Unit 42: El bucle de ataque autónomo es viable, y cada éxito confirmado fue manual.

El 30 de julio de 2026, Unit 42 de Palo Alto Networks publicó una investigación sobre un operador de habla china que había conectado un modelo de lenguaje al propio bucle de ataque: DeepSeek ejecutándose dentro de Hermes Agent, un agente de terminal de código abierto de Nous Research, que recibía instrucciones por Telegram. El operador intentó más de 460 objetivos y mantuvo herramientas de explotación para siete líneas de vulnerabilidad que abarcaban ocho identificadores CVE. Casi nada de lo que la máquina hizo sin ayuda produjo un compromiso: ambos intentos autónomos de explotación fracasaron por requisitos previos que los objetivos ya habían desactivado. Lo que una persona dirigió sí produjo impacto: datos de memoria exfiltrados de tres implementaciones de Citrix NetScaler, ejecución de comandos confirmada en once instancias de notebook Marimo, y un sistema del gobierno de Malasia sobre el que se trabajó durante varios días consecutivos. No se nombra a ninguna víctima en ninguno de los informes citados, y todo el relato se reconstruyó a partir de los servidores expuestos de los propios operadores. El registro completo, con la calificación de gravedad del archivo y las fuentes citadas, está indexado en el Orca AI Incident Archive, junto con las entradas vecinas de la misma semana.

Cómo la operación se hizo visible

Unit 42 no detectó esta campaña. El propio agente del operador la entregó. En respuesta a un comando de Telegram, Hermes Agent inició un servidor de archivos HTTP —python3 -m http.server 8888— desde el directorio personal del actor en /home/worker en lugar de desde un directorio de preparación aislado. Un comportamiento predeterminado expuso el espacio de trabajo: configuraciones de herramientas de IA, claves de API, scripts de explotación, listas de objetivos, historial de bash y los registros de sesión autónoma de Hermes que Unit 42 usaría después para reconstruir el ciclo de ataque paso a paso.

Unit 42 describe la exposición como no intencionada y registra que el actor no actuó con negligencia en otros aspectos: los directorios de exploits se vaciaron después de usarlos y el registro de conversaciones en Codex se desactivó para limitar el almacenamiento local de respuestas. La AI Safety Initiative de Cloud Security Alliance, que analizó la misma divulgación el 4 de agosto de 2026, formuló un punto más incisivo: el operador aplicó técnicas operativas convencionales, pero los valores predeterminados de conveniencia del framework de agentes lo echaron por tierra en un solo paso — y los atacantes que adoptan frameworks de agentes heredan sus valores predeterminados junto con sus capacidades.

Quién es el operador, según la evidencia disponible

Unit 42 identifica al actor solo por su alias: knaithe y KnYuan. La evaluación de Zhuhai se basa en la actividad en GitHub, en particular en el mantenimiento por parte del actor de 1DayNews, una canalización automatizada de inteligencia sobre vulnerabilidades que agrega divulgaciones de ejecución remota de código procedentes de 17 fuentes, en su mayoría proveedores de perímetro de red, utiliza DeepSeek para filtrarlas según su explotabilidad y distribuye alertas por Telegram. En una entrevista con Infosecurity Magazine el 31 de julio de 2026, Andy Piazza, director sénior de inteligencia sobre amenazas en Unit 42, describió al mismo individuo como "un operador de exploits oportunista y autodenominado investigador de seguridad binaria".

Nada en ninguno de los dos informes citados alega patrocinio estatal. La nota de CSA señala que la divulgación no identifica ningún indicador de patrocinio estatal, y considera que los recursos y el alcance concuerdan con una sola persona que arma un flujo de trabajo ofensivo a partir de un modelo de razonamiento de uso común y un framework de agentes disponible gratuitamente. Infosecurity Magazine informa que los objetivos de la campaña abarcaron tres países, incluidos China y Malasia.

