Unit 42 : la boucle d'attaque autonome est viable, et chaque succès confirmé était manuel

Le 30 juillet 2026, l'Unité 42 de Palo Alto Networks a publié une enquête sur un opérateur sinophone qui avait intégré un modèle de langage dans la boucle d'attaque elle-même : DeepSeek exécuté dans Hermes Agent, un agent de terminal open source de Nous Research, recevant des instructions via Telegram. L'opérateur a tenté de cibler plus de 460 cibles et a maintenu des outils d'exploitation pour sept pistes de vulnérabilité couvrant huit identifiants CVE. Presque rien de ce que la machine a fait sans assistance n'a abouti à une compromission — les deux tentatives d'exploitation autonomes ont échoué sur des prérequis que les cibles avaient déjà désactivés. Ce qu'une personne a piloté a bel et bien eu un impact : des données de mémoire exfiltrées de trois déploiements Citrix NetScaler, une exécution de commandes confirmée sur onze instances de notebook Marimo, et un système gouvernemental malaisien exploité pendant plusieurs jours consécutifs. Aucune victime n'est nommée dans aucun des deux rapports cités, et l'ensemble du récit a été reconstitué à partir des serveurs exposés des opérateurs eux-mêmes.Le dossier complet, avec la classification de gravité de l'archive et les sources citées, est indexé dans l'archive d'incidents Orca AI, aux côtés des entrées voisines de la même semaine.

Comment l’opération est apparue au regard

Unit 42 n’a pas détecté cette campagne. L’agent de l’opérateur lui-même l’a livrée. En réponse à une commande Telegram, Hermes Agent a démarré un serveur de fichiers HTTP — python3 -m http.server 8888 — depuis le répertoire personnel de l’acteur, /home/worker, plutôt que depuis un répertoire de préparation isolé. Un comportement par défaut a exposé l’espace de travail : configurations des outils d’IA, clés API, scripts d’exploit, listes de cibles, historique Bash et journaux des sessions autonomes de Hermes que Unit 42 allait ensuite utiliser pour reconstituer pas à pas le cycle d’attaque.

Unit 42 décrit cette exposition comme involontaire et consigne que l’acteur n’a pas été négligent ailleurs : les répertoires d’exploits ont été vidés après utilisation, et la journalisation des conversations dans Codex a été désactivée afin de limiter le stockage local des réponses. L’initiative AI Safety de la Cloud Security Alliance, qui a analysé la même divulgation le 4 août 2026, a mis en évidence un point plus incisif : l’opérateur a appliqué des techniques opérationnelles classiques, mais les paramètres par défaut de commodité du framework d’agents ont annulé cela en une seule étape — et les attaquants qui adoptent des frameworks d’agents héritent de leurs paramètres par défaut en même temps que de leurs capacités.

Qui est l’opérateur, au vu des éléments disponibles

Unit 42 ne nomme l’acteur que par ses pseudonymes : knaithe et KnYuan. L’évaluation de Zhuhai repose sur l’activité GitHub, en particulier la maintenance par l’acteur de 1DayNews, un pipeline automatisé de renseignement sur les vulnérabilités qui agrège les divulgations de vulnérabilités d’exécution de code à distance provenant de 17 sources, principalement des fournisseurs de solutions de sécurité du périmètre réseau, utilise DeepSeek pour les filtrer selon leur exploitabilité et diffuse des alertes via Telegram. Dans une interview accordée à Infosecurity Magazine le 31 juillet 2026, Andy Piazza, directeur principal du renseignement sur les menaces chez Unit 42, a décrit la même personne comme « un opérateur d’exploits opportuniste et un chercheur en sécurité binaire autoproclamé ».

Aucun des deux rapports cités n’allègue de parrainage étatique. La note de la CSA indique que la divulgation ne relève aucun indicateur de parrainage étatique et interprète les ressources et la portée comme compatibles avec une seule personne assemblant un workflow offensif à partir d’un modèle de raisonnement standard et d’un framework d’agent librement disponible. Infosecurity Magazine rapporte que les cibles de la campagne s’étendaient sur trois pays, dont la Chine et la Malaisie.

