Hermes Agent פעל ללא השגחה נגד משרד האוצר של תאילנד, והלוגים שלו נותרו באינטרנט.

בין 9 ל-13 ביולי 2026, חברת מודיעין האיומים Hunt.io והחוקר בוב דיאצ'נקו מצאו שלושה ספריות פתוחות בשרת סטייג'ינג בהונג קונג השייך לחדירה נגד משרד האוצר של תאילנד. 585 הקבצים ו-470 MB של חומר כללו את היומנים של Hermes Agent, מסגרת הסוכנים בקוד פתוח של Nous Research, שהורצה במצב "YOLO" עם שלב האישור האנושי מושבת. ללא השגחה, היא הפעילה בדיקות הרשאות של LinPEAS, מנתה בינאריים עם SUID וסרקה באופן רקורסיבי שורש אתר אינטרנט השייך ללשכת המזכיר הקבוע לענייני האוצר, תוך קיטלוג רשומות כוח אדם המתוארכות ל-2012. אותו מארח נשא אימפלנט Go שלא דווח בעבר, שאותו כינה המפעיל Hades. Hunt.io לא מצאה ראיות לכך שקבצים נלקחו ולא הצליחה לקבוע כיצד הפולשים חדרו לראשונה. הרשומה המלאה, מתאריך 30 ביולי 2026 ובדירוג מהימנות A, נמצאת בארכיון אירועי ה-AI לצד רשומות החדירה האחרות המונעות על ידי סוכנים בסדרה זו.

התיקיות היו על 43.246.208[.]207, מארח ב-AS132883 (TOPIDC) בהונג קונג, ו-Attack Capture של Hunt.io ארכבה אותן ב-9, 10 ו-13 ביולי: 145 קבצים, אחר כך 62, ואז 378, סך הכול 585. לכתובת ה-IP הייתה היסטוריה מתועדת כבקר ShadowPad, והיא הפעילה שרת פיקוד ושליטה של VShell בפורט 21083 כשבדקה Hunt.io. החוקרים אומרים שאין בידיהם "ראיות המאשרות או מכחישות" ש-VShell שימשה נגד המשרד. הארכיון מתארך את הרשומה ל-30 ביולי 2026; המחקר שעומד מאחוריה ישן יותר, פורסם על ידי Hunt.io ב-23 ביולי לאחר חלון חשיפה של שבעה ימים, ודווח על ידי The Record ב-27 ביולי ו-Dark Reading ב-28 ביולי.

חמשת יומני השיחות של הסוכן

בתוך התיקייה של 9 ביולי הייתה תיקייה בשם hermes-results שהכילה חמישה קבצים, שכל אחד מהם נקרא call_00_ ואחריו מחרוזת אקראית. Hunt.io מתארת אותם כרשומות של הקריאות של הסוכן עצמו ומסכמת מה כל אחת מהן החזירה. הראשון הוא הערכת הסלמת הרשאות וסריקת פגיעויות בליבת מערכת מול מארח של משרד. השני הוא הרצה שנייה של LinPEAS, שמפרטת שירותים. השלישי מפרט קובצי בינארי SUID ו-SGID באמצעות find. הרביעי מפרט מכולות ומערכות קבצים ומשובץ בשגיאות צינור שבור, ש-Hunt.io מפרשת ככך שהסוכן הפיק פלט רב ממה שהשרת היה יכול לשאת. החמישי הוא החשוב מכולם: חיפוש רקורסיבי בשורש האינטרנט המחובר למשרדו של המזכיר הקבוע, שהכיל מסמכי Office סטנדרטיים, טפסי הערכת ביצועים ורשומות כוח אדם משנת 2012.

שום דבר מזה לא הצריך אדם ליד המקלדת. לפי Hunt.io, המפעיל הפעיל את Hermes Agent "במצב לא מאויש או YOLO, תוך עקיפת בקשות אישור לפקודות שעלולות להיחשב מסוכנות". המסגרת, שפורסמה בפברואר 2026, פועלת כדימון מתמשך ושומרת זיכרון בין סשנים; YOLO היא האפשרות שמסירה את בקשות האישור. Hunt.io מדווחת שהפרויקט עבר 140,000 כוכבים ב-GitHub עד יולי 2026. הניתוח של Cloud Security Alliance את הלוגים מתאר סוכן שמעריך כל תוצאה ובוחר את הצעד הבא — תהליך עבודה שבמבט מבחוץ דומה לאופן שבו אנליסט אנושי היה ממשיך, בקצב של מכונה.

