Unit 42: Loop Serangan Otonom Itu Layak, dan Setiap Keberhasilan yang Terkonfirmasi Dilakukan Secara Manual

Pada 30 Juli 2026, Unit 42 milik Palo Alto Networks menerbitkan investigasi terhadap operator berbahasa Tionghoa yang telah menghubungkan model bahasa ke dalam siklus serangan itu sendiri: DeepSeek berjalan di dalam Hermes Agent, agen terminal sumber terbuka dari Nous Research, menerima instruksi melalui Telegram. Operator tersebut mencoba lebih dari 460 target dan menyimpan perangkat eksploitasi untuk tujuh jalur kerentanan yang mencakup delapan pengenal CVE. Hampir tidak ada yang dihasilkan mesin itu secara mandiri yang berujung pada kompromi — kedua upaya eksploitasi otonom mati pada prasyarat yang sudah dimatikan oleh target. Apa yang dijalankan oleh manusia memang menghasilkan dampak: data memori dieksfiltrasi dari tiga penerapan Citrix NetScaler, eksekusi perintah terkonfirmasi pada sebelas instans notebook Marimo, dan sistem pemerintah Malaysia digarap selama beberapa hari berturut-turut. Tidak ada korban yang disebutkan namanya dalam kedua laporan yang dikutip, dan seluruh kisahnya direkonstruksi dari server operator sendiri yang terekspos. Catatan lengkapnya, beserta penilaian tingkat keparahan dari arsip dan sumber yang dikutip, terindeks di Arsip Insiden AI Orca, bersama entri-entri tetangga dari minggu yang sama.

Bagaimana operasi itu mulai terlihat

Unit 42 tidak mendeteksi kampanye ini. Agen milik operator sendiri yang menyerahkannya. Menanggapi perintah Telegram, Hermes Agent menjalankan server file HTTP — python3 -m http.server 8888 — dari direktori home pelaku di /home/worker, bukan dari direktori staging yang terisolasi. Satu perilaku default mengekspos ruang kerja: konfigurasi alat AI, kunci API, skrip eksploit, daftar target, riwayat bash, dan log sesi otonom Hermes yang nantinya digunakan Unit 42 untuk merekonstruksi siklus serangan langkah demi langkah.

Unit 42 menggambarkan paparan tersebut sebagai tidak disengaja, dan mencatat bahwa aktor tidak lalai di aspek lain: direktori eksploit dikosongkan setelah digunakan, dan pencatatan percakapan di Codex dinonaktifkan untuk membatasi penyimpanan respons lokal. Inisiatif Keselamatan AI Cloud Security Alliance, yang menganalisis pengungkapan yang sama pada 4 Agustus 2026, menarik poin yang lebih tajam: operator mempraktikkan teknik perdagangan konvensional, tetapi default kemudahan kerangka agen menggagalkannya dalam satu langkah — dan penyerang yang mengadopsi kerangka agen mewarisi default tersebut beserta kapabilitasnya.

Siapa operatornya, berdasarkan bukti yang tersedia

Unit 42 hanya menyebut pelaku dengan nama samaran: knaithe dan KnYuan. Penilaian Zhuhai bertumpu pada aktivitas GitHub, khususnya pemeliharaan 1DayNews oleh pelaku, sebuah pipeline intelijen kerentanan otomatis yang mengagregasi pengungkapan eksekusi kode jarak jauh dari 17 sumber, sebagian besar vendor perimeter jaringan, menggunakan DeepSeek untuk menyaringnya berdasarkan potensi eksploitasi dan mendistribusikan peringatan melalui Telegram. Dalam wawancara dengan Infosecurity Magazine pada 31 Juli 2026, Andy Piazza, senior director intelijen ancaman di Unit 42, mendeskripsikan individu yang sama sebagai "operator eksploitasi oportunistik dan peneliti keamanan biner yang menyebut dirinya sendiri demikian".

Tidak ada satu pun dalam kedua laporan yang dikutip tersebut yang menyatakan adanya sponsor negara. Catatan CSA menyatakan bahwa pengungkapan itu tidak mengidentifikasi indikator sponsor negara, dan menilai sumber daya serta cakupannya konsisten dengan satu orang yang merakit alur kerja ofensif dari model penalaran komersial dan kerangka agen yang tersedia secara bebas. Infosecurity Magazine melaporkan bahwa target kampanye tersebut mencakup tiga negara, termasuk Tiongkok dan Malaysia.