La mitad autónoma: dos productos, dos fracasos

Unit 42 recuperó una sesión completa de Hermes Agent, fechada en mayo de 2026, y no pudo recuperar la entrada del operador más allá de la tarea inicial. Lo que muestran los registros es un agente que elige sus propios objetivos y los abandona, sin instrucción.

Todo comenzó con Langflow y CVE-2026-33017, CVSS 9.8. Descargó la prueba de concepto pública de GitHub, enumeró 84 instancias de Langflow a través del motor de búsqueda de activos chino FOFA usando la consulta title="Langflow", y encontró una que ejecutaba una compilación vulnerable, 1.3.4. El intento falló porque la falla requiere que auto_login esté habilitado o un flow ID público, y el objetivo no tenía ninguno de los dos. El veredicto del propio agente, citado en el informe: «Los tres Langflow necesitan un flow ID público pero no auto_login — atascado. Despliegues pequeños (84 activos), explotables probablemente 0. Buscar vulnerabilidades a mayor escala.»

A continuación, hizo lo que su encargo no le había pedido. Revisó los recuentos de despliegues de diez familias de productos en FOFA, buscó en GitHub repositorios en tendencia de pruebas de concepto de CVE de 2026 ordenados por estrellas y clasificó los candidatos por gravedad, huella y explotabilidad antes de decantarse por n8n, decisión justificada en el registro por las 258 estrellas y el CVSS 10,0 de la prueba de concepto. FOFA situó a n8n en 647.017 instancias en todo el mundo, 25.209 de ellas en China.

La cadena de n8n era CVE-2026-21858, lectura arbitraria de archivos con CVSS 10.0 y corregida en 1.121.0, más CVE-2025-68613, una omisión del sandbox hacia ejecución remota de código con CVSS 9.9 y corregida en 1.120.4. El agente comprobó por sí mismo los rangos de versiones — «CVE dice corregido en 1.121.0 para AFR y 1.120.4+ para RCE. Así que v1.117.3 es vulnerable a ambos» — luego muestreó aproximadamente 100 direcciones de las 25.209, sondeó unas 40 de ellas y encontró tres que ejecutaban versiones vulnerables: 1.18.0, 1.117.3 y 1.108.2.

Los tres fallaron por la misma razón. El exploit necesita un formulario sin autenticación que permita la carga de archivos, y los formularios a los que llegó requerían autenticación. El agente lo dijo en el registro: «Estos formularios tienen la autenticación habilitada. Déjame revisar otros objetivos», escaneó más de 50 objetivos chineses adicionales, no encontró formularios accesibles públicamente y se detuvo. La sesión recuperada termina ahí. Unit 42 no registra ninguna explotación por parte de la pista autónoma.

Dónde recayó realmente el daño

Todos los impactos confirmados en el registro provinieron del track manual, ejecutado con flujos de trabajo convencionales: enumeración con FOFA, escáneres personalizados en Python y explotación directa.

• Citrix NetScaler ADC and Gateway, CVE-2026-3055, CVSS 9.8 — datos exfiltrados de tres organizaciones. Unit 42 afirma que las tres intrusiones exitosas extrajeron datos de memoria mediante la lectura fuera de límites, y que el actor luego buscó en el contenido robado cookies de autenticación de NetScaler (NSC_AAAC=), lo que apunta a secuestro de sesión más que a un robo por sí mismo.

• Una entidad gubernamental en Malasia — atacada de forma persistente y explotada durante varios días, con lo que Unit 42 denomina parámetros de preparación de memoria y máximos intentos de lectura, y con anonimización mediante proxy añadida en visitas posteriores. Este es el único objetivo que el informe considera que muestra intención más allá de la oportunidad.

• Cuadernos Marimo, CVE-2026-39987, CVSS 9.8 — ejecución de comandos confirmada en 11 instancias.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — intentos de reverse shell contra nueve servidores.

• VPN IKE de Windows, CVE-2026-33824, CVSS 9.8 — retrollamadas de shell inverso dirigidas a tres extremos.