Hunt.io מקפיד לגבי מה שהלוגים מבססים. סריקת שורש הווב מראה שהסוכן מגיע לקבצי כוח אדם; היא אינה מראה שהם יוצאים. "אין ראיות לכך שהקבצים הודלפו," נאמר בדוח. סיכומו של הדוח לגבי השרת כולו הוא שהקבצים "מתארים חדירה שעדיין מתנהלת: כלים הוצבו, גישה פנימית מתרחבת, ואין סימן לכך שנתונים יצאו מהרשת, אף שהמפעיל בבירור ערך קטלוג של תוכן ווב."

העבודה שהאדם עדיין עשה

חלוקת העבודה היא הדבר המועיל ביותר בדוח. הסוכן טיפל בסיור גנרי וחזרתי — עבודה שאפשר לתסריט ואינה דורשת ידע על היעד. המפעיל סיפק את מה שהסוכן לא יכול היה לדעת: רשימת מילים לסיסמאות שנבנתה מקיצורים של מחלקות ותוכניות הפנים של המשרד, משמות מארחים פנימיים, מכתובות שאינן ניתנות לניתוב, ומסקריפטים שנכתבו סביב שירותים ספציפיים. הערת המחקר של Cloud Security Alliance, שפורסמה ב-26 ביולי, מעלה את אותה נקודה: האדם שמר על "מיומנות ייחודית ליעד" בעוד הסוכן הפעיל את החלקים הניתנים להרחבה.

הדוגמה הברורה ביותר היא שרשרת Hadoop. תיקיית 13 ביולי הכילה יותר מתריסר קבצים שכוונו אל Apache HiveServer2, ובהם hive_rce_py2.py, שפותח סוקט גולמי אל צומת פנימית בפורט 10000 ומבצע אימות עם SASL PLAIN. מצב האימות המוגדר כברירת מחדל של HiveServer2 הוא NONE, שמקבל כל פרטי התחברות ללא אימותם, והסקריפט נכתב להסתמך בדיוק על כך. לאחר מכן הוא רושם פונקציה זדונית מוגדרת על ידי משתמש של Java, ארוזה כ-HiveCmd.jar, ומעביר פקודות מעטפת דרך Hive SQL, תוך שליפת הפלט דרך WebHDFS מצומת פנימית שנייה בפורט 50070. מטען Ambari נפרד מציין DataNode פנימי של HDFS לפי שם מארח, ופוגע בשכבת הניהול ולא בנתונים.

יתר ערכת הכלים פועלת לפי אותו דפוס הכנה. סקריפטי Node.js עם הקידומת gf_ מפעילים מופע של Chrome headless דרך פרוקסי SOCKS5 כדי להגיע למסוף ניהול פנימי של GlassFish, להתחבר עם פרטי התחברות ברירת מחדל ולפרוס קובץ WAR; Hunt.io לא הצליחה לאשר שאחד משני קובצי ה-WAR נפרס. מעטפת web ב-PHP שהוסוותה כקובץ מטמון של יומן הונחה בנתיב /storage/Counter/nine/.journald-cache.php בשרת אינטרנט של המשרד. סקריפט Perl בשם mail4.pl בודק אימות SMTP מול תשתית הדואר של המשרד עם כתובות תיבות דואר מוטבעות בקוד וסיסמאות שנבנו מהטוקנים שחולצו; סקריפטי Python בשם mail_test.py ו-mail3.py עושים את אותו הדבר. קובץ טקסט בשם alf_cookie.txt מכיל נתוני סשן של Alfresco עבור כתובת פנימית של המשרד. שתי התיקיות מכילות גם קוד ניצול עבור CVE-2021-3156, גלישת ה-heap ב-sudo, CVE-2021-4034, PwnKit, ו-CVE-2017-7269, גלישת WebDAV ב-IIS 6.0, יחד עם shellcode ונתיבים שמצביעים על האינטראנט של המשרד.

אין כאן שום שיטת פעולה חדשנית. מה שהיומנים מוסיפים הוא שהמיפוי התנהל ברצף, בלי ההפסקות שמפעיל אנושי משאיר בין פקודה לפקודה — בהערת Cloud Security Alliance נטען שזיהוי שנבנה סביב פעילות בקצב הקלדה אינו מותאם לו היטב.

Hades, הוכן אך לא אושר כי פועל

ספריית 10 ביולי הייתה שרת הפצה: 62 קבצים בינאריים מהודרים של Go, PE של Windows ו-ELF של Linux, רבים מהם נקראו על שם תהליכי מערכת לגיטימיים — ctfmon, csrss, conhost ו-MicrosoftEdgeUpdate ב-Windows; kworker, multipathd ו-accounts-daemon ב-Linux. שניים נושאים את שם הפרויקט, hades_linux_amd64 ו-hades_windows_amd64. Hunt.io ניתחה דגימה אחת מכל פלטפורמה ומצאה שהן מגיעות מאותו בסיס קוד; 60 האחרים חולקים את אותו טווח גדלים ומאפייני בנייה אך לא נבדקו בנפרד.

