--- id: ai-agents-hack-100-companies-oct2026 date: 2026-10-19 category: security title: Hacker Used an Army of AI Agents to Break into 100+ Companies' Websites title_en: Hacker Used an Army of AI Agents to Break into 100+ Companies' Websites title_es: Un hacker utilizó un ejército de agentes de IA para invadir sitios web de más de 100 empresas ---
When autonomous hacking left the lab
A Chinese-speaking hacker breached websites belonging to more than 100 companies using autonomous artificial intelligence agents — and the total cost of the operation was estimated at around US$ 5,000. Those affected included John Deere, SharkNinja, and Cummins. What unfolded over the past weeks represents the first documented, dated account of a wide-scale cyberattack executed primarily by autonomous software rather than human operators. The discovery was made by threat researcher Snorre Fagerland of NorForge, who found about two dozen exposed instances of the open-source Cairn platform being used for malicious activity beginning on October 2.
The story, reported exclusively by Reuters and published on October 19, shifted the debate about cybersecurity from a theoretical scenario to a real-world case. For more than a decade, researchers warned that AI agents would eventually be used to attack systems — but until now, documented cases involved hackers using AI as an assistive tool, not as an autonomous executor. In this case, the distinction is fundamental.
What happened
According to the NorForge report provided to Reuters ahead of publication, a cybersecurity researcher observed for weeks the activity of a Chinese-speaking hacker who configured AI agents to systematically attack e-commerce websites across four continents. The campaign began on September 25 and targeted companies in the United States, Canada, Australia, and Japan.
The hacker's instructions to the agents were brief: fewer than 100 Chinese characters described preferred intrusion tactics. From there, the agents worked alone, spending hours scanning targets, discovering vulnerabilities, and executing exploits. Successful intrusions took around 23 hours of trial and error per target.
The hacker attempted to breach more than 1,200 sites in total, with successful intrusions into more than 100 companies. The estimated cost of the complete operation was about US$ 5,000 in AI tokens — approximately US$ 50 per successful breach. According to Fagerland, this figure covers mainly the token consumption of the AI models (DeepSeek and Claude Code) and does not include infrastructure, proxies, or other indirect costs.
The victims
Among the named victims are John Deere, the agricultural and construction equipment giant; SharkNinja, the home appliance brand; and Cummins, the engine and power systems manufacturer. All maintain extensive customer-facing web infrastructure: e-commerce, parts ordering portals, warranty systems, and dealer portals.
John Deere told Reuters it had taken "necessary remediation actions" and had "no indication that sensitive information was accessed." SharkNinja stated that the attack hit a standalone site carrying only product support information and and that the threat had been contained. Cummins said it was "investigating the report of a potential cyber-attack on a website operated by one of our third-party vendors."
Two smaller businesses also acknowledged being compromised. On X, one of the developers of the Cairn platform wrote that their system "was an innovative type of multi-agent architecture and was not designed for hacking attacks. If it is used to carry out harmful hacking attacks, that is not my intention."
Why this is different from previous AI-assisted attacks
AI-assisted attacks are not a brand-new concept. In November 2025, Anthropic disclosed a cyber-espionage campaign in which AI executed 80% to 90% of the operations. In July 2026, Sysdig documented the first incident involving a "system agent" — a case OpenAI described as "an unprecedented cyber incident." In June 2026, the Five Eyes cybersecurity agencies issued a joint statement saying "the timeline is not years, it is months."
The difference in this case, however, lies in the degree of autonomy and the economics model. In previous attacks, a human typically remained responsible for key decisions at each step. In the case reported by Reuters, the hacker provided only the initial instructions and left the agents to handle reconnaissance, exploitation, lateral movement, and data extraction on their own, without continuous supervision.
According to Fagerland, in one documented case, the agents failed to find vulnerabilities in a large company's public application and, rather than giving up, sifted through digital records to find associated infrastructure, located a public control panel, discovered a subtle vulnerability in data processing, and after hours of trial and error, managed to exploit the flaw to make the server execute malicious commands.
"It's not straightforward to come up with solutions like that," Fagerland said. "It's not script kiddie stuff."
The economics of autonomous crime
The most transformative aspect of the campaign is not the technique — which, despite being sophisticated, uses commercially available tools — but the shift in cybercrime economics. Traditionally, large-scale attacks required large teams, expensive tools, or both. An AI agent with access to commercial language models dramatically reduces that barrier: it doesn't need to sleep, doesn't need a salary, and doesn't lose motivation.