• Portal de autenticación User-ID de PAN-OS, CVE-2026-0300, CVSS 9.8 — una prueba de concepto de investigación pública clonada y nunca ejecutada. Unit 42 descubrió que el código no es funcional, con valores de marcador de posición que no pueden lograr la ejecución.

Dos límites importan. Las víctimas no son nombradas, por lo que la identidad de los tres operadores de NetScaler y de la agencia malasia no es pública. Y Unit 42 afirma que revisó pruebas de explotación por lotes contra un número desconocido de hosts que aparecieron en un archivo que el actor eliminó antes del análisis, lo que hace que el recuento confirmado sea un mínimo, no un total.

Lo que está establecido y lo que se afirma

Los detalles están inusualmente bien respaldados por evidencia para un incidente de este tipo. Unit 42 está leyendo los propios archivos de configuración del operador, los registros de sesión, las listas de objetivos y el historial de bash; la lista de CVE, los recuentos de objetivos y los modos de fallo provienen de ese material y no de inferencias sobre el tráfico de red.

La atribución es más suave. «De habla china», «radicado en Zhuhai» y los nombres de usuario knaithe y KnYuan son evaluaciones de analistas basadas en la actividad en GitHub, un blog personal antiguo y la canalización de 1DayNews. No hay cargos, sanciones ni declaración gubernamental que los acompañen, y ninguno de los informes citados nombra a una organización víctima.

Una afirmación sobre la aplicación de normas es de segunda mano dentro del propio informe. Unit 42 relata que el personal de OpenAI confirmó que las salvaguardas del lado del proveedor rechazaron solicitudes que violaban la política, y que los intentos continuos llevaron a que sus sistemas de seguridad marcaran y deshabilitaran una cuenta que creen que está vinculada a esta campaña, antes de que Unit 42 compartiera su inteligencia con ellos. Eso es un proveedor que describe su propia aplicación de normas; Unit 42 no lo verificó de forma independiente.

Merece la pena señalar claramente una laguna: ninguna declaración del Gobierno malasio, de MyCERT ni de otro CERT nacional sobre esta campaña apareció en las búsquedas realizadas para este artículo a fecha de 30 de octubre de 2026. Hunt.io, la segunda fuente citada para este registro, afirma que notificó a las organizaciones afectadas y a los CERT nacionales pertinentes el 6 de julio de 2026 y retuvo la publicación durante una ventana de divulgación de siete días, pero una notificación no es una declaración pública.

Los dos informes citados no coinciden en cuanto a Claude Code.

Este registro cita dos investigaciones de proveedores publicadas con dos semanas de diferencia, y en ellas se describen distintos repartos de herramientas. Unit 42, en un texto del 30 de julio, asigna la ejecución a Hermes Agent con DeepSeek como motor de razonamiento, y considera Claude Code como una prueba. El historial recuperado consta de diez entradas distribuidas en tres sesiones que contienen comprobaciones de /model, pruebas de conectividad y una solicitud de instalación con npm, utilizadas para probar la conectividad y validar el proxy. Codex muestra indicios de uso en directorios de desarrollo de exploits, pero sus registros de chat no se conservaron; Qwen Code tuvo dos sesiones. Unit 42 interpreta esta dispersión como la de un operador que está comparando opciones en el mercado de la IA, encaminando las herramientas occidentales a través de un proxy en code.newcli[.]com mientras llama directamente a DeepSeek y Qwen mediante sus endpoints nativos de API.

Hunt.io, que publicó el 14 de julio desde un directorio abierto que encontró en 112.213.124[.]132 en el puerto 8888, describe la disposición opuesta: Claude Code 2.1.165 como motor de ejecución a lo largo de sesiones persistentes entre el 8 y el 12 de junio de 2026, con DeepSeek-v4-pro por debajo realizando el razonamiento, y un archivo CLAUDE.md recuperado que instruye a Claude Code a crear, probar e iterar páginas de phishing clonadas.