La moitié autonome : deux produits, deux échecs

Unit 42 a récupéré une session complète de Hermes Agent, datée de mai 2026, et n’a pas pu récupérer de saisie de l’opérateur au-delà de la tâche initiale. Ce que montrent les journaux, c’est un agent qui choisit ses propres cibles et les abandonne, sans instruction.

Tout a commencé avec Langflow et CVE-2026-33017, CVSS 9.8. Il a téléchargé la preuve de concept publique depuis GitHub, énuméré 84 instances Langflow via le moteur de recherche d’actifs chinois FOFA avec la requête title="Langflow", et en a trouvé une exécutant une version vulnérable, 1.3.4. La tentative a échoué car la faille nécessite soit auto_login activé, soit un ID de flux public, et la cible ne possédait ni l’un ni l’autre. Le verdict de l’agent lui-même, cité dans le rapport : « Les trois Langflow ont besoin d’un ID de flux public, mais auto_login n’est pas activé — bloqué. Déploiements de petite taille (84 actifs), probablement 0 exploitable. Chercher des vulnérabilités à plus grande échelle. »

Il a ensuite fait ce que sa mission ne demandait pas. Il a relevé le nombre de déploiements pour dix familles de produits sur FOFA, recherché sur GitHub les dépôts de preuves de concept de CVE 2026 les plus populaires, triés par nombre d’étoiles, et classé les candidats selon la gravité, l’empreinte et l’exploitabilité avant de retenir n8n — justifié dans le journal par les 258 étoiles de la preuve de concept et sa note CVSS de 10,0. Selon FOFA, n8n compte 647 017 instances dans le monde, dont 25 209 en Chine.

La chaîne n8n comprenait CVE-2026-21858, une lecture arbitraire de fichiers avec un score CVSS de 10.0, corrigée dans la version 1.121.0, ainsi que CVE-2025-68613, un contournement de sandbox menant à l’exécution de code à distance avec un score CVSS de 9.9, corrigé dans la version 1.120.4. L’agent a vérifié lui-même les plages de versions — « CVE indique une correction dans 1.121.0 pour l’AFR et dans 1.120.4+ pour la RCE. Donc v1.117.3 est vulnérable aux deux ! » — puis a échantillonné environ 100 adresses sur les 25 209, en a sondé environ 40 et a trouvé trois versions vulnérables en cours d’exécution : 1.18.0, 1.117.3 et 1.108.2.

Les trois ont échoué pour la même raison. L'exploit nécessite un formulaire non authentifié avec téléversement de fichier, et les formulaires qu'il a atteints exigeaient une authentification. L'agent l'a indiqué dans le journal — « Ces formulaires ont l'authentification activée. Laissez-moi vérifier d'autres cibles » — a scanné plus de 50 autres cibles chinoises, n'a trouvé aucun formulaire accessible publiquement, et s'est arrêté. La session récupérée se termine là. Unit 42 ne consigne aucune exploitation provenant de la piste autonome.

Où le préjudice s’est réellement produit

Chaque impact confirmé dans le dossier provenait de la piste manuelle, menée selon des workflows conventionnels : énumération FOFA, scanners Python sur mesure et exploitation directe.

• Citrix NetScaler ADC et Gateway, CVE-2026-3055, CVSS 9.8 — données exfiltrées de trois organisations. Unit 42 indique que ces trois attaques réussies ont extrait des données de mémoire via la lecture hors limites, puis que l’acteur a parcouru le contenu dérobé à la recherche des cookies d’authentification NetScaler (NSC_AAAC=), ce qui suggère un détournement de session plutôt qu’un vol pour le vol.

• Une entité gouvernementale en Malaisie — ciblée de manière persistante et exploitée pendant plusieurs jours, avec ce que Unit 42 appelle des paramètres de « memory grooming » et un nombre maximal de tentatives de lecture, et avec une anonymisation par proxy ajoutée lors des visites suivantes. Il s’agit de la seule cible que le rapport considère comme témoignant d’une intention allant au-delà de l’opportunisme.

• Notebooks Marimo, CVE-2026-39987, CVSS 9.8 — exécution de commandes confirmée sur 11 instances.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — tentatives de reverse shell contre neuf serveurs.