Bitsight reported the week before the report that discussions about using autonomous agents were surfacing with increasing frequency on cybercriminal forums. In August, Gambit Security documented Russian-speaking extortionists using SpaceX's Cursor AI tool to breach seven organizations. In September, the same company documented an agent-driven spree that resulted in breaches at 25 companies and the theft of at least 600,000 credit card records.
The $50-per-breach model, even as an estimate, places the cost below many commercial exploits on clandestine markets — but with the crucial difference of scalability: a single operator can attempt thousands of targets simultaneously, something impractical with human teams.
What companies should do now
According to experts, the central lesson is not that AI created an entirely new category of attack, but that existing techniques can now be automated, coordinated, and scaled with less human effort than ever before. The defensive response needs to evolve across three fronts.
First, security for the agents themselves — frameworks like Cairn, which were not designed as hacking tools, can be repurposed for malicious ends when exposed on the internet. Second, companies need to audit what systems their internal agents can access and restrict permissions to the minimum necessary. Third, detection of autonomous activity in network logs and systems will require new approaches, since traditional detection patterns were calibrated for human behavior.
The full NorForge report is available at norforge.com/blog/inside_cairn, and the detailed technical analysis by the Shattered Newsletter offers comparisons between 2025 and 2026 campaigns.
The question remains: if one hacker managed to breach 100 companies with $5,000 and fewer than 100 characters of instruction, how many more attempts are underway while nobody is watching?
---
Cuándo el hacking autónomo salió del laboratorio
Un hacker de habla china vulneró sitios web de más de 100 empresas utilizando agentes de inteligencia artificial autónomos — y el costo total de la operación se estimó en alrededor de US$ 5.000. Los afectados incluyeron a John Deere, SharkNinja y Cummins. Lo que ocurrió en las últimas semanas representa el primer relato documentado y fechado de un ciberataque a gran escala ejecutado principalmente por software autónomo y no por operadores humanos. El descubrimiento fue realizado por el investigador de amenazas Snorre Fagerland, de NorForge, quien encontró alrededor de dos decenas de instancias expuestas de la plataforma open-source Cairn siendo utilizadas para actividad maliciosa a partir del 2 de octubre.
La historia, investigada en exclusivo por Reuters y publicada el 19 de octubre, cambió el debate sobre seguridad cibernética de un escenario teórico a un caso real. Durante más de una década, los investigadores advirtieron que los agentes de IA eventualmente serían utilizados para atacar sistemas — pero hasta ahora, los casos documentados involucraban hackers utilizando IA como herramienta de asistencia, no como ejecutor autónomo. En este caso, la diferencia es fundamental.
Lo que sucedió
Según el informe de NorForge, que fue proporcionado a Reuters antes de la publicación, un investigador de ciberseguridad observó durante semanas la actividad de un hacker de habla china que configuró agentes de IA para atacar sistemáticamente sitios de comercio electrónico en cuatro continentes. La campaña comenzó el 25 de septiembre y fue dirigida a empresas de Estados Unidos, Canadá, Australia y Japón.
Las instrucciones del hacker para los agentes fueron breves: menos de 100 caracteres en chino describían las tácticas preferidas de intrusión. A partir de ahí, los agentes trabajaron solos, gastando horas escaneando objetivos, descubriendo vulnerabilidades y ejecutando exploits. Las intrusiones exitosas tomaron alrededor de 23 horas de prueba y error por objetivo.
El hacker intentó vulnerar más de 1.200 sitios en total, con intrusiones exitosas en más de 100 empresas. El costo estimado de la operación completa fue de aproximadamente US$ 5.000 en tokens de IA — cerca de US$ 50 por intrusión exitosa. Según Fagerland, esta cifra cubre principalmente el consumo de tokens de los modelos de IA (DeepSeek y Claude Code) y no incluye infraestructura, proxies u otros costos indirectos.
Las víctimas
Entre las empresas nombradas como víctimas están John Deere, la gigante de equipos agrícolas y de construcción; SharkNinja, la marca de electrodomésticos; y Cummins, fabricante de motores y sistemas de energía. Todas mantienen infraestructura web extensa orientada al cliente: e-commerce, portales de pedidos de piezas, sistemas de garantía y portales de distribuidores.
John Deere declaró a Reuters que había tomado "acciones de remediación necesarias" y que no tenía "indicio de que información sensible haya sido accedida". SharkNinja afirmó que el ataque alcanzó un sitio autónomo que cargaba únicamente información de soporte al producto y que la amenaza había sido contenida. Cummins dijo que estaba "investigando el relato de un posible ciberataque a un sitio operado por uno de nuestros proveedores tercerizados".
