Agent AI hackera odhalil autonomní kybernetický útok, zjistil Unit 42

Čínsky mluvící útočník využil DeepSeek jako uvažovací engine pro autonomní hackerský systém, který proskenoval více než 460 cílů a úspěšně kompromitoval nejméně tři organizace, uvádí výzkum publikovaný společností Palo Alto Networks ↗ 5.00% Unit 42 dne 29. července.unit42.paloaltonetworks

Operace byla odhalena pouze proto, že samotný AI agent udělal chybu: spustil veřejný souborový server z domovského adresáře útočníka a vystavil celé operační prostředí výzkumníkům.

Jak autonomní útok fungoval

Útočník, operující pod přezdívkami „knaithe“ a „KnYuan“, nasadil DeepSeek v rámci open-source frameworku Hermes Agent, vydával příkazy přes Telegram a poté nechal systém pracovat bez dalšího lidského zásahu. Agent nezávisle vyhledával cíle vystavené do internetu pomocí vyhledávače FOFA, stahoval veřejný kód pro zneužití z GitHubu a pokoušel se o útoky, to vše bez neustálého dohledu.thehackernews+1

V obnovené relaci z května 2026 se agent nejprve zaměřil na zranitelnost Langflow (CVE-2026-33017), ale úsilí vzdal poté, co zjistil, že všech 84 identifikovaných instancí postrádá požadovanou konfiguraci pro zneužití. Poté autonomně prozkoumal 10 produktových rodin, na GitHubu hledal populární proof-of-concept exploity a přešel na software pro automatizaci pracovních postupů n8n, přičemž se zaměřil na řetězec kombinující CVE-2026-21858 a CVE-2025-68613. Navzdory nalezení více než 25 000 vystavených instancí n8n v Číně všechny vyžadovaly autentizaci a prostřednictvím autonomního pracovního postupu nebylo dosaženo žádné kompromitace.unit42.paloaltonetworks+1

Samostatné manuální kampaně téhož útočníka dosáhly potvrzeného exfiltrování dat ze tří organizací prostřednictvím zranitelnosti Citrix NetScaler (CVE-2026-3055), včetně opakovaného cílení na malajsijský vládní subjekt v průběhu několika dní.unit42.paloaltonetworks

Výběr modelu AI a operační bezpečnost

Kromě DeepSeek útočník nakonfiguroval několik LLM modelů pro čínský trh, včetně Qwen, GLM, Kimi a MiniMax. Bylo také pozorováno omezené používání západních nástrojů: Claude Code pro testování konektivity a stopy Codexu v adresářích pro vývoj exploitů. Útočník směroval západní nástroje přes proxy infrastrukturu a deaktivoval funkce protokolování, aby snížil sledovatelnost.cyberpress+1

Unit 42 poznamenala, že DeepSeek byl pravděpodobně vybrán kvůli svým minimálním bezpečnostním kontrolám, ke kterým se přistupuje prostřednictvím frameworku bez omezení na straně klienta. OpenAI potvrdila Unit 42, že její bezpečnostní opatření na straně poskytovatele odmítla požadavky porušující zásady a označila účet, o kterém se předpokládá, že je s kampaní spojen.unit42.paloaltonetworks

Důsledky pro obránce

Ironií případu je, že automatizace navržená ke škálování útoků nakonec operaci odhalila. Když Hermes Agent spustil `python3 -m http.server 8888` z pracovního adresáře útočníka, zpřístupnil veřejně API klíče, skripty pro zneužití, seznamy cílů a protokoly relací.thehackernews+1

„Význam těchto zjištění spočívá v trajektorii, nikoli ve výsledku jakékoli jednotlivé kampaně,“ napsala Unit 42. „Technická bariéra pro útočné operace s využitím AI je nízká a nadále klesá“.unit42.paloaltonetworks

Unit 42 vyhodnotila, že operátor sídlí v čínském Ču-chaji, a popsala jej jako oportunistického útočníka a samozvaného výzkumníka binární bezpečnosti. Výzkumníci doporučili okamžité záplatování ovlivněných systémů Langflow, n8n, Marimo a NetScaler a omezení zbytečného veřejného přístupu k rozhraním pracovních postupů.thehackernews+1