「knaithe」「KnYuan」の別名で活動する中国の脅威アクターが、複数のLLMを使って自動化したサイバー攻撃をインターネット接続システムに対して仕掛けていたことがわかりました。人間の介入はほとんど必要としていませんでした。
Palo Alto Networks傘下のUnit 42の研究者は、この脅威アクターが使用するAIエージェントがファイルサーバーの設定を誤り、インフラ全体を意図せず露出させたことでこの活動を発見しました。
Unit 42は次のように記しています。「この可視性のおかげで、彼らのツールセット全体、複数のAIプラットフォームをどのように連携させていたか、さらには標的選定の一端まで把握することができました」
研究者らは次のように説明しています。「セッションログと設定ファイルを分析した結果、この攻撃者は攻撃フェーズにおいて主にHermes Agentを使用し、その推論エンジンとしてDeepSeekを採用していたことがわかりました。彼らのHermes Agentは自律的に脆弱性の洗い出しを行い、インターネット上から公開されているエクスプロイトコードをダウンロードし、標的への攻撃を試みていました」
Telegram経由で指示を受け取った後、このエージェントは自律的に稼働していました。FOFA検索エンジンを通じてインターネット接続システムを検索し、GitHubからエクスプロイトコードをダウンロードして、それ以上の操作者の入力を必要とせずに攻撃を仕掛けていました。
DeepSeek以外にも、この脅威アクターはQwen、GLM、Kimi、MiniMaxなど複数のLLMを利用していました。研究者らはまた、Claude CodeやCodexといった西側のAIツールについても限定的なテストの形跡を確認しています。Claude Codeは接続確認やプロキシテストの際にのみ使用されており、Codexについてはエクスプロイト開発用ディレクトリ内にその痕跡が見つかっています。
「この限定的な使用は、自分たちに適したツールセットを見極めるためにAI市場を評価していたことと一致しています」
AIエージェントがエクスプロイトの優先順位付けとテストを実施
復元されたあるセッションでは、AIエージェントがCVE-2026-33017として追跡されているLangflowの脆弱性を標的にしていました。この脆弱性の深刻度は9.8と評価されています。エージェントはGitHubから公開エクスプロイトをダウンロードし、FOFAを通じて84台の露出したLangflowサーバーを特定した上で、それぞれについて悪用可能性を評価しました。潜在的に脆弱と見られたのは1台のみでしたが、必要な設定が有効になっていなかったため、最終的に攻撃は失敗に終わりました。
Unit 42は次のように述べています。「エクスプロイトの試行が失敗したのは、この脆弱性の悪用にはauto_loginが有効になっているか、あるいは公開されたフローIDが必要であるにもかかわらず、標的はそのどちらも満たしていなかったためです。DeepSeekはこの製品全体を低価値の標的だと判断しました」
その後AIエージェントは公開されているエクスプロイトのリポジトリを分析し、脆弱性の深刻度と展開規模を天秤にかけた末、ワークフロー自動化プラットフォームであるn8nを選択しました。FOFAによれば、n8nは世界中で64万7,000台を超えるインターネット露出サーバー上で稼働しており、そのうち中国国内だけでも2万5,000台を超えています。
エージェントが選んだのは、2つの脆弱性を組み合わせたエクスプロイトチェーンでした。1つはCVSSスコア10.0の任意ファイル読み取りの欠陥であるCVE-2026-21858、もう1つはリモートコード実行につながるサンドボックスエスケープの脆弱性で、CVSSスコアは9.9のCVE-2025-68613です。
両方の欠陥はすでにn8nの新しいリリースで修正済みでしたが、AIエージェントはバージョン1.117.3が両方の修正よりも前のものであり、そのためこのエクスプロイトチェーンに対して脆弱であると判断しました。
研究者らは次のように指摘しています。「標的の特定、絞り込み、範囲の限定を行うこの自律的なプロセスは注目に値します。このシステムは、通常であれば数百時間規模の手作業による標的分析に相当する作業を、わずか数分でこなしながら、同時に自らの計算リソースの管理まで行っていたからです」
Hermes Agentのセッションで観測された自律型攻撃の流れ（出典: Palo Alto Networks）
これらの自律型攻撃はいずれも侵害の成功には至らなかったものの、Unit 42はこのワークフローを「機能する、エンドツーエンドの自律型攻撃能力」だと評しています。
成果を上げたのは手動による攻撃
AI主導のセッション以外にも、この脅威アクターは460台を超えるシステムに対して手動による攻撃も行っていました。標的とされた既知の脆弱性には、Citrix NetScaler、Apache Tomcat、Marimo Notebook、Windows IKE VPNなどが含まれます。
手動による攻撃のうち3件が成功しており、いずれもCitrix NetScalerアプライアンスのCVE-2026-3055を悪用したものでした。攻撃者はデバイスのメモリから直接データを抽出し、その中からアクティブなユーザーセッションを乗っ取るために利用できる認証クッキーを探し出していました。
研究者らは次のように結論付けています。「AIを活用した攻撃的な作戦に対する技術的な参入障壁は低く、しかも下がり続けています」
翻訳元: https://www.helpnetsecurity.com/2026/08/03/deepseek-ai-autonomous-cyberattacks-hermes-agent/
