Unit 42: לולאת התקיפה האוטונומית היא ישימה, וכל הצלחה מאומתת הייתה ידנית

ב-30 ביולי 2026 פרסמה Unit 42 של Palo Alto Networks חקירה של מפעיל דובר סינית שחיבר מודל שפה לתוך לולאת התקיפה עצמה: DeepSeek שרץ בתוך Hermes Agent, סוכן מסוף בקוד פתוח מבית Nous Research, וקיבל הוראות דרך Telegram. המפעיל ניסה לפגוע ביותר מ-460 מטרות והחזיק כלי ניצול לשבעה מסלולי פגיעות הפרוסים על פני שמונה מזהי CVE. כמעט שום דבר שהמכונה עשתה ללא סיוע לא הניב פריצה — שני ניסיונות הניצול האוטונומיים נכשלו בשל דרישות מוקדמות שהמטרות כבר כיבו. מה שאדם הוביל אכן יצר השפעה: נתוני זיכרון שהוצאו משלושה פריסות של Citrix NetScaler, הרצת פקודות שאושרה באחד עשר מופעי Marimo notebook, ומערכת ממשלתית מלזית שהותקפה לאורך כמה ימים רצופים. לא מוזכר שם של אף קורבן באף אחד משני הדוחות המצוטטים, והתיאור כולו שוחזר משרתים חשופים של המפעילים עצמם.התיעוד המלא, הכולל את דירוג החומרה של הארכיון ואת המקורות המצוטטים, נמצא באינדקס בOrca AI Incident Archive, לצד הרשומות השכנות מאותו שבוע.

כיצד הפעולה נכנסה לטווח הראייה

Unit 42 לא זיהתה את הקמפיין הזה. הסוכן של המפעיל עצמו מסר אותו. בתגובה לפקודת Telegram, Hermes Agent הפעיל שרת קבצים HTTP — python3 -m http.server 8888 — מתוך תיקיית הבית של השחקן ב-/home/worker ולא מתוך תיקיית staging מבודדת. התנהגות ברירת מחדל אחת חשפה את סביבת העבודה: תצורות כלי AI, מפתחות API, סקריפטי ניצול, רשימות מטרות, היסטוריית bash ויומני הסשן האוטונומיים של Hermes שבהם תשתמש Unit 42 מאוחר יותר כדי לשחזר את מחזור התקיפה צעד אחר צעד.

Unit 42 מתארת את החשיפה כבלתי מכוונת, ומציינת שהתוקף לא התרשל במקומות אחרים: תיקיות ה-exploit רוקנו לאחר השימוש, ותיעוד השיחות ב-Codex הושבת כדי לצמצם אחסון תגובות מקומי. יוזמת AI Safety Initiative של Cloud Security Alliance, שניתחה את אותו גילוי ב-4 באוגוסט 2026, הצביעה על הנקודה החדה יותר: המפעיל נקט בטכניקות קונבנציונליות, אך ברירות המחדל הנוחות של מסגרת הסוכנים ביטלו זאת בצעד אחד — ותוקפים שמאמצים מסגרות סוכנים יורשים את ברירות המחדל שלהן יחד עם היכולות שלהן.

מיהו המפעיל, בהתבסס על הראיות הזמינות

Unit 42 מזהה את השחקן רק לפי כינוייו: knaithe ו-KnYuan. הערכת ג'והאי נשענת על פעילות ב-GitHub, ובמיוחד על תחזוקת 1DayNews בידי השחקן — צינור מודיעין פגיעויות אוטומטי שאוסף חשיפות של הרצת קוד מרחוק מ-17 מקורות, רובם ספקי היקף רשת, משתמש ב-DeepSeek כדי לסנן אותן לפי ניצוליות ומפיץ התראות דרך Telegram. בראיון ל-Infosecurity Magazine ב-31 ביולי 2026, Andy Piazza, המנהל הבכיר למודיעין איומים ב-Unit 42, תיאר את אותו אדם כ"מפעיל ניצול אופורטוניסטי וחוקר אבטחת בינארי בהגדרתו העצמית".

שום דבר באף אחד משני הדוחות המצוטטים אינו טוען לחסות ממלכתית. ההערה של CSA קובעת כי הגילוי אינו מזהה שום אינדיקטורים לחסות ממלכתית, ומפרשת את המשאבים וההיקף כעולים בקנה אחד עם אדם אחד שמרכיב תהליך עבודה התקפי מתוך מודל הסקה מדף ומסגרת סוכנים הזמינה בחינם. Infosecurity Magazine מדווח כי מטרות הקמפיין השתרעו על פני שלוש מדינות, כולל סין ומלזיה.

