 Strix、Cairn、Hermes 一类 AI harness；并称从攻击者暂存服务器回收到相关痕迹。那是背景，不是本篇一手。NorForge 接着做的事更直白：既然这类工具常带 Web UI，就去公网找没上锁的实例。

找到的不只是「坏人的面板」。报告明确区分：空面板、有鉴权的面板、看起来合法的演示或渗透测试机构——以及过滤之后仍超过 20 个 likely malicious 的实例。合法红队把客户渗透测试挂在未加固面板上，本身就是「把客户秘密公开发到互联网」的噩梦场景。恶意簇与红队簇共享同一失败模式：编排层的运维卫生远弱于它编排的攻击能力。

这一入口决定了读法。若从「哪家模型最会黑」起笔，会滑进能力秀；从「谁把控制面留在 8000 端口」起笔，看到的是 2026 年秋更硬的结构：offensive 能力正在从实验室货架迁到可 git clone、可 VPS 拉起、可忘了绑登录的 harness。

二、Cairn 是什么——以及它不是什么

把 Cairn 写成「自动驾驶渗透测试产品」并不准确。NorForge 的表述更接近原设计：它是状态式问题求解引擎，从定义好的 origin 一步步走向预定义 goal；中间是 intents（下一步打算做什么）与 facts（已发现什么）的循环。Agent 把每条 fact 贴上项目内 blackboard；人类操作者也可以往同一块板上加 hint。所有 worker 共享这块板——这是编排，不是单次 prompt 里塞完战术。

恶意部署里，goal 被写成 webshell、未认证 RCE、卡片或加密货币。AIA0001 的典型任务（报告给出中文原文与英译）压缩在一百字量级：确认四国真实购物站与流量档、Playwright 验过可下单；目标找未认证 RCE（命令执行／代码注入／反序列化／文件上传 webshell／SQLi→RCE 等）；优先登录 SQLi、未认证端点、文件上传、反序列化、认证绕过、账户接管；落地用 uploader shell（HTML 上传表单 + move_uploaded_file），明确不要命令执行型 webshell。操作者写的是偏好与验收条件；从 origin 走到 GOAL MET 的路径搜索，交给 harness 与 worker。

作者 le1xia0 对 Reuters 的辩解应照录：Cairn 并非设计成黑客工具。工具意图与部署意图可以分裂——开源问题求解引擎一旦接受「目标站点 + 持久访问」作为 goal，就与用途声明脱钩。本篇关心的不是作者原意是否真诚，而是：黑板 + origin/goal 这套抽象，恰好是半自动入侵需要的最小编排原语。

flowchart LR
  Op["操作者<br/>目标 + 战术偏好"] --> Panel["Cairn 面板<br/>常裸奔公网"]
  Panel --> BB["blackboard<br/>facts / intents / hints"]
  BB --> Worker["worker 名<br/>claudecode_deepseek-v4.1-flash<br/>（命名线索，未独立核模型）"]
  Worker --> Target["电商 / 支付站"]
  Target --> Goal["uploader webshell<br/>GOAL MET"]

三、AIA0001：流水线、命名 caveat，与 Gambit 背景

主簇 AIA0001：界面语言为中文；14 个面板；托管多在 AS56594 Cgi Global Limited；NorForge 高置信判为恶意、财务动机（未见明显国家支持活动迹象——报告自己的判断，本篇不外推国籍）。规模：逾 1100 个攻击项目铺在这 14 个仪表盘上；目标宽，多在美、日、澳（及任务文案里的加），瞄准电商／支付基础设施的持久访问以便后续变现。

喂任务的管道本身已自动化：流量档过滤 + Playwright 下单验证后再送进 Cairn。跨面板还有一个「傻」的指纹——域名规范化把 www 多删了一个 w，Wholesale 变成 holesale——这让簇的关联变得容易。偶发高端口外带测试窗口里，NorForge 还瞥见过 worker 目录工具链（Playwright、PHPGGC、ffuf、Amass、nmap、Magento 验证实验室等），以及一段像是从某 CTF／智能渗透竞赛框架改来的环境说明；报告明确写：这是罪犯复用既有工具，没有理由认为该竞赛主办方与本次行动有关。

必须单独钉死的一句：所见任务均由名为 claudecode_deepseek-v4.1-flash 的 worker 执行；NorForge 原文是这could mean Claude Code harness 使用 9 月发布的 DeepSeek 4.1 Flash——他们没有实际数字级的独立模型核验。另一簇 AIA0002（英文、约 10 面板、AS20473 Vultr，卡片／加密货币盗窃取向）挂 pi_openrouter_deepseek，同样是配置命名线索。把 worker 字符串写成「已证实用了 Claude Code + DeepSeek」，是本窗口最容易犯的越界。AIA0003 仅一面板、低置信，略过。

成功率与节奏（报告粗估，簇之间目标不同、不可严格横比）：所见 harness 平均成功率约悬在 10%；AIA0001 达标项目从启动到 goal 平均略低于 23 小时，约 140 facts／项目；有项目跑过五天。NorForge 至少核验过部分声称的 shell 仍在线（含大型五金零件供应商的 uploader）；并与 Reuters 合作通知看似已失陷的受害方、尝试推动面板下线。

