Hackarens egen AI-agent avslöjade autonom cyberattack, visar Unit 42

En kinesisktalande hotaktör använde DeepSeek som resonemangsmotor för ett autonomt hackingsystem som skannade över 460 mål och lyckades kompromettera minst tre organisationer, enligt forskning publicerad av Palo Alto Networks ↗ 5.00% Unit 42 den 29 juli.unit42.paloaltonetworks

Operationen upptäcktes bara för att AI-agenten själv gjorde ett misstag genom att starta en publik filserver från angriparens arbetsmapp, vilket exponerade hela den operativa miljön för forskarna.

Hur den autonoma attacken fungerade

Aktören, som opererar under aliasen "knaithe" och "KnYuan", distribuerade DeepSeek inom det öppenkällkodade ramverket Hermes Agent. Kommandon skickades via Telegram, varpå systemet lämnades att operera utan ytterligare mänsklig inblandning. Agenten kartlade självständigt internetexponerade mål med hjälp av sökmotorn FOFA, laddade ner publik utnyttjandekod från GitHub och försökte genomföra attacker utan kontinuerlig tillsyn.thehackernews+1

I en återställd session från maj 2026 riktade agenten in sig på en sårbarhet i Langflow (CVE-2026-33017), men gav upp efter att ha konstaterat att alla 84 identifierade instanser saknade nödvändig konfiguration för utnyttjande. Den undersökte därefter autonomt 10 produktfamiljer, sökte på GitHub efter populära proof-of-concept-exploits och skiftade fokus till n8n-programvara för arbetsflödesautomatisering, med målet att kombinera CVE-2026-21858 och CVE-2025-68613. Trots att över 25 000 exponerade n8n-instanser hittades i Kina krävde alla autentisering, och inget intrång uppnåddes genom det autonoma arbetsflödet.unit42.paloaltonetworks+1

Separata manuella kampanjer från samma aktör bekräftade dataexfiltrering från tre organisationer via en sårbarhet i Citrix NetScaler (CVE-2026-3055), inklusive ihållande målriktning mot en malaysisk statlig enhet under flera dagar.unit42.paloaltonetworks

Val av AI-modell och operativ säkerhet

Utöver DeepSeek konfigurerade aktören flera kinesiska språkmodeller, inklusive Qwen, GLM, Kimi och MiniMax. Begränsad användning av västerländska verktyg, såsom Claude Code för anslutningstester och spår av Codex i utvecklingsmappar, observerades också. Aktören dirigerade västerländska verktyg genom proxy-infrastruktur och inaktiverade loggfunktioner för att minska spårbarheten.cyberpress+1

Unit 42 noterade att DeepSeek sannolikt valdes på grund av dess minimala säkerhetskontroller, tillgängliga genom ett ramverk utan begränsningar på klientsidan. OpenAI bekräftade för Unit 42 att deras säkerhetsåtgärder på leverantörssidan avvisade förfrågningar som stred mot policyn och flaggade ett konto som tros vara kopplat till kampanjen.unit42.paloaltonetworks

Implikationer för försvarare

Ironin i fallet är att automatiseringen som var designad för att skala upp attacker till slut exponerade hela operationen. När Hermes Agent körde `python3 -m http.server 8888` från angriparens arbetsmapp blev API-nycklar, utnyttjandeskript, mållistor och sessionsloggar publikt tillgängliga.thehackernews+1

"Betydelsen av dessa fynd ligger i utvecklingen snarare än resultatet av en enskild kampanj," skriver Unit 42. "Den tekniska tröskeln för AI-förstärkta offensiva operationer är låg och fortsätter att sjunka".unit42.paloaltonetworks

Unit 42 bedömer att operatören är baserad i Zhuhai, Kina, och beskriver dem som en opportunistisk angripare och självutnämnd säkerhetsforskare. Forskarna rekommenderar omedelbar patchning av berörda Langflow-, n8n-, Marimo- och NetScaler-system, samt att begränsa onödig publik åtkomst till arbetsflödesgränssnitt.thehackernews+1