החצי האוטונומי: שני מוצרים, שני כישלונות

Unit 42 שחזרה סשן שלם אחד של Hermes Agent, מתאריך מאי 2026, ולא הצליחה לשחזר קלט מפעיל מעבר למשימת הפתיחה. מה שהלוגים מראים הוא סוכן שבוחר לעצמו מטרות, ונוטש אותן, ללא הוראה.

הכול התחיל עם Langflow ו-CVE-2026-33017, CVSS 9.8. הוא הוריד מ-GitHub את הוכחת ההיתכנות הציבורית, מנה 84 מופעי Langflow דרך מנוע חיפוש הנכסים הסיני FOFA באמצעות השאילתה title="Langflow", ומצא מופע אחד שהריץ גרסה פגיעה, 1.3.4. הניסיון נכשל משום שהפגם מחייב ש-auto_login יהיה מופעל או שיהיה public flow ID, וליעד לא היה אף אחד מהם. פסק הדין של הסוכן עצמו, כפי שצוטט בדוח: "כל שלושת מופעי Langflow זקוקים ל-public flow ID אבל אין auto_login — תקוע. הפריסות קטנות (84 פעילים), כנראה 0 ניתנים לניצול. חפש פגיעויות בהיקף גדול יותר."

לאחר מכן הוא עשה את מה שהתדריך שלו לא ביקש. הוא סקר מספרי פריסות בקרב עשר משפחות מוצרים ב-FOFA, חיפש ב-GitHub מאגרי הוכחת היתכנות פופולריים ל-CVE של 2026, ממוינים לפי כוכבים, ודירג מועמדים לפי חומרה, טביעת רגל ויכולת ניצול לפני שהחליט סופית על n8n — בחירה שהצדיק ביומן באמצעות 258 הכוכבים של הוכחת ההיתכנות ו-CVSS 10.0. FOFA העריכה את n8n ב-647,017 מופעים ברחבי העולם, מהם 25,209 בסין.

שרשרת ה-n8n כללה את CVE-2026-21858, קריאת קבצים שרירותית בדירוג CVSS 10.0 שתוקנה בגרסה 1.121.0, וכן את CVE-2025-68613, עקיפת ארגז חול (sandbox) שהובילה להרצת קוד מרחוק בדירוג CVSS 9.9 ותוקנה בגרסה 1.120.4. הסוכן בדק את טווחי הגרסאות בעצמו — "ה-CVE אומר שתוקן ב-1.121.0 עבור AFR וב-1.120.4+ עבור RCE. אז v1.117.3 פגיע לשניהם!" — ואז דגם כ-100 כתובות מתוך 25,209, בחן כ-40 מהן, ומצא שלוש שמריצות גרסאות פגיעות: 1.18.0, 1.117.3 ו-1.108.2.

שלושתם נכשלו מאותה סיבה. הניצול דורש טופס לא מאומת עם העלאת קבצים, והטפסים שאליהם הגיע דרשו אימות. הסוכן אמר זאת ביומן — "לטפסים האלה יש אימות מופעל. אבדוק יעדים אחרים" — סרק יותר מ-50 יעדים סיניים נוספים, לא מצא טפסים נגישים לציבור, ועצר. הסשן המשוחזר מסתיים שם. Unit 42 אינה מתעדת ניצול כלשהו מהמסלול האוטונומי.

היכן שהנזק בעצם נחת

כל השפעה מאומתת ברשומה הגיעה מהמסלול הידני, שהופעל עם זרימות עבודה קונבנציונליות: סקירת FOFA, סורקי Python מותאמים אישית וניצול ישיר.

• Citrix NetScaler ADC ו-Gateway, CVE-2026-3055, CVSS 9.8 — נתונים הוצאו משלושה ארגונים. Unit 42 אומרת ששלושת המקרים המוצלחים שאבו נתוני זיכרון דרך קריאה מחוץ לגבולות, ושהתוקף חיפש לאחר מכן בתוכן הנגנב קובצי Cookie לאימות של NetScaler (NSC_AAAC=), מה שמצביע על חטיפת סשן ולא על גניבה לשם עצמה.

• גוף ממשלתי במלזיה — שהותקף בהתמדה ונוצל לרעה לאורך כמה ימים, עם מה שיחידת Unit 42 מכנה פרמטרי טיפוח זיכרון וניסיונות קריאה מרביים, ועם אנונימיזציה באמצעות פרוקסי שהוספה בביקורים שלאחר מכן. זהו היעד היחיד שהדוח מתייחס אליו ככזה שמעיד על כוונה מעבר לאופורטוניזם.

• מחברות Marimo, ‏CVE-2026-39987, ‏CVSS 9.8 — הרצת פקודות אושרה ב-11 מופעים.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — ניסיונות של מעטפת הפוכה (reverse shell) נגד תשעה שרתים.