Ambos informes describen un framework de agentes que quedó sirviendo un directorio en el puerto 8888. Describen conjuntos de víctimas diferentes: las intrusiones confirmadas por Hunt.io están en Afganistán, Tailandia y Taiwán, con phishing montado contra dos organismos gubernamentales de Estados Unidos; las víctimas confirmadas por Unit 42 son tres operadores de Citrix no identificados y una entidad gubernamental de Malasia, con el sondeo autónomo dirigido en gran medida a la infraestructura interna de China. Ninguno de los informes hace referencia cruzada al otro, y ni el archivo ni ninguno de los dos proveedores ha publicado una reconciliación. Leídos en conjunto, respaldan una sola conclusión, no dos: en junio y julio de 2026, había trabajo de intrusión impulsado por LLM ejecutándose dentro del entorno de este operador. Qué modelo ocupaba qué posición en la pila —y si los dos informes describen a un operador o a dos— no queda resuelto por el registro publicado.

¿Qué cambió después?

Como la exposición produjo la evidencia, el cambio más concreto concierne al actor y no a las víctimas. Unit 42 afirma que compartió los hallazgos con los miembros de Cyber Threat Alliance, y su página lleva un sello de actualización del 11 de agosto de 2026, doce días después de la publicación. Para los clientes de Palo Alto, enumera reglas de superficie de ataque de Cortex Xpanse para appliances Langflow, n8n y Citrix ADC expuestos, además de un conjunto de firmas de Threat Prevention.

En los productos vulnerables, las correcciones son anteriores a la campaña. n8n publicó las versiones 1.120.4 y 1.121.0 para las dos vulnerabilidades antes de la sesión recuperada, y el agente leyó esos límites de versión directamente en los avisos. La nota de CSA del 4 de agosto recomienda que los operadores de NetScaler expuestos a CVE-2026-3055 roten las cookies de autenticación de sesión NSC_AAAC y revisen las sesiones autenticadas en busca de anomalías, ya que el actor buscaba explícitamente esa cookie, y que cualquiera con sospecha de exposición a la vulnerabilidad de Marimo asuma que la ejecución de comandos puede haber ocurrido ya.

El catálogo Known Exploited Vulnerabilities de CISA, consultado directamente el 30 de octubre de 2026, muestra hasta qué punto este material era público antes de que se informara sobre cualquiera de estas vulnerabilidades: CVE-2025-68613 se añadió el 11 de marzo de 2026, CVE-2026-33017 el 25 de marzo, CVE-2026-3055 el 30 de marzo, CVE-2026-39987 el 23 de abril y CVE-2026-0300 el 6 de mayo, todo ello antes de que Unit 42 publicara. CVE-2026-34486 le siguió el 4 de agosto y CVE-2026-33824 el 18 de agosto. CVE-2026-21858, la parte de lectura de archivos de n8n de la cadena autónoma fallida, no aparece en absoluto en el catálogo.

Por qué el margen es el hallazgo

La conclusión de Unit 42 no es que la campaña haya tenido éxito, sino que estuvo cerca de lograrlo. La explotación se detuvo por la configuración del lado del objetivo —la ausencia de auto_login, los formularios autenticados—, y el informe afirma que «los objetivos con configuraciones predeterminadas más débiles habrían sido susceptibles». Su valoración general es que los ciclos de ataque autónomos son operativamente viables y que el margen de fracaso era estrecho.

La lectura independiente de CSA señala la misma asimetría desde un ángulo diferente: el reconocimiento y el triaje autónomos escalaron con mucha más facilidad que la explotación autónoma, y los resultados confirmados y armamentizables dependían de trabajo dirigido por humanos superpuesto al reconocimiento del agente. Ambas lecturas abarcan la campaña de un solo operador. El registro no contiene ninguna afirmación de que un bucle autónomo haya tomado ya un sistema por cuenta propia.