Gambit 九月自述（Strix 找洞 + Cairn 端到端 + Hermes 编排等）只作时间线上的背景：公开讨论「零售站上的 AI harness」早于 NorForge 这篇面板取证。数字与手法以 NorForge / Reuters 审阅为准，不以 Gambit 自报外推 AIA0001。

四、成本与门口：实验室分档锁不住公网编排

把 AIA0001 的成本猜测放在同一段里读。NorForge：无真实 token 账单，但据底层数据粗估——计入早停失败，均任务大约 $5；逾千 intents/facts 的长项目可能超过 $100；不确定度相当大，数字可能差一截。即便如此，相对「雇人连轴渗透」仍便宜。Reuters 转述 Fagerland 的战役级说法是约五千美元 token、成功入侵大约五十美元量级——与报告内猜测同属「一个人 + 几千美元」叙事，都应标成估计，不要写成审计过的账单。

对读本站已写的门口政策：

GPT-6 Astra Critical：网络能力 Critical 改变发布方式——默认不全量、防守方优先。
Anthropic CVP 三档：Defense / Red Team / Specialized，按身份发网络能力。
OpenAI misalignment-reports 的许可缺口：评测与研究代理在「有目标、无许可」的缝里越权，发现滞后。
评测 unintended actions：内部评测全面断实时联网。
IoT 自复制：威胁模型翻到实验室门外，没有中心开关。
DeepSeek 四件套：模型公司开始交付 harness 与离线引擎——合法产品轴上的「编排层产品化」。
短记 MCP 协议跳板：护栏包在模型外圈时，漏点在协议走廊。

两套系统并置时， equipoise 很清楚：身份门禁管的是哪家实验室的哪档模型能对谁输出多强的网络能力；Cairn 这类开源编排把「目标 + 战术偏好 + 便宜 API／本地模型」焊成可复制的流水线，门禁名单并不自动覆盖它。你可以把旗舰模型的 cyber 能力锁在 CVP／Astra 后面，同时仍在 Vultr／Cgi Global 的 8000 端口上跑一个忘了鉴权的黑板引擎。攻击力的边际成本，正在从「会不会写 exploit」移到「会不会写一百字 goal、会不会租 VPS、会不会忘记关面板」。

本篇不把这条线因果接到同周 DHS 排除 DeepSeek 采购的 FASCSA 令——那条令的公开理由是数据可及性与供应链，与 NorForge 取证的入侵簇不是同一论据链；混写是偷懒。

五、运维卫生：红队也在泄密，面板像未上锁的控制台

Trufflehog 扫过这些实例的数据：字面意义上数百条不同等级的 secrets，其中 11% 经扫描器验证仍有效。面板不仅暴露「谁在被测、测出了什么」，还带上人类贴进 blackboard 的别处收获凭据。更进一步——这些面板看起来完全未受保护，暴露的像是 harness 的完整管理功能：启停项目、插入数据、改目标、重启旧项目。NorForge 写明未实测这些控件是否真能在无鉴权下执行（理由显然）；但含义已经够硬：半自动进攻 Agent 的控制面，可能对任何扫到它的人开放。

合法红队与恶意簇在这里对称失败。客户渗透测试的中间态（漏洞结论、路径、偶发凭据）不该出现在公网可索引的 UI 里；攻击者自己的 SSH、暂存机、API key 也不该。报告结论里有一句并不浪漫：攻击者对这项技术也没准备好——赶着出活时忘掉了基本安全措施，既烧自己的行动安全，又把目标暴露给远大于原意的攻击面。取证窗口，正是这疏忽打开的。

六、判断：模型护栏 ≠ harness 暴露

收成可核对的三句：

主语是编排层暴露，不是模型觉醒。 超过 20 个 likely malicious 的 Cairn 面板，加上一批合法红队裸奔，给出的是控制面与运维卫生的剖面；能力秀叙事会漏掉这个入口。
门口政策与公网 harness 不在同一扇门。 Astra／CVP／评测断网锁实验室货架与研究真网；AIA0001 证明「短战术文案 + 状态引擎 + 廉价 worker」已够支撑千级项目流水线。worker 名只是线索，底层模型以 NorForge 的「could mean／未独立验证」为准。
规模数字要带出处与边界。 1100+ 项目、~10% 成功、~~23 小时、~~$5／任务与 Reuters「一千二百多次尝试／一百多家触达／几千美元」都来自攻击者侧记录、研究者粗估与记者审阅；触达 ≠ 已证实数据外泄；三家公开回应目前都偏向「有限／调查中」。

「一个人、几千美元、一百多家公司」是 Reuters 的叙事压缩，有取证与应答支撑，但仍是压缩。落到结构上，它说的是：当护栏主要装在模型 API 与发布分档上，而进攻所需的状态机、工具链、目标注入与验收条件住在开源编排层时，成本曲线会跟着编排层走。实验室可以继续收紧 Critical；防守方同时要开始把「暴露的 harness 面板、blackboard 上的 secrets、uploader 验收条件」写进与 CVSS 并列的监控清单。手法明年会换；「门禁在模型、火力在编排」这道缝，不会因为又一次系统卡更新就自动合上。