Separuh otonom: dua produk, dua kegagalan

Unit 42 memulihkan satu sesi Hermes Agent yang lengkap, bertanggal Mei 2026, dan tidak dapat memulihkan input operator selain tugas pembuka. Yang ditunjukkan oleh log adalah agen yang memilih targetnya sendiri, lalu meninggalkannya, tanpa instruksi.

Ini dimulai dengan Langflow dan CVE-2026-33017, CVSS 9.8. Ia mengunduh proof of concept publik dari GitHub, mengenumerasi 84 instans Langflow melalui mesin pencari aset Tiongkok FOFA menggunakan kueri title="Langflow", dan menemukan satu yang menjalankan build rentan, 1.3.4. Upaya itu gagal karena celah tersebut memerlukan auto_login diaktifkan atau ID alur publik, dan target tidak memiliki keduanya. Penilaian agen itu sendiri, yang dikutip dalam laporan: "Ketiga Langflow memerlukan ID alur publik tetapi tidak ada auto_login — macet. Deployment kecil (84 hidup), kemungkinan dapat dieksploitasi 0. Cari kerentanan berskala lebih besar."

Ia kemudian melakukan apa yang tidak diminta oleh arahan awalnya. Ia mensurvei jumlah penerapan di sepuluh keluarga produk di FOFA, menelusuri GitHub untuk repositori proof-of-concept CVE 2026 yang sedang tren dan diurutkan berdasarkan bintang, serta memberi peringkat kandidat berdasarkan tingkat keparahan, jejak, dan kemudahan eksploitasi sebelum akhirnya memilih n8n — dibenarkan dalam log berdasarkan 258 bintang proof of concept dan CVSS 10.0. FOFA mencatat n8n pada 647.017 instans di seluruh dunia, 25.209 di antaranya di Tiongkok.

Rantai n8n adalah CVE-2026-21858, pembacaan file arbitrer dengan CVSS 10,0 dan ditambal di 1.121.0, plus CVE-2025-68613, bypass sandbox menuju eksekusi kode jarak jauh dengan CVSS 9,9 dan ditambal di 1.120.4. Agen memeriksa sendiri rentang versinya — "CVE menyatakan diperbaiki di 1.121.0 untuk AFR dan 1.120.4+ untuk RCE. Jadi v1.117.3 rentan terhadap keduanya!" — lalu mengambil sampel sekitar 100 alamat dari 25.209, menyelidiki sekitar 40 di antaranya, dan menemukan tiga yang menjalankan versi rentan: 1.18.0, 1.117.3 dan 1.108.2.

Ketiganya gagal karena alasan yang sama. Eksploitasi memerlukan formulir tanpa autentikasi dengan unggah file, dan formulir yang dijangkau memerlukan autentikasi. Agen tersebut mengatakan demikian dalam log — "Formulir ini mengaktifkan autentikasi. Saya akan memeriksa target lain" — memindai 50 lebih target Tiongkok lainnya, tidak menemukan formulir yang dapat diakses publik, lalu berhenti. Sesi yang dipulihkan berakhir di sana. Unit 42 tidak mencatat adanya eksploitasi dari jalur otonom sama sekali.

Di mana kerugian sebenarnya terjadi

Setiap dampak yang terkonfirmasi dalam catatan berasal dari jalur manual, yang dijalankan dengan alur kerja konvensional: enumerasi FOFA, pemindai Python kustom, dan eksploitasi langsung.

• Citrix NetScaler ADC dan Gateway, CVE-2026-3055, CVSS 9.8 — data dieksfiltrasi dari tiga organisasi. Unit 42 mengatakan bahwa ketiga keberhasilan tersebut mengeluarkan data memori melalui pembacaan out-of-bounds, dan bahwa aktor tersebut kemudian menelusuri konten yang dicuri untuk mencari cookie autentikasi NetScaler (NSC_AAAC=), yang mengarah pada pembajakan sesi alih-alih pencurian demi pencurian itu sendiri.

• Entitas pemerintah di Malaysia — ditargetkan secara terus-menerus dan dieksploitasi selama beberapa hari, dengan apa yang disebut Unit 42 sebagai parameter memory grooming dan percobaan baca maksimum, serta anonimisasi proxy yang ditambahkan pada kunjungan-kunjungan berikutnya. Ini adalah satu-satunya target yang oleh laporan dianggap menunjukkan niat di luar oportunisme.

• Marimo notebook, CVE-2026-39987, CVSS 9.8 — eksekusi perintah terkonfirmasi pada 11 instans.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — percobaan reverse-shell terhadap sembilan server.