• VPN IKE Windows, CVE-2026-33824, CVSS 9.8 — des callbacks de reverse shell visant trois points de terminaison.

• PAN-OS User-ID Authentication Portal, CVE-2026-0300, CVSS 9.8 — une preuve de concept de recherche publique clonée et jamais exécutée. Unit 42 a constaté que le code était non fonctionnel, avec des valeurs de remplacement qui ne permettent pas l’exécution.

Deux limites comptent. Les victimes ne sont pas nommées, de sorte que l’identité des trois opérateurs NetScaler et de l’agence malaisienne n’est pas publique. Et Unit 42 indique avoir examiné des preuves d’exploitation par lots contre un nombre inconnu d’hôtes qui figuraient dans un fichier que l’acteur a supprimé avant l’analyse — ce qui fait du nombre confirmé un plancher, et non un total.

Ce qui est établi, et ce qui est affirmé

Le déroulement est exceptionnellement bien étayé pour un incident de ce type. Unit 42 examine les propres fichiers de configuration de l’opérateur, les journaux de session, les listes de cibles et l’historique bash ; la liste des CVE, le nombre de cibles et les modes de défaillance proviennent de ces éléments plutôt que d’inférences sur le trafic réseau.

L’attribution est plus prudente. « Chinoisophone », « basé à Zhuhai » et les identifiants knaithe et KnYuan sont des évaluations d’analystes reposant sur l’activité GitHub, un ancien blog personnel et le pipeline 1DayNews. Aucune inculpation, sanction ou déclaration gouvernementale ne les accompagne, et aucun des rapports cités ne nomme d’organisation victime.

Une allégation d’application de mesures de contrôle est de seconde main au sein même du rapport. Unit 42 rapporte que le personnel d’OpenAI a confirmé que les garde-fous côté fournisseur avaient refusé des requêtes enfreignant les politiques, et que des tentatives répétées ont amené leurs systèmes de sécurité à signaler et à désactiver un compte qu’ils estiment lié à cette campagne, avant que Unit 42 ne partage ses renseignements avec eux. Il s’agit d’un fournisseur décrivant sa propre application des mesures ; Unit 42 ne l’a pas vérifié indépendamment.

Une lacune mérite d'être clairement signalée : aucune déclaration du gouvernement malaisien, de MyCERT ou d'un autre CERT national au sujet de cette campagne n'est apparue dans les recherches effectuées pour cet article en date du 30 octobre 2026. Hunt.io, la deuxième source citée pour cet enregistrement, indique avoir notifié les organisations concernées et les CERT nationaux compétents le 6 juillet 2026 et avoir retenu la publication pendant une fenêtre de divulgation de sept jours — mais une notification ne constitue pas un compte rendu public.

Les deux rapports cités ne concordent pas au sujet de Claude Code

Ce dossier cite deux enquêtes de fournisseurs publiées à deux semaines d’intervalle, qui décrivent des répartitions d’outils différentes. Unit 42, dans un texte du 30 juillet, attribue l’exécution à Hermes Agent avec DeepSeek comme moteur de raisonnement, et considère Claude Code comme un essai. L’historique récupéré compte dix entrées réparties sur trois sessions, contenant des vérifications /model, des tests de connectivité et une demande npm install, servant à tester la connectivité et à valider le proxy. Codex montre des signes d’utilisation dans des répertoires de développement d’exploits, mais ses journaux de discussion n’ont pas été conservés ; Qwen Code a compté deux sessions. Unit 42 interprète cette dispersion comme un opérateur qui explore le marché de l’IA, en acheminant les outils occidentaux via un proxy à l’adresse code.newcli[.]com tout en appelant DeepSeek et Qwen directement via leurs points de terminaison d’API natifs.

Hunt.io, qui publiait le 14 juillet à partir d'un répertoire ouvert découvert à l'adresse 112.213.124[.]132 sur le port 8888, décrit la configuration inverse : Claude Code 2.1.165 comme moteur d'exécution au fil de sessions persistantes entre le 8 et le 12 juin 2026, avec DeepSeek-v4-pro en dessous qui effectue le raisonnement, et un fichier CLAUDE.md récupéré qui demande à Claude Code de créer, tester et itérer des pages d'hameçonnage clonées.