ניתוח סטטי ודינמי מצא שליטה ופיקוד מסוג HTTPS מוסווים כמשאבי אינטרנט סטטיים: /assets/app.min.js לצורך check-in, /assets/vendor.js לצורך tasking, /assets/main.js לצורך upload. המטענים מוצפנים באמצעות AES-256-GCM תחת מפתח קבוע מראש לכל build. משתני הסביבה כוללים תאריך kill, ‏HADES_KILLDATE, ולוח שעות עבודה שגורם ל-implant לישון מחוץ לחלון מוגדר. גרסת Windows נשמרת באמצעות מפתח Run ב-Registry ומשימה מתוזמנת, מתבצעת בזיכרון באמצעות reflective loading לתוך svchost.exe שעבר hollowing, לוכדת צילומי מסך דרך GDI ומציעה פרוקסי SOCKS; גרסת Linux משתמשת במשימת cron, ב-PTY סטנדרטי ובהרצת shellcode. שתיהן תומכות בהעברת קבצים מקוטעת וניתנת להמשך.

שתי הדגימות שנותחו הצביעו על בקרים שונים: קובץ ההרצה של Windows בשם dwm_33b7.exe משדר beacon אל שרת ה-staging בפורט 443, והבינארי של Linux בשם multipathd_04d0 משדר אל 202.181.27[.]115 בפורט 12443 — המארח שאותר באמצעות טביעת האצבע של התעודה המשותפת. Hunt.io מציינת ששמות הקבצים עשויים להיות מקריים: במיתולוגיה היוונית, הרמס מוביל נשמות אל האדס.

מה שאף מקור לא קובע הוא ש-Hades פועל בתוך המשרד. ‏Hunt.io שחזרה את קובצי ההרצה משרתו של המפעיל עצמו. ההערה של Cloud Security Alliance אומרת שאף ממצא ששוחזר אינו מראה ש-Hades הגיע למכונה של המשרד, ו-Dark Reading מדווח שהמחקר לא ציין היכן הוא נפרס. ה-implant הוא יכולת שהמפעיל בנה והכין מראש, ולא שוכן מאושר על מארח של המשרד.

מי היה מאחורי זה

Hunt.io לא ציינה קבוצה בשמה. היא העריכה, ברמת ביטחון נמוכה עד בינונית, כי המפעיל דובר סינית או מכיר היטב את השפה, על סמך ארבעה אינדיקטורים: ההיסטוריה של המארח כבקר של ShadowPad, תשתית בהונג קונג, סיסמת ממשק האינטרנט של Hermes שהכילה את המילה הסינית "Leishen", שפירושה אל הרעם, ומפתח API של FOFA, שירות סיני לסיור אחר נכסי אינטרנט. תמונת מצב של הסביבה גם מתעדת את לקוח ה-SSH 103.97.0[.]57, ב-AS133073 (HK Kwaifong Group Limited), מתחבר לשרת הסטייג'ינג. דבר מזה אינו ייחוס למדינה או לאשכול בעל שם, ו-Hunt.io מציינת זאת במפורש.

שני דברים בנוגע לחדירה עצמה עדיין אינם ידועים. נתיב הגישה הראשונית הוא האחד: "שיטת הגישה הראשונית אינה ידועה", מסכם הדוח. השני הוא ההיקף. Hunt.io אומרת שעוגיות סשן פעילות, ווב-שלים שהוטמעו וגישה לרשת הפנימית מצביעים על כך שהמפעיל "הצליח לפרוץ למספר מערכות בתוך רשת MOF", אך היא גם מזהירה שערכי העוגיות לבדם אינם מוכיחים התחברות, מכיוון ש-Laravel מנפיקה אסימוני סשן ו-CSRF לכל מבקר. הפריצה היא הערכה שנבנתה מארטיפקטים, ולא מלאי מאומת של מארחים.

מה עשתה תאילנד לאחר מכן

Hunt.io מוסרת שהיא ודיאצ'נקו הודיעו ל-CERT הלאומי של תאילנד ולרשות לביטחון סייבר לאומי ב-15 ביולי 2026, וששניהם אישרו את הקבלה באותו יום; הפרסום עוכב לאחר מכן למשך שבעה ימים. לא נמצאה התראה ציבורית של ThaiCERT המתייחסת למשרד בסיקור שנבחן עבור מאמר זה.

