Специалисты Palo Alto Networks Unit 42 обнаружили операцию, в которой китаеязычный злоумышленник управлял моделью DeepSeek через открытый фреймворк Hermes Agent. Оператор отправил первоначальную команду в Telegram, после чего агент самостоятельно искал доступные из интернета системы, проверял версии программ, находил и загружал публичные эксплойты, тестировал цели и менял направление атаки. Когда один сценарий оказался бесполезен, DeepSeek выбрал другую уязвимость с учётом её опасности, распространённости продукта и вероятности успешной эксплуатации. Дополнительных команд оператора в журналах этой автономной сессии исследователи не нашли. Всего атакам подверглись более 460 целей; злоумышленник сочетал автономные действия агента с обычной ручной работой.
Оператор фигурировал под псевдонимами knaithe и KnYuan. По оценке Unit 42, он находился в городе Чжухай, Китай. В открытых источниках нашлись косвенные совпадения: профиль на GitHub содержал имя «KnYuan Knaithe», а автор старого блога с тем же псевдонимом называл себя «исследователем безопасности бинарных программ из Чжухая». Эти сведения согласуются с оценкой географического положения, но не раскрывают юридическое имя человека. Доказательств его связи с властями Китая или любым другим государством Unit 42 также не получила.
Исследователи насчитали семь направлений эксплуатации и восемь идентификаторов CVE. CVE оказалось больше, чем направлений, поскольку цепочка атаки на n8n объединяла сразу две ошибки. В опубликованных материалах названы пять уязвимостей: внедрение кода в Langflow CVE-2026-33017, неаутентифицированный доступ к файлам n8n CVE-2026-21858, внедрение выражений n8n CVE-2025-68613, чтение лишних областей памяти NetScaler CVE-2026-3055 и выполнение команд в Marimo CVE-2026-39987. Идентификаторы остальных трёх CVE и полное описание всех семи направлений в доступном тексте отсутствуют.
DeepSeek служил основной моделью рассуждения внутри Hermes Agent. Фреймворк предоставлял ему терминал, повторно используемые навыки и возможность выполнять задачи без постоянного контроля. Документация Hermes Agent прямо предусматривает управление через Telegram, запуск команд и работу по расписанию. Unit 42 также обнаружила следы ограниченного применения Claude Code и Qwen Code. В каталогах, где разрабатывались эксплойты, имелись признаки возможной работы с Codex, однако подтвердить её исследователи не смогли: соответствующие журналы чатов не сохранились. Получив терминальный доступ, DeepSeek принимал решения о разведке, подборе целей, проверке версий, поиске эксплойтов и переходе между уязвимостями.
Сам злоумышленник оставил исследователям довольно щедрую улику. Hermes Agent запустил из каталога /home/worker команду python3 -m http.server 8888, создав незапланированный HTTP-сервер. Через него оказались доступны конфигурации моделей, ключи интерфейсов программирования приложений API, сценарии эксплуатации, перечни целей, история команд оболочки и журналы автономных сеансов. Эта ошибка позволила Unit 42 восстановить заметную часть операции, включая сессию за май 2026 года. В ней хорошо видно, что агент не ограничивался генерацией кода: он последовательно проверял гипотезы и сам отбрасывал неработающие варианты.
Первой целью майской сессии стал Langflow, конструктор агентов искусственного интеллекта и рабочих процессов. DeepSeek загрузил публичный эксплойт для ошибки внедрения кода CVE-2026-33017, затем с помощью поисковой системы FOFA нашёл 84 экземпляра Langflow. Один из них работал на версии 1.3.4. Агент проверил условия эксплуатации, но атака остановилась: на цели не был включён параметр auto_login и отсутствовал пригодный публичный идентификатор потока. В описанной автономной попытке ни одна система Langflow не была скомпрометирована. Разработчики закрыли CVE-2026-33017 в Langflow 1.9.0.
Отказавшись от Langflow, агент изучил 10 семейств продуктов и просмотрел на GitHub свежие репозитории с доказательствами работоспособности уязвимостей. Следующей целью стала платформа автоматизации n8n. DeepSeek нашёл цепочку из CVE-2026-21858, позволявшей без аутентификации обращаться к файлам, и CVE-2025-68613, связанной с внедрением выражений. FOFA показала 25 209 систем n8n в Китае. Агент отобрал примерно 100 систем, проверил около 40 и обнаружил три с уязвимыми версиями. На одной цели имелись три конечные точки форм, но каждая требовала входа в систему; ещё более 50 целей не имели пригодной публичной формы. Цепочка снова не дала компрометации.