Les deux rapports décrivent un framework d’agent laissé en train de servir un répertoire sur le port 8888. Ils décrivent des ensembles de victimes différents : les intrusions confirmées par Hunt.io se situent en Afghanistan, en Thaïlande et à Taïwan, avec du phishing préparé contre deux organismes gouvernementaux des États-Unis ; les victimes confirmées par Unit 42 sont trois opérateurs Citrix non nommés et une entité gouvernementale malaisienne, le sondage autonome visant largement les infrastructures nationales chinoises. Aucun des deux rapports ne fait référence à l’autre, et ni l’archive ni aucun des deux fournisseurs n’a publié de réconciliation. Lus ensemble, ils étayent une conclusion, pas deux : un travail d’intrusion piloté par LLM était en cours dans l’environnement de cet opérateur en juin et juillet 2026. La place de chaque modèle dans la pile — et la question de savoir si les deux rapports décrivent un seul opérateur ou deux — n’est pas tranchée par les documents publiés.

Qu’est-ce qui a changé après

Comme l’exposition a produit les preuves, le changement le plus concret concerne l’acteur plutôt que les victimes. Unit 42 indique avoir partagé les conclusions avec les membres de la Cyber Threat Alliance, et sa page porte un cachet de mise à jour du 11 août 2026, douze jours après la publication. Pour les clients Palo Alto, elle répertorie les règles de surface d’attaque Cortex Xpanse pour les appliances Langflow, n8n et Citrix ADC exposées, ainsi qu’un ensemble de signatures Threat Prevention.

Sur les produits vulnérables, les correctifs sont antérieurs à la campagne. n8n a publié les versions 1.120.4 et 1.121.0 pour les deux failles avant la session récupérée, et l’agent a lui-même relevé ces limites de version dans les avis. La note du CSA du 4 août recommande aux opérateurs NetScaler exposés à CVE-2026-3055 de renouveler les cookies d’authentification de session NSC_AAAC et de passer en revue les sessions authentifiées à la recherche d’anomalies, car l’acteur recherchait explicitement ce cookie, et à toute personne soupçonnée d’avoir été exposée à la faille Marimo de partir du principe qu’une exécution de commandes a peut-être déjà eu lieu.

Le catalogue Known Exploited Vulnerabilities de la CISA, consulté directement le 30 octobre 2026, montre à quel point ces informations étaient publiques avant que le moindre de ces éléments ne soit signalé : CVE-2025-68613 a été ajoutée le 11 mars 2026, CVE-2026-33017 le 25 mars, CVE-2026-3055 le 30 mars, CVE-2026-39987 le 23 avril et CVE-2026-0300 le 6 mai — toutes avant la publication d’Unit 42. CVE-2026-34486 a suivi le 4 août et CVE-2026-33824 le 18 août. CVE-2026-21858, la partie « lecture de fichiers » de n8n de la chaîne autonome défaillante, n’apparaît pas du tout dans le catalogue.

Pourquoi la marge constitue le résultat

La conclusion d’Unit 42 n’est pas que la campagne a réussi, mais qu’elle a failli y parvenir. L’exploitation a été stoppée par la configuration côté cible — l’absence d’auto_login, les formulaires authentifiés — et le rapport indique que « les cibles dotées de configurations par défaut plus faibles auraient été vulnérables ». Son jugement global est que les cycles d’attaque autonomes sont opérationnellement viables et que la marge d’échec était étroite.

La lecture indépendante de CSA met en évidence la même asymétrie sous un angle différent : la reconnaissance et le triage autonomes ont été bien plus facilement mis à l’échelle que l’exploitation autonome, et les résultats confirmés et militarisables dépendaient d’un travail dirigé par des humains, superposé à la reconnaissance de l’agent. Les deux lectures portent sur la campagne d’un seul opérateur. Le dossier ne contient aucune affirmation selon laquelle une boucle autonome aurait déjà compromis un système par ses propres moyens.