ב-27 ביולי, היום שבו דיווח The Record על החדירה, קיימה הוועדה הלאומית לאבטחת סייבר של תאילנד את ישיבתה השנייה ב-2026 ואישרה צעדים שנועדו להתמודד עם איומים של סוכני AI. לפי התיאור של הסוכנות עצמה, הוועדה הטילה על ThaiCERT לנטר, לנתח ולעקוב אחר איומים של סוכני AI, להזהיר סוכנויות בסיכון ולתמוך בתגובה לאירועים ובפורנזיקה דיגיטלית; הטילה על CERTs המגזריים להדק בדיקות ודיווח; ואישרה צעדים פרואקטיביים, ובהם בדיקות של מערכות חשופות לאינטרנט, ניהול חשבונות בעלי הרשאות, פילוח רשת, גיבויים ובדיקות שחזור. היא גם התוותה הנחיות לשימוש בטוח, שקוף וניתן לביקורת בסוכני AI בתוך ארגונים, ותרגילים משותפים של ThaiCERT וה-CERTs המגזריים המדמים התקפות של סוכני AI. הפוסט אינו מזכיר את משרד האוצר או את Hunt.io, ו-The Record ציין כי גורמים רשמיים "לא התייחסו ישירות לחקירת Hunt.io" בעת שבחנו את הצעדים שנראו מכוונים לאיום. כל קשר סיבתי בין הישיבה לחדירה זו הוא הסקה, לא הצהרה של הסוכנות.

תאירוואט ויטאיאקורן, סגן המזכיר הכללי של הוועדה הלאומית לאבטחת סייבר, אמר לאחר הפגישה כי תאילנד "חייבת להיות מסוגלת להפיק תועלת מלאה מ-AI תוך ניהול שיטתי של הסיכונים הנלווים", דיווח The Record. משרד האוצר עצמו שתק: The Record דיווח ב-27 ביולי כי המשרד לא הכיר בפומבי באירוע ולא הגיב לבקשת תגובה, ו-Dark Reading דיווח למחרת כי הממשלה לא הגיבה. הרשומה בארכיון, מיום 30 ביולי, מתעדת את אותו הדבר.

מה מבוסס, מה מוערך ומה חסר

הארכיון מסווג את הרשומה כתקרית שהתרחשה, בחומרה קריטית, ברמת ביטחון A, ללא מחלוקת, עם נזק ממשי מתועד ותג סוג WEAPON; היא אינה מסומנת כאבן דרך. דירוג הביטחון מתאר את התיעוד, והתיעוד ישיר באופן חריג: Hunt.io ארכב את שרת ה-staging של המפעילים, ולא יומנים של קורבן. הוא אינו מתאר אימות בלתי תלוי, ובנקודה זו התיעוד דל.

• נקבע:שלושה מדריכים פתוחים במארח אחד בין 9 ל-13 ביולי, המכילים 585 קבצים ו-470 MB; חמישה יומני קריאות של Hermes המראים LinPEAS, מיפוי SUID, פירוט מכולות וסריקת שורש האתר; Hermes Agent פועל במצב YOLO; 62 בינאריים של Go כולל Hades; הסקריפט של HiveServer2 וה-UDF שלו; נתיב ה-web-shell; חומרי אישורים וסשן; אין עדות לזליגת מידע; ההתראה של Hunt.io ל-ThaiCERT ול-NCSA ב-15 ביולי, שאושרה באותו יום.

• הוערך: כי המפעיל דובר סינית, ברמת ביטחון נמוכה עד בינונית; כי מערכות מרובות של המשרד נפרצו; כי אמצעי NCSA מ-27 ביולי היו תגובה לחדירה זו.

• חסרים: נתיב הגישה הראשוני; כמה מארחים או רשומות שאליהם הגיע המפעיל; האם קובץ כלשהו יצא מהרשת; האם קיים אישור ממשרד; האם קיימת התרעה פומבית של ThaiCERT; האם קיימת בדיקה פורנזית עצמאית.

פרסום משני אחד הרחיק לכת יותר מהדוח הראשי. תקציר האבטחה בשפה הסינית של iThome מ-27 ביולי, המסכם את אותו מחקר של Hunt.io, קובע כי הפורצים נכנסו דרך מעטפת רשת PHP בשרת משרד החשוף לאינטרנט, וכי הסביבה הכילה לפחות 47 מארחים, 54.9 TB של נתונים פיננסיים ממשלתיים, 14 מסדי נתונים של Microsoft SQL, מערכות ביומטריות ושער שולחן עבודה מרוחק. אף אחד מהמספרים האלה אינו מופיע בדוח של Hunt.io, הקובע כי שיטת הגישה הראשונית אינה ידועה, ורשומת הארכיון עוקבת אחר הדוח. קוראים שראו את המספרים הגדולים יותר צריכים להתייחס אליהם כאל כאלה שאינם מגובים על ידי המקור הראשי.