CVE-2026-21858 исправлена в n8n 1.121.0. Для CVE-2025-68613 разработчики выпустили версии 1.120.4, 1.121.1 и 1.122.0. Тем, кто закрывает обе ошибки одной установкой, нужна как минимум n8n 1.121.1: это самая ранняя версия, устраняющая обе части использованной цепочки. Неудача атак объяснялась не осторожностью агента и не отсутствием подходящего кода, а конкретной конфигурацией доступных систем. Эксплойтам требовались открытые потоки или формы без аутентификации, которых на проверенных целях не оказалось.
Отдельно Unit 42 описала ручные либо обычные сценарии эксплуатации. Через CVE-2026-3055 в управляемых клиентами устройствах NetScaler ADC и NetScaler Gateway, по данным отчёта, были выведены сведения из трёх организаций. Ошибка позволяла читать память за предусмотренными границами. Уязвимость выполнения команд CVE-2026-39987 сработала на 11 экземплярах Marimo; исправление вошло в Marimo 0.23.0. При этом далее Unit 42 заявила, что смогла подтвердить лишь три успешно взломанные цели за всю операцию. Число не согласуется с сообщениями о трёх пострадавших организациях и выполнении команд на 11 системах Marimo. The Hacker News запросило разъяснение у Palo Alto Networks и сообщило, что обновит публикацию после получения ответа.
По данным Citrix, CVE-2026-3055 затрагивает клиентские NetScaler ADC и NetScaler Gateway, настроенные как поставщики удостоверений Security Assertion Markup Language, SAML. Проверить наличие такой конфигурации можно поиском строки add authentication samlIdPProfile.. Точные номера исправленных сборок в рассмотренных материалах не приведены, поэтому администраторам следует сверяться с бюллетенем безопасности Citrix. Доступные из интернета Langflow нужно обновить до версии 1.9.0 или новее, n8n — как минимум до 1.121.1 при защите от обеих ошибок цепочки, Marimo — до 0.23.0. Лишний публичный доступ к интерфейсам рабочих процессов и блокнотов лучше убрать, отдельно проверив, не опубликованы ли без аутентификации формы, потоки, блокноты и административные функции.[/final]
Оператор фигурировал под псевдонимами knaithe и KnYuan. По оценке Unit 42, он находился в городе Чжухай, Китай. В открытых источниках нашлись косвенные совпадения: профиль на GitHub содержал имя «KnYuan Knaithe», а автор старого блога с тем же псевдонимом называл себя «исследователем безопасности бинарных программ из Чжухая». Эти сведения согласуются с оценкой географического положения, но не раскрывают юридическое имя человека. Доказательств его связи с властями Китая или любым другим государством Unit 42 также не получила.
Исследователи насчитали семь направлений эксплуатации и восемь идентификаторов CVE. CVE оказалось больше, чем направлений, поскольку цепочка атаки на n8n объединяла сразу две ошибки. В опубликованных материалах названы пять уязвимостей: внедрение кода в Langflow CVE-2026-33017, неаутентифицированный доступ к файлам n8n CVE-2026-21858, внедрение выражений n8n CVE-2025-68613, чтение лишних областей памяти NetScaler CVE-2026-3055 и выполнение команд в Marimo CVE-2026-39987. Идентификаторы остальных трёх CVE и полное описание всех семи направлений в доступном тексте отсутствуют.
DeepSeek служил основной моделью рассуждения внутри Hermes Agent. Фреймворк предоставлял ему терминал, повторно используемые навыки и возможность выполнять задачи без постоянного контроля. Документация Hermes Agent прямо предусматривает управление через Telegram, запуск команд и работу по расписанию. Unit 42 также обнаружила следы ограниченного применения Claude Code и Qwen Code. В каталогах, где разрабатывались эксплойты, имелись признаки возможной работы с Codex, однако подтвердить её исследователи не смогли: соответствующие журналы чатов не сохранились. Получив терминальный доступ, DeepSeek принимал решения о разведке, подборе целей, проверке версий, поиске эксплойтов и переходе между уязвимостями.
Сам злоумышленник оставил исследователям довольно щедрую улику. Hermes Agent запустил из каталога /home/worker команду python3 -m http.server 8888, создав незапланированный HTTP-сервер. Через него оказались доступны конфигурации моделей, ключи интерфейсов программирования приложений API, сценарии эксплуатации, перечни целей, история команд оболочки и журналы автономных сеансов. Эта ошибка позволила Unit 42 восстановить заметную часть операции, включая сессию за май 2026 года. В ней хорошо видно, что агент не ограничивался генерацией кода: он последовательно проверял гипотезы и сам отбрасывал неработающие варианты.
Первой целью майской сессии стал Langflow, конструктор агентов искусственного интеллекта и рабочих процессов. DeepSeek загрузил публичный эксплойт для ошибки внедрения кода CVE-2026-33017, затем с помощью поисковой системы FOFA нашёл 84 экземпляра Langflow. Один из них работал на версии 1.3.4. Агент проверил условия эксплуатации, но атака остановилась: на цели не был включён параметр auto_login и отсутствовал пригодный публичный идентификатор потока. В описанной автономной попытке ни одна система Langflow не была скомпрометирована. Разработчики закрыли CVE-2026-33017 в Langflow 1.9.0.
Отказавшись от Langflow, агент изучил 10 семейств продуктов и просмотрел на GitHub свежие репозитории с доказательствами работоспособности уязвимостей. Следующей целью стала платформа автоматизации n8n. DeepSeek нашёл цепочку из CVE-2026-21858, позволявшей без аутентификации обращаться к файлам, и CVE-2025-68613, связанной с внедрением выражений. FOFA показала 25 209 систем n8n в Китае. Агент отобрал примерно 100 систем, проверил около 40 и обнаружил три с уязвимыми версиями. На одной цели имелись три конечные точки форм, но каждая требовала входа в систему; ещё более 50 целей не имели пригодной публичной формы. Цепочка снова не дала компрометации.
CVE-2026-21858 исправлена в n8n 1.121.0. Для CVE-2025-68613 разработчики выпустили версии 1.120.4, 1.121.1 и 1.122.0. Тем, кто закрывает обе ошибки одной установкой, нужна как минимум n8n 1.121.1: это самая ранняя версия, устраняющая обе части использованной цепочки. Неудача атак объяснялась не осторожностью агента и не отсутствием подходящего кода, а конкретной конфигурацией доступных систем. Эксплойтам требовались открытые потоки или формы без аутентификации, которых на проверенных целях не оказалось.
Отдельно Unit 42 описала ручные либо обычные сценарии эксплуатации. Через CVE-2026-3055 в управляемых клиентами устройствах NetScaler ADC и NetScaler Gateway, по данным отчёта, были выведены сведения из трёх организаций. Ошибка позволяла читать память за предусмотренными границами. Уязвимость выполнения команд CVE-2026-39987 сработала на 11 экземплярах Marimo; исправление вошло в Marimo 0.23.0. При этом далее Unit 42 заявила, что смогла подтвердить лишь три успешно взломанные цели за всю операцию. Число не согласуется с сообщениями о трёх пострадавших организациях и выполнении команд на 11 системах Marimo. The Hacker News запросило разъяснение у Palo Alto Networks и сообщило, что обновит публикацию после получения ответа.
По данным Citrix, CVE-2026-3055 затрагивает клиентские NetScaler ADC и NetScaler Gateway, настроенные как поставщики удостоверений Security Assertion Markup Language, SAML. Проверить наличие такой конфигурации можно поиском строки add authentication samlIdPProfile.. Точные номера исправленных сборок в рассмотренных материалах не приведены, поэтому администраторам следует сверяться с бюллетенем безопасности Citrix. Доступные из интернета Langflow нужно обновить до версии 1.9.0 или новее, n8n — как минимум до 1.121.1 при защите от обеих ошибок цепочки, Marimo — до 0.23.0. Лишний публичный доступ к интерфейсам рабочих процессов и блокнотов лучше убрать, отдельно проверив, не опубликованы ли без аутентификации формы, потоки, блокноты и административные функции.[/final]