Dos empresas menores también reconocieron haber sido comprometidas. En X, uno de los desarrolladores de la plataforma Cairn escribió que su sistema "era un tipo innovador de arquitectura multi-agente y no fue diseñado para ataques de hacking. Si es usado para realizar ataques de hacking perjudiciales, esa no es mi intención".
Por qué esto es diferente de ataques anteriores con IA
Los ataques con IA no son un concepto completamente nuevo. En noviembre de 2025, Anthropic divulgó una campaña de espionaje cibernética en la que la IA ejecutó el 80% al 90% de las operaciones. En julio de 2026, Sysdig documentó el primer incidente involucrando un "agente del sistema" — un caso que OpenAI describió como "un incidente cibernico sin precedentes". En junio de 2026, las agencias de seguridad cibernética del Five Eyes emitieron una declaración conjunta diciendo que "el cronograma no es años, son meses".
La diferencia en este caso, sin embargo, radica en el grado de autonomía y en el modelo económico. En ataques anteriores, un humano generalmente permanecía responsable por decisiones clave en cada etapa. En el caso reportado por Reuters, el hacker proporcionó únicamente las instrucciones iniciales y dejó que los agentes se encargaran del reconocimiento, la explotación, el movimiento lateral y la extracción de datos por su cuenta, sin supervisión continua.
Según Fagerland, en un caso documentado, los agentes fallaron al encontrar vulnerabilidades en la aplicación pública de una empresa grande y, en lugar de abandonar, revisaron registros digitales para encontrar infraestructura asociada, localizaron un panel de control público, descubrieron una vulnerabilidad sutil en el procesamiento de datos y, tras horas de prueba y error, lograron explotar la falla para hacer que el servidor ejecutara comandos maliciosos.
"No es sencillo llegar a soluciones así", dijo Fagerland. "No es cosa de script kiddie".
La economía del crimen autónomo
El aspecto más transformador de la campaña no es la técnica — que, a pesar de ser sofisticada, utiliza herramientas comerciales ampliamente disponibles —, sino el cambio en las economías del cibercrimen. Tradicionalmente, ataques a gran escala exigían equipos grandes, herramientas costosas o ambos. Un agente de IA con acceso a modelos de lenguaje comerciales reduce drásticamente esa barrera: no necesita dormir, no necesita salario y no pierde motivación.
La empresa Bitsight reportó en la semana anterior a la investigación que discusiones sobre el uso de agentes autónomos estaban surgiendo con frecuencia creciente en foros de cibercriminosos. En agosto, Gambit Security documentó extorsionistas de habla rusa utilizando la herramienta Cursor AI de SpaceX para vulnerar siete organizaciones. En septiembre, la misma empresa registró una campaña dirigida por agentes que resultó en vulneraciones en 25 empresas y el robo de al menos 600.000 registros de tarjetas de crédito.
El modelo de $50 por intrusión, incluso como estimativa, coloca el costo por debajo del precio de muchos exploits comerciales en mercados clandestinos, pero con la diferencia crucial de escalabilidad: un único operador puede intentar miles de objetivos simultáneamente, algo impracticable con equipos humanos.
Qué deben hacer las empresas ahora
Según expertos, la lección central no es que la IA creó una categoría completamente nueva de ataque, sino que las técnicas existentes pueden ahora ser automatizadas, coordinadas y escaladas con menos esfuerzo humano de lo que nunca antes. La respuesta defensiva necesita evolucionar en tres frentes.
En primer lugar, la seguridad de los propios agentes — frameworks como Cairn, que no fueron diseñados como herramientas de hacking, pueden ser reaprovechados para fines maliciosos cuando están expuestos en internet. En segundo lugar, las empresas necesitan auditar qué sistemas sus agentes internos pueden acceder y restringir permisos al mínimo necesario. En tercer lugar, la detección de actividad autónoma en logs de red y sistemas necesitará nuevos enfoques, ya que los patrones tradicionales de detección fueron calibrados para comportamiento humano.
El informe completo de NorForge está disponible en norforge.com/blog/inside_cairn, y el análisis técnico detallado por el Shattered Newsletter ofrece comparaciones entre campañas de 2025 y 2026.
La pregunta que queda: si un hacker logró vulnerar 100 empresas con $5.000 y menos de 100 caracteres de instrucción, ¿cuántos intentos más están en curso mientras nadie está mirando?
Sources: The Verge, Reuters / Shattered, RTE News
✓ Independent sources cross-checked and verified before publishing