• VPN IKE Windows, CVE-2026-33824, CVSS 9.8 — callback reverse-shell yang ditujukan ke tiga endpoint.

• Portal Autentikasi User-ID PAN-OS, CVE-2026-0300, CVSS 9.8 — sebuah proof of concept riset publik yang dikloning dan tidak pernah dieksekusi. Unit 42 menemukan bahwa kode tersebut tidak berfungsi, dengan nilai placeholder yang tidak dapat mencapai eksekusi.

Dua batasan penting. Korban tidak disebutkan namanya, sehingga identitas tiga operator NetScaler dan lembaga Malaysia tidak dipublikasikan. Dan Unit 42 mengatakan bahwa pihaknya telah meninjau bukti eksploitasi massal terhadap sejumlah host yang tidak diketahui jumlahnya yang muncul dalam sebuah file yang dihapus oleh pelaku sebelum analisis — sehingga jumlah yang terkonfirmasi merupakan batas bawah, bukan total.

Apa yang telah mapan, dan apa yang ditegaskan

Mekanisme insiden semacam ini terbukti dengan luar biasa baiknya — jauh di atas kebiasaan untuk kasus sejenis. Unit 42 membaca berkas konfigurasi milik operator itu sendiri, log sesi, daftar target, dan riwayat bash; daftar CVE, jumlah target, serta mode kegagalan berasal dari materi tersebut, bukan dari inferensi terhadap lalu lintas jaringan.

Atribusinya lebih lunak. “Berbahasa Mandarin”, “berbasis di Zhuhai” dan nama pengguna knaithe dan KnYuan adalah penilaian analis yang dibangun berdasarkan aktivitas GitHub, blog pribadi lama dan pipeline 1DayNews. Tidak ada tuduhan, sanksi atau pernyataan pemerintah yang menyertainya, dan tidak satu pun dari laporan yang dikutip menyebutkan organisasi korban.

Satu klaim penegakan merupakan informasi tangan kedua di dalam laporan itu sendiri. Unit 42 menyampaikan bahwa staf OpenAI mengonfirmasi bahwa pengamanan sisi penyedia mereka menolak permintaan yang melanggar kebijakan, dan bahwa upaya yang terus dilakukan menyebabkan sistem keamanan mereka menandai dan menonaktifkan akun yang mereka yakini terkait dengan kampanye ini, sebelum Unit 42 membagikan intelijennya kepada mereka. Itu adalah vendor yang menjelaskan penegakannya sendiri; Unit 42 tidak memverifikasinya secara independen.

Satu celah perlu dinyatakan secara gamblang: tidak ada pernyataan pemerintah Malaysia, MyCERT, atau CERT nasional lainnya tentang kampanye ini yang muncul dalam pencarian untuk artikel ini per 30 Oktober 2026. Hunt.io, sumber kedua yang dikutip untuk catatan ini, mengatakan telah memberi tahu organisasi terdampak dan CERT nasional terkait pada 6 Juli 2026 serta menahan publikasi selama jendela pengungkapan tujuh hari — tetapi notifikasi bukanlah keterangan publik.

Dua laporan yang dikutip tidak sepakat tentang Claude Code

Catatan ini mengutip dua investigasi vendor yang diterbitkan terpisah dua minggu, dan keduanya menggambarkan pembagian tooling yang berbeda. Unit 42, dalam tulisan pada 30 Juli, menetapkan eksekusi kepada Hermes Agent dengan DeepSeek sebagai mesin penalaran, dan memperlakukan Claude Code sebagai uji coba. Riwayat yang dipulihkan terdiri atas sepuluh entri di tiga sesi yang berisi pemeriksaan /model, uji konektivitas, dan satu permintaan npm install, yang digunakan untuk pengujian konektivitas dan validasi proxy. Codex menunjukkan tanda-tanda penggunaan pada direktori pengembangan eksploit, tetapi log obrolannya tidak tersimpan; Qwen Code mendapat dua sesi. Unit 42 menafsirkan sebaran ini sebagai operator yang berbelanja di pasar AI, merutekan alat-alat Barat melalui proxy di code.newcli[.]com sementara memanggil DeepSeek dan Qwen secara langsung melalui endpoint API native mereka.

Hunt.io, yang mempublikasikan pada 14 Juli dari direktori terbuka yang ditemukannya di 112.213.124[.]132 pada port 8888, menggambarkan susunan yang berkebalikan: Claude Code 2.1.165 sebagai mesin eksekusi selama sesi-sesi persisten antara 8 dan 12 Juni 2026, dengan DeepSeek-v4-pro di lapisan bawah yang menangani penalaran, serta file CLAUDE.md yang berhasil dipulihkan yang menginstruksikan Claude Code untuk membuat, menguji, dan mengiterasi halaman phishing hasil kloning.

