Hackers AI-agent avslørte egen cyberangrep-operasjon, melder Unit 42

En kinesisktalende trusselaktør brukte DeepSeek som resonneringsmotor for et autonomt hackingsystem som skannet over 460 mål og kompromitterte minst tre organisasjoner, ifølge forskning publisert av Palo Alto Networks ↗ 5.00% Unit 42 den 29. juli.unit42.paloaltonetworks

Operasjonen ble kun oppdaget fordi AI-agenten selv gjorde en feil ved å starte en offentlig filtjener fra angriperens hjemmemappe, noe som eksponerte hele det operasjonelle miljøet for forskerne.

Hvordan det autonome angrepet fungerte

Aktøren, som opererer under aliasene "knaithe" og "KnYuan", distribuerte DeepSeek i det åpenkildebaserte rammeverket Hermes Agent. Kommandoer ble sendt via Telegram, hvorpå systemet ble overlatt til å operere uten videre menneskelig inngripen. Agenten kartla uavhengig internetteksponerte mål ved hjelp av søkemotoren FOFA, lastet ned offentlig utnyttelseskode fra GitHub og forsøkte angrep uten kontinuerlig tilsyn.thehackernews+1

I en gjenopprettet sesjon fra mai 2026 rettet agenten seg først mot en sårbarhet i Langflow (CVE-2026-33017), men ga opp etter å ha konstatert at alle 84 identifiserte instanser manglet nødvendig konfigurasjon for utnyttelse. Den undersøkte deretter autonomt 10 produktfamilier, søkte på GitHub etter populære proof-of-concept-utnyttelser, og skiftet fokus til n8n arbeidsflyt-automatiseringsprogramvare, med mål om å kombinere CVE-2026-21858 og CVE-2025-68613. Til tross for at over 25 000 eksponerte n8n-instanser ble funnet i Kina, krevde alle autentisering, og ingen kompromittering ble oppnådd gjennom den autonome arbeidsflyten.unit42.paloaltonetworks+1

Separate manuelle kampanjer fra samme aktør bekreftet dataeksfiltrering fra tre organisasjoner via en sårbarhet i Citrix NetScaler (CVE-2026-3055), inkludert vedvarende målretting mot en malaysisk statlig enhet over flere dager.unit42.paloaltonetworks

Valg av AI-modell og operasjonell sikkerhet

Utover DeepSeek konfigurerte aktøren flere kinesiske språkmodeller, inkludert Qwen, GLM, Kimi og MiniMax. Begrenset bruk av vestlige verktøy, som Claude Code for tilkoblingstesting og spor av Codex i utviklingsmapper, ble også observert. Aktøren rutet vestlige verktøy gjennom proxy-infrastruktur og deaktiverte loggfunksjoner for å redusere sporbarhet.cyberpress+1

Unit 42 bemerket at DeepSeek sannsynligvis ble valgt på grunn av minimale sikkerhetskontroller, tilgjengelig gjennom et rammeverk uten begrensninger på klientsiden. OpenAI bekreftet overfor Unit 42 at deres sikkerhetstiltak på leverandørsiden avviste forespørsler som brøt med retningslinjene, og flagget en konto som antas å være knyttet til kampanjen.unit42.paloaltonetworks

Implikasjoner for forsvarere

Ironien i saken er at automatiseringen som var designet for å skalere angrep, til slutt eksponerte hele operasjonen. Da Hermes Agent kjørte `python3 -m http.server 8888` fra angriperens arbeidsmappe, ble API-nøkler, utnyttelsesskript, mållister og sesjonslogger offentlig tilgjengelige.thehackernews+1

"Betydningen av disse funnene ligger i utviklingen snarere enn resultatet av en enkelt kampanje," skriver Unit 42. "Den tekniske terskelen for AI-støttede offensive operasjoner er lav og fortsetter å synke".unit42.paloaltonetworks

Unit 42 vurderer at operatøren er basert i Zhuhai, Kina, og beskriver dem som en opportunistisk angriper og selvutnevnt sikkerhetsforsker. Forskerne anbefaler umiddelbar patching av berørte Langflow-, n8n-, Marimo- og NetScaler-systemer, samt begrensning av unødvendig offentlig tilgang til arbeidsflyt-grensesnitt.thehackernews+1