דיווחים עצמאיים קיימים, אך ראיות עצמאיות לא. The Record (27 ביולי), Dark Reading (28 ביולי) ו-Cloud Security Alliance (26 ביולי) כולם נשענים על הנתונים של Hunt.io; אף אחד מהם אינו מתאר בדיקה פורנזית משל עצמו, גישה לקורבנות או ניתוח דגימות. Dark Reading מוסיף ראיון עם ראש המחקר של Hunt.io, אסטבן בורחס, שאומר שהחברה לא מצאה ראיות להדלפת נתונים ושאופרציות עתירות AI שהוא ראה משאירות יותר מאחוריהן, לא פחות. The Record מוסיף את הצהרת NCSA. ההערה של CSA מוסיפה ניתוח, ואזהרה שימושית אחת: שום ממצא ששוחזר אינו מראה את Hades על מחשב של משרד. מעבר לתוספות אלו, עובדות האירוע בסיקור מקורן באותו דוח ראשוני.

מה נאמר למגינים

ההמלצות של Hunt.io מטפלות בחלקים שיש להם תיקונים ברורים. בדקו את מצב האימות של HiveServer2 ואכפו את רשימת החסימה של UDF; בצעו ביקורת רקורסיבית על שורשי האינטרנט (web roots) לאיתור קבצי PHP בעלי שמות עם נקודה מובילה שמחקים מטמונים של המערכת; הטמיעו עדכון ל-sudo לגרסה 1.9.5p2 ואילך ובדקו את גרסאות polkit מול CVE-2021-4034; השביתו WebDAV בכל מופע IIS 6.0 שנותר, או עברו מהפלטפורמה; הגדירו התראות כאשר תהליכי שרת אינטרנט פותחים חיבורים יוצאים לפורטים פנימיים כגון 10000 או 50070; ושנו את פרטי הכניסה ברירת המחדל בקונסולות הניהול של GlassFish, תוך הגבלת הגישה לרשתות מהימנות. עבור ארגונים שמריצים מסגרות סוכנים (agent frameworks), Cloud Security Alliance מוסיפה בקרה שהייתה רלוונטית כאן: בדקו אם מצב לא־מאויש או מצב שווה-ערך ל-YOLO מופעל במקום כלשהו, והשביתו אותו אלא אם קיימת סיבה מתועדת ומאושרת מבחינת סיכון.

Hunt.io גם הפכה את התקרית לדרך לאיתור פאנלים חשופים אחרים. ממשק האינטרנט של Hermes, כך נמסר, מחזיר כותרת Server ייחודית ו-realm ייחודי של Basic-auth, ושאילתת באנר עבור HermesWebUI החזירה כ-5,900 אירועים בחודש הקודם; חיפוש אחר ספריות פתוחות המכילות את הנתיב /hermes-results/ של הסוכן החזיר 575 תוצאות. אלו ספירות מתוך מערך נתונים של ספק אחד בעת הפרסום, ולא ספירת קורבנות, והן משתנות ככל שפאנלים מופיעים ונעלמים. החלק השימושי הוא האינדיקטור: פאנלים חשופים של סוכנים וספריות הפלט שלהם ניתנים לגילוי, וכך עלתה הפעולה הזו לאור.

הארכיון אינו מסמן את הרשומה כציון דרך, והתיעוד הטכני תומך באיפוק. LinPEAS, ניצול לרעה של Hive UDF, פרטי גישה כברירת מחדל וניצול ציבורי משנת 2017 הם כלים ישנים; מה שחדש הוא איוש כוח האדם — סוכן שמבצע את המיפוי ברציפות, ומפעיל שמבצע את ההכנה הספציפית ליעד. הסידור הדו-חלקי הזה הוא מה שהלוגים מתעדים. מה שהם אינם יכולים לתעד הוא ההשפעה: עד כמה עמוק הגיע המפעיל אל תוך המשרד, מה הכילו תיקי כוח האדם, או האם משהו יצא מן הרשת. עד שהמשרד או חוקר עצמאי יענה על השאלות האלה, התיעוד מתאר חדירה מתועדת היטב שעלותה עדיין אינה ידועה.