Unit 42: De autonome aanvalslus is levensvatbaar, en elk bevestigd succes was handmatig

Op 30 juli 2026 publiceerde Unit 42 van Palo Alto Networks een onderzoek naar een Chineesstalige operator die een taalmodel in de aanvalslus zelf had geïntegreerd: DeepSeek draaide binnen Hermes Agent, een open-source terminalagent van Nous Research, en ontving instructies via Telegram. De operator ondernam pogingen tegen meer dan 460 doelwitten en hield exploitgereedschap aan voor zeven kwetsbaarheidssporen die acht CVE-identificatoren omvatten. Bijna niets van wat de machine zonder hulp deed, leidde tot een compromis — beide autonome exploitpogingen liepen stuk op randvoorwaarden die de doelwitten al hadden uitgeschakeld. Wat een mens aanstuurde, had wel impact: geheugengegevens geëxfiltreerd uit drie Citrix NetScaler-implementaties, uitvoering van commando's bevestigd op elf Marimo-notebookinstanties, en een systeem van de Maleisische overheid dat gedurende meerdere opeenvolgende dagen onder handen werd genomen. In geen van de aangehaalde rapporten wordt een slachtoffer genoemd, en het hele relaas werd gereconstrueerd uit de eigen blootgestelde servers van de operators. Het volledige verslag, met de ernstclassificatie van het archief en aangehaalde bronnen, is geïndexeerd in het Orca AI Incident Archive, naast de naburige vermeldingen uit dezelfde week.

Hoe de operatie in zicht kwam

Unit 42 heeft deze campagne niet gedetecteerd. De eigen agent van de operator heeft het overgedragen. Als reactie op een Telegram-opdracht startte Hermes Agent een HTTP-bestandsserver — python3 -m http.server 8888 — vanuit de thuismap van de actor op /home/worker, niet vanuit een geïsoleerde stagingmap. Eén standaardgedrag legde de werkruimte bloot: AI-toolconfiguraties, API-sleutels, exploit-scripts, doellijsten, bash-geschiedenis en de autonome sessielogboeken van Hermes die Unit 42 later zou gebruiken om de aanvalscyclus stap voor stap te reconstrueren.

Eenheid 42 beschrijft de blootstelling als onopzettelijk, en vermeldt dat de actor elders niet onzorgvuldig was: exploitdirectories werden na gebruik geleegd, en de gesprekslogging in Codex werd uitgeschakeld om de lokale opslag van reacties te beperken. De AI Safety Initiative van de Cloud Security Alliance, die dezelfde openbaarmaking op 4 augustus 2026 analyseerde, formuleerde de scherpere conclusie: de operator paste conventionele tradecraft toe, maar de gemaksinstellingen van het agentframework maakten dat in één stap ongedaan — en aanvallers die agentframeworks overnemen, erven hun standaardinstellingen samen met hun mogelijkheden.

Wie de operator is, op basis van het beschikbare bewijs

Unit 42 noemt de actor alleen bij diens handle: knaithe en KnYuan. De Zhuhai-beoordeling berust op GitHub-activiteit, met name het onderhoud door de actor van 1DayNews, een geautomatiseerde vulnerability-intelligencepipeline die remote code execution-disclosures van 17 bronnen verzamelt, grotendeels leveranciers van netwerkperimeters, DeepSeek gebruikt om ze op exploiteerbaarheid te filteren en alerts via Telegram verspreidt. In een interview met Infosecurity Magazine op 31 juli 2026 beschreef Andy Piazza, senior director threat intelligence bij Unit 42, dezelfde persoon als "een opportunistische exploitoperator en een zelfverklaarde binary security researcher".

Geen van beide aangehaalde rapporten beweert dat er sprake is van sponsoring door een staat. De notitie van CSA stelt dat de openbaarmaking geen indicatoren voor staatssponsoring bevat, en interpreteert de middelen en reikwijdte als passend bij één persoon die een offensieve workflow samenstelt uit een gangbaar reasoningmodel en een vrij beschikbaar agentframework. Infosecurity Magazine meldt dat de doelwitten van de campagne in drie landen lagen, waaronder China en Maleisië.