Kedua laporan menggambarkan kerangka kerja agen yang dibiarkan menyajikan sebuah direktori pada port 8888. Keduanya menggambarkan kumpulan korban yang berbeda: intrusi terkonfirmasi Hunt.io berada di Afghanistan, Thailand, dan Taiwan, dengan phishing yang diarahkan terhadap dua badan pemerintah Amerika Serikat; korban terkonfirmasi Unit 42 adalah tiga operator Citrix tanpa nama dan sebuah entitas pemerintah Malaysia, dengan probing otonom yang sebagian besar ditujukan ke infrastruktur domestik Tiongkok. Tidak ada laporan yang saling merujuk, dan baik arsip maupun kedua vendor tidak menerbitkan rekonsiliasi. Dibaca bersama, keduanya mendukung satu kesimpulan, bukan dua: pekerjaan intrusi yang digerakkan LLM sedang berjalan di dalam lingkungan operator ini pada Juni dan Juli 2026. Model mana yang menempati posisi mana dalam tumpukan — dan apakah kedua laporan menggambarkan satu operator atau dua — belum dipastikan oleh catatan yang diterbitkan.

Apa yang berubah setelah

Karena eksposur tersebut menghasilkan bukti, perubahan paling konkret berkaitan dengan aktor, bukan para korban. Unit 42 menyatakan bahwa mereka membagikan temuan tersebut kepada anggota Cyber Threat Alliance, dan halamannya memuat stempel pembaruan 11 Agustus 2026, dua belas hari setelah publikasi. Bagi pelanggan Palo Alto, halaman itu mencantumkan aturan permukaan serangan Cortex Xpanse untuk perangkat Langflow, n8n, dan Citrix ADC yang terekspos, plus serangkaian tanda tangan Threat Prevention.

Perbaikan untuk produk yang rentan sudah ada sebelum kampanye. n8n merilis 1.120.4 dan 1.121.0 untuk kedua kerentanan tersebut sebelum sesi yang dipulihkan, dan agen membaca batas versi itu sendiri langsung dari advisori. Catatan CSA 4 Agustus merekomendasikan agar operator NetScaler yang terpapar CVE-2026-3055 merotasi cookie autentikasi sesi NSC_AAAC dan meninjau sesi terautentikasi untuk anomali, karena aktor tersebut secara eksplisit memburu cookie itu, dan agar siapa pun yang diduga terpapar kerentanan Marimo menganggap eksekusi perintah mungkin sudah terjadi.

Katalog Kerentanan yang Diketahui Dieksploitasi milik CISA, yang dibaca langsung pada 30 Oktober 2026, menunjukkan betapa publiknya materi ini sebelum ada laporan apa pun: CVE-2025-68613 ditambahkan pada 11 Maret 2026, CVE-2026-33017 pada 25 Maret, CVE-2026-3055 pada 30 Maret, CVE-2026-39987 pada 23 April, dan CVE-2026-0300 pada 6 Mei — semuanya sebelum Unit 42 menerbitkan. CVE-2026-34486 menyusul pada 4 Agustus dan CVE-2026-33824 pada 18 Agustus. CVE-2026-21858, bagian pembacaan file n8n dari rantai otonom yang gagal, tidak muncul sama sekali dalam katalog tersebut.

Mengapa margin adalah temuannya

Kesimpulan Unit 42 bukanlah bahwa kampanye tersebut berhasil, melainkan hampir berhasil. Eksploitasi dihentikan oleh konfigurasi sisi target — auto_login yang tidak ada, formulir terautentikasi — dan laporan menyatakan bahwa “target dengan konfigurasi default yang lebih lemah akan rentan”. Penilaian keseluruhannya adalah bahwa siklus serangan otonom layak secara operasional dan bahwa margin kegagalannya sempit.

Pembacaan independen CSA menunjukkan asimetri yang sama dari sudut yang berbeda: pengintaian dan triase otonom jauh lebih mudah diskalakan daripada eksploitasi otonom, dan hasil yang terkonfirmasi serta dapat dipersenjatai bergantung pada pekerjaan yang diarahkan manusia yang dilapiskan di atas pengintaian agen. Kedua pembacaan tersebut mencakup kampanye satu operator. Catatan itu tidak memuat klaim bahwa sebuah loop otonom telah berhasil menguasai sebuah sistem dengan sendirinya.