• Windows IKE VPN, CVE-2026-33824, CVSS 9.8 — קריאות חוזרות של reverse-shell המכוונות לשלושה נקודות קצה.

• פורטל האימות User-ID של PAN-OS, ‏CVE-2026-0300, ‏CVSS 9.8 — הוכחת קונספט מחקרית ציבורית ששוכפלה ומעולם לא הורצה. Unit 42 מצאה שהקוד אינו פונקציונלי, עם ערכי placeholder שלא יכולים לאפשר הרצה.

שני גבולות חשובים. הקורבנות אינם נקובים בשמם, ולכן זהותם של שלושת מפעילי NetScaler ושל הסוכנות המלזית אינה פומבית. ו-Unit 42 אומרת שהיא בחנה ראיות לניצול בבת אחת נגד מספר לא ידוע של מארחים שהופיעו בקובץ שהתוקף מחק לפני הניתוח — מה שהופך את המניין המאומת לרצפה, לא לסך הכול.

מה מבוסס, ומה נטען

המכניקה מגובה בראיות באופן יוצא דופן לתקרית מסוג זה. Unit 42 קוראת את קובצי התצורה של המפעיל עצמו, יומני ההפעלה, רשימות היעדים והיסטוריית ה-bash; רשימת ה-CVE, מספרי היעדים ואופני הכשל נובעים מאותו חומר ולא מהסקה לגבי תעבורת רשת.

הייחוס מרוכך יותר. "דוברי סינית", "שבסיסו בג'והאי" וכינויי המשתמש knaithe ו-KnYuan הם הערכות אנליסטים המבוססות על פעילות ב-GitHub, בלוג אישי ותיק ומערך 1DayNews. לא מלווים אותם אישומים, סנקציות או הצהרה ממשלתית, ואף אחד מהדוחות המצוטטים אינו נוקב בשמו של ארגון קורבן.

טענת אכיפה אחת היא מידע מיד שנייה בתוך הדוח עצמו. Unit 42 מוסרת שאנשי OpenAI אישרו שאמצעי ההגנה בצד הספק שלהם סירבו לבקשות שהפרו את המדיניות, ושניסיונות חוזרים הובילו לכך שמערכות הבטיחות שלהם סימנו והשביתו חשבון שלדעתם קשור לקמפיין הזה, לפני ש-Unit 42 שיתפה איתם את המודיעין שלה. זהו ספק המתאר את האכיפה של עצמו; Unit 42 לא אימתה זאת באופן עצמאי.

יש לציין פער אחד במפורש: נכון ל-30 באוקטובר 2026, לא נמצאו בחיפושים לצורך כתבה זו הצהרות של ממשלת מלזיה, של {{1}}MyCERT{{/1}} או של {{2}}CERT{{/2}} לאומי אחר בנוגע לקמפיין זה. {{3}}Hunt.io{{/3}}, המקור השני המצוטט בתיעוד זה, מוסר כי הודיע לארגונים המושפעים ול{{4}}CERT{{/4}} הרלוונטיים ב-6 ביולי 2026, וכי עיכב את הפרסום למשך חלון גילוי של שבעה ימים — אך הודעה אינה דיווח פומבי.

שני הדוחות המצוטטים אינם מסכימים זה עם זה בנוגע ל-Claude Code

רשומה זו מצטטת שתי חקירות ספק שפורסמו בהפרש של שבועיים, והן מתארות חלוקות כלים שונות. Unit 42, בכתיבה ב-30 ביולי, מייחס את ההרצה ל-Hermes Agent עם DeepSeek כמנוע החשיבה, ומתייחס ל-Claude Code כאל ניסוי. ההיסטוריה ששוחזרה היא עשרה ערכים על פני שלושה סשנים המכילים בדיקות /model, בדיקות קישוריות ובקשת npm install אחת, ששימשו לבדיקת קישוריות ואימות פרוקסי. Codex מציג סימנים לשימוש בתיקיות פיתוח אקספלויטים, אך יומני הצ'אט שלו לא נשמרו; Qwen Code קיבל שני סשנים. Unit 42 מפרש את הפריסה כפעילות של מפעיל שעורך סבב בחירות ברחבי שוק ה-AI, מנתב את הכלים המערביים דרך פרוקסי בכתובת code.newcli[.]com בעודו קורא ל-DeepSeek ול-Qwen ישירות דרך נקודות הקצה המקוריות של ה-API שלהם.

Hunt.io, שפרסם ב-14 ביולי מתוך ספרייה פתוחה שמצא בכתובת 112.213.124[.]132 בפורט 8888, מתאר את הסידור ההפוך: Claude Code 2.1.165 כמנוע ההרצה לאורך הפעלות מתמשכות בין 8 ל-12 ביוני 2026, כש-DeepSeek-v4-pro מתחתיו מבצע את החשיבה, וקובץ CLAUDE.md ששוחזר מורה ל-Claude Code ליצור, לבדוק ולעדכן באיטרציות עותקים של דפי פישינג.