De autonome helft: twee producten, twee mislukkingen

Unit 42 herstelde één volledige Hermes Agent-sessie, gedateerd mei 2026, en kon geen operatorinvoer buiten de openingstaak herstellen. Wat de logs laten zien, is een agent die zijn eigen doelen kiest en ze zonder instructie laat vallen.

Het begon met Langflow en CVE-2026-33017, CVSS 9.8. Het downloadde het openbare proof of concept van GitHub, telde 84 Langflow-instanties op via de Chinese assetzoekmachine FOFA met de query title="Langflow", en vond er één die een kwetsbare build draaide, 1.3.4. De poging mislukte omdat de kwetsbaarheid ofwel een ingeschakelde auto_login ofwel een public flow ID vereist, en het doel had geen van beide. Het eigen oordeel van de agent, geciteerd in het rapport: "Alle drie Langflow hebben een public flow ID nodig, maar geen auto_login — vastgelopen. Implementaties klein (84 actief), waarschijnlijk 0 exploiteerbaar. Zoek naar kwetsbaarheden op grotere schaal."

Daarna deed het iets wat zijn opdracht niet had gevraagd. Het inventariseerde de aantallen implementaties van tien productfamilies op FOFA, zocht op GitHub naar populaire repositories met proof-of-concepts voor 2026-CVE's, gesorteerd op sterren, en rangschikte kandidaten naar ernst, voetafdruk en exploiteerbaarheid voordat het n8n koos — in het logboek gerechtvaardigd door de 258 sterren en CVSS 10.0 van het proof of concept. Volgens FOFA waren er wereldwijd 647.017 n8n-instanties, waarvan 25.209 in China.

De n8n-keten bestond uit CVE-2026-21858, willekeurig bestand lezen met CVSS 10.0, gepatcht in 1.121.0, plus CVE-2025-68613, een sandboxomzeiling die uitvoering van externe code mogelijk maakt met CVSS 9.9, gepatcht in 1.120.4. De agent controleerde de versiebereiken zelf — "CVE zegt dat het is gefixt in 1.121.0 voor AFR en 1.120.4+ voor RCE. Dus v1.117.3 is kwetsbaar voor beide!" — nam vervolgens een steekproef van ongeveer 100 adressen uit de 25.209, testte er ongeveer 40 en vond drie die kwetsbare versies draaiden: 1.18.0, 1.117.3 en 1.108.2.

Alle drie faalden om dezelfde reden. De exploit vereist een niet-geauthenticeerd formulier met bestandsupload, en de formulieren die de agent bereikte, vereisten authenticatie. De agent zei dat in het log — "Deze formulieren hebben authenticatie ingeschakeld. Ik ga andere doelen controleren" — scande meer dan 50 andere Chinese doelen, vond geen openbaar toegankelijke formulieren en stopte. De teruggevonden sessie eindigt daar. Unit 42 registreert helemaal geen exploitatie vanuit de autonome track.

Waar de schade daadwerkelijk terechtkwam

Elke bevestigde impact in het verslag kwam van het handmatige spoor, uitgevoerd met conventionele workflows: FOFA-enumeratie, aangepaste Python-scanners en directe exploitatie.

• Citrix NetScaler ADC en Gateway, CVE-2026-3055, CVSS 9.8 — data geëxfiltreerd uit drie organisaties. Unit 42 zegt dat de drie geslaagde aanvallen geheugengegevens via de out-of-bounds read naar buiten hebben gehaald, en dat de aanvaller vervolgens de gestolen inhoud doorzocht op NetScaler-authenticatiecookies (NSC_AAAC=), wat wijst op sessiekaping, niet op diefstal omwille van de diefstal zelf.

• Een overheidsinstantie in Maleisië — die aanhoudend als doel werd genomen en gedurende meerdere dagen werd misbruikt, met wat Unit 42 parameters voor geheugen-grooming en maximale leespogingen noemt, en met proxy-anonimisering toegevoegd bij latere bezoeken. Dit is het enige doel waarvan het rapport aangeeft dat het intentie toont die uitgaat boven opportunisme.

