ハッカーがDeepSeek AIを利用し、脆弱なサーバーを自律的に攻撃

中国語話者の脅威アクターが、DeepSeek AIモデルとオープンソースのHermes Agentを使用し、人間の関与をほとんど介さずにインターネット上に露出したサーバーへの自律型サイバー攻撃を行っていることが判明しました。

この活動は、Palo Alto NetworksのUnit 42の研究者らによって発見されました。Hermesが誤って自身のホームディレクトリからWebサーバーを立ち上げてしまい、APIキー、悪用スクリプト、標的リスト、シェル履歴、AI攻撃ログなど、攻撃者の環境が丸ごと露出したことがきっかけとなりました。

Unit 42は、この活動を「knaithe」および「KnYuan」というエイリアスで活動する中国拠点の脅威アクターによるものと特定しました。本人は自らを「バイナリセキュリティ研究者」と称しています。

Unit 42が観測した自律型攻撃は標的サーバーの侵害には至りませんでしたが、研究者らはこのキャンペーンが脆弱なシステムを発見・評価・攻撃する攻撃的AIワークフローの存在を示すものだと指摘しています。

「観測されたキャンペーンの影響自体は限定的だったものの、このワークフローはエンドツーエンドで機能する自律型攻撃能力の実在を裏付けている」とUnit 42は述べています。

自律攻撃に使われたDeepSeek

脅威アクターは、DeepSeekをHermes Agentの背後で動く推論エンジンとして使用していました。Hermes Agentは、OSのターミナルと対話し、コマンドを実行し、インターネットに接続できるオープンソースのAIフレームワークです。

このエージェントは「Yolo」モードをサポートしており、有効にすると、オペレーターに事前の許可を求めることなく、リスクを伴うものも含めコマンドを実行できます。

Hermesは、Telegramチャンネルからの指示を受け付け、カスタムの攻撃的セキュリティスキルを利用し、インターネット資産検索エンジンのFOFAと連携するよう設定されていました。

Unit 42は2026年5月のセッションを復元しており、そこではオペレーターが最初のタスクを与えただけで、それ以降の活動はすべてエージェントが人間からのフィードバックなしに自律的に実行したとみられます。

エージェントはまず、CVE-2026-33017の脆弱性を抱えインターネットに露出したLangflowサーバーを標的にしました。公開されている概念実証(PoC)エクスプロイトをダウンロードし、FOFAを通じて84件の露出インスタンスを特定した上で、脆弱な設定がないかスキャンしました。

利用可能な標的を悪用できないと判断すると、エージェントは他に脆弱なデバイスをスキャンできる脆弱性がないか探索を続けました。

その後DeepSeekは複数の公開エクスプロイトリポジトリを分析し、標的としてワークフロー自動化プラットフォームのn8nを選択しました。FOFAで特定されたこのプラットフォームの露出インスタンスは647,000件を超えていました。

エージェントはCVE-2026-21858とCVE-2025-68613を連結したエクスプロイトをダウンロードし、脆弱なバージョンを稼働しているサーバーを特定した上で、攻撃を完遂するために必要な未認証のファイルアップロードフォームがあるかどうかを確認しました。

しかし発見されたフォームはいずれも認証を要求するものであり、Unit 42によれば、この自律的な試みはどの標的の侵害にも至りませんでした。

Unit 42は、このキャンペーンが重要である理由として、エージェントが自律的に脆弱性を調査し、最適な標的を判断し、エクスプロイトコードをダウンロードした上で、発見した標的への攻撃を試みるという一連の作業を、通常なら何時間もかかるところをわずか数分で実行した点を挙げています。

Palo Altoは「標的の特定、サンプリング、絞り込みというこの自律的なプロセスは注目に値する。このシステムは、通常であれば何百時間もかかる手動の標的分析をわずか数分で実行しながら、同時に自身の計算リソースの管理まで行っていたからだ」と説明しています。

このAIエージェントは広範に利用されていた一方で、脅威アクターはCitrix NetScaler、Apache Tomcat、Marimo Notebook、Windows IKE VPNなどの製品に影響する脆弱性を用いて、460台を超えるシステムに対する手動攻撃も行っていました。

Unit 42は、Citrix NetScalerの脆弱性CVE-2026-3055を狙った攻撃で3件の侵害成功を確認しています。攻撃者はこの脆弱性を利用してメモリを抽出し、セッションを乗っ取るために使える認証Cookieを探索していました。

攻撃者はQwen、GLM、Kimi、MiniMax、Claude Code、OpenAIのCodexといった他のAIコーディングプラットフォームも設定していましたが、Unit 42によればこれらはあまり頻繁には使用されていませんでした。

過去のサイバー攻撃でも使用されていたHermes

今回のAIキャンペーンの発覚は、別の最近公表されたインシデントに続くものです。そのインシデントでは、セキュリティ対策が不十分だったHermesのインフラから、タイ財務省に対するとされるサイバー攻撃の詳細が露出していました。

先週、BleepingComputerは、Hunt.ioとセキュリティ研究者のBob Diachenko氏が、エクスプロイトツール、Webシェル、認証情報、コンパイル済みペイロード、Hermesの活動ログを含む公開Webディレクトリを発見したと報じました。

これらのログから、Hermesが無人の「YOLO」モードで稼働し、権限昇格の機会の探索、サービスの列挙、コンテナの調査、ファイルシステムの探索、財務省のシステムに保存された文書のカタログ化など、侵害後の活動を自動化していたことが判明しました。

ただし、この以前のインシデントでは、Hermesが標的を自ら選定したり、侵害方法を自律的に決定したりした形跡は見られませんでした。

人間のオペレーターが標的、目的、攻撃ツールを与え、Hermesはアクセス権をすでに取得した後の定型作業を自動化していたとみられます。