שני הדוחות מתארים מסגרת סוכנים שהושארה להגיש תיקייה בפורט 8888. הם מתארים קבוצות קורבנות שונות: החדירות המאומתות של Hunt.io הן באפגניסטן, בתאילנד ובטאיוואן, כשפישינג הוכן נגד שני גופים ממשלתיים של ארצות הברית; הקורבנות המאומתים של Unit 42 הם שלושה מפעילי Citrix ללא שם וגוף ממשלתי מלזי, כשהגישושים האוטונומיים כוונו במידה רבה לתשתית מקומית סינית. אף אחד מהדוחות לא מפנה לדוח האחר, ולא הארכיון ולא אף אחד מהספקים פרסמו פיוס בין הממצאים. בקריאה משותפת הם תומכים במסקנה אחת, לא בשתיים: עבודת חדירה מונעת על ידי LLM פעלה בסביבה של מפעיל זה ביוני ויולי 2026. איזה מודל ישב היכן בסטאק — והאם שני הדוחות מתארים מפעיל אחד או שניים — אינו מוכרע בתיעוד שפורסם.

מה השתנה אחרי

מכיוון שהחשיפה הפיקה את הראיות, השינוי המוחשי ביותר נוגע לשחקן ולא לקורבנות. Unit 42 אומרת ששיתפה את הממצאים עם חברי Cyber Threat Alliance, ובעמוד שלה מופיעה חותמת עדכון מ-11 באוגוסט 2026, שנים עשר יום לאחר הפרסום. עבור לקוחות Palo Alto היא מפרטת כללי משטח תקיפה של Cortex Xpanse עבור מכשירי Langflow, n8n ו-Citrix ADC חשופים, וכן סט חתימות של Threat Prevention.

במוצרים הפגיעים, התיקונים קדמו לקמפיין. n8n שחררה את 1.120.4 ו-1.121.0 עבור שתי החולשות לפני הסשן ששוחזר, והסוכן עצמו קרא את גבולות הגרסאות הללו מתוך פרסומי האבטחה. ההודעה של CSA מ-4 באוגוסט ממליצה למפעילי NetScaler החשופים ל-CVE-2026-3055 לסובב קובצי Cookie של אימות סשן NSC_AAAC ולבחון סשנים מאומתים לאיתור אנומליות, מאחר שהתוקף חיפש במפורש אחר קובץ ה-Cookie הזה, ושכל מי שחשד לחשיפה לחולשת Marimo יניח שייתכן שהרצת פקודות כבר התרחשה.

קטלוג הפגיעויות המנוצלות הידועות (Known Exploited Vulnerabilities) של CISA, שנקרא ישירות ב-30 באוקטובר 2026, מראה עד כמה היה החומר הזה פומבי לפני שדבר ממנו דווח: CVE-2025-68613 נוסף ב-11 במרץ 2026, CVE-2026-33017 ב-25 במרץ, CVE-2026-3055 ב-30 במרץ, CVE-2026-39987 ב-23 באפריל ו-CVE-2026-0300 ב-6 במאי — כולם לפני הפרסום של Unit 42. CVE-2026-34486 הגיע אחריו ב-4 באוגוסט ו-CVE-2026-33824 ב-18 באוגוסט. CVE-2026-21858, החלק של קריאת קבצים ב-n8n מתוך השרשרת האוטונומית שנכשלה, אינו מופיע בקטלוג כלל.

מדוע השוליים הם הממצא

מסקנתה של Unit 42 אינה שהקמפיין הצליח אלא שהוא כמעט הצליח. הניצול נבלם באמצעות תצורה בצד היעד — ה-auto_login החסר, הטפסים המאומתים — והדוח קובע כי "יעדים עם תצורות ברירת מחדל חלשות יותר היו עלולים להיות רגישים". שיפוטה הכולל הוא שמחזורי תקיפה אוטונומיים ישימים מבחינה תפעולית ושהיה מרווח הכישלון צר.

הקריאה העצמאית של CSA מצביעה על אותה אסימטריה מזווית אחרת: סיור ומיון אוטונומיים התרחבו ביתר קלות מאשר ניצול אוטונומי, והתוצאות המאומתות וניתנות להפיכה לנשק היו תלויות בעבודה בהכוונת אדם שנעשתה מעל סיור הסוכן. שתי הקריאות מתייחסות לקמפיין של מפעיל אחד. התיעוד אינו מכיל טענה שמחזור אוטונומי כבר השתלט על מערכת בכוחות עצמו.