• Marimo-notebooks, CVE-2026-39987, CVSS 9.8 — commando-uitvoering bevestigd op 11 instanties.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — reverse-shellpogingen tegen negen servers.

• Windows IKE VPN, CVE-2026-33824, CVSS 9.8 — reverse-shell-callbacks gericht op drie eindpunten.

• PAN-OS User-ID Authentication Portal, CVE-2026-0300, CVSS 9.8 — een openbaar proof-of-concept uit onderzoek dat is gekloond en nooit is uitgevoerd. Unit 42 stelde vast dat de code niet functioneel was, met placeholderwaarden die uitvoering onmogelijk maken.

Twee beperkingen zijn belangrijk. De slachtoffers worden niet bij naam genoemd, dus de identiteit van de drie NetScaler-operators en van de Maleisische instantie is niet openbaar. En Unit 42 zegt dat het bewijs heeft beoordeeld van batch-exploitatie tegen een onbekend aantal hosts dat voorkwam in een bestand dat de actor vóór de analyse had verwijderd — waardoor het bevestigde aantal een ondergrens vormt, niet een totaal.

Wat is vastgesteld, en wat wordt beweerd?

De mechanica is ongewoon goed onderbouwd voor een incident van deze aard. Unit 42 leest de eigen configuratiebestanden, sessielogboeken, doellijsten en bash-geschiedenis van de operator; de CVE-lijst, de doelaantallen en de faalmodi komen uit dat materiaal, niet uit gevolgtrekkingen over netwerkverkeer.

De toeschrijving is zachter. "Chinese-sprekend", "gevestigd in Zhuhai" en de accountnamen knaithe en KnYuan zijn analistenbeoordelingen op basis van GitHub-activiteit, een ouder persoonlijk blog en de 1DayNews-pipeline. Daarbij zijn geen aanklachten, sancties of overheidsverklaringen, en geen van de aangehaalde rapporten noemt een slachtofferorganisatie.

Eén claim over handhaving is binnen het rapport zelf van horen zeggen. Unit 42 geeft door dat medewerkers van OpenAI hebben bevestigd dat hun beveiligingsmaatregelen aan providerzijde verzoeken die in strijd waren met de beleidsregels hebben geweigerd, en dat aanhoudende pogingen ertoe leidden dat hun veiligheidssystemen een account signaleerden en uitschakelden waarvan zij menen dat het aan deze campagne is gekoppeld, voordat Unit 42 haar inlichtingen met hen deelde. Dat is een leverancier die zijn eigen handhaving beschrijft; Unit 42 heeft dat niet onafhankelijk geverifieerd.

Eén hiaat verdient een duidelijke vermelding: in zoekopdrachten voor dit artikel was er tot en met 30 oktober 2026 geen verklaring van de Maleisische overheid, MyCERT of een ander nationaal CERT over deze campagne opgedoken. Hunt.io, de tweede aangehaalde bron voor deze vermelding, zegt dat het de betrokken organisaties en de relevante nationale CERT's op 6 juli 2026 heeft gemeld en de publicatie heeft aangehouden voor een openbaarmakingsvenster van zeven dagen — maar een melding is geen openbare verantwoording.

De twee aangehaalde rapporten zijn het niet eens over Claude Code.

Deze record citeert twee leverancieronderzoeken die twee weken na elkaar zijn gepubliceerd en die verschillende toolingverdelingen beschrijven. Unit 42 schrijft op 30 juli de uitvoering toe aan Hermes Agent met DeepSeek als reasoning-engine en behandelt Claude Code als een proef. De teruggevonden geschiedenis bestaat uit tien vermeldingen over drie sessies met /model-controles, connectiviteitstests en één npm install-aanvraag, gebruikt voor connectiviteitstests en proxyvalidatie. Codex vertoont sporen van gebruik op exploit-ontwikkelingsmappen, maar zijn chatlogs zijn niet bewaard gebleven; Qwen Code kreeg twee sessies. Unit 42 interpreteert de verspreiding als een operator die over de AI-markt winkelt, de westerse tools via een proxy op code.newcli[.]com routeert en DeepSeek en Qwen rechtstreeks via hun eigen API-eindpunten aanroept.

Hunt.io, dat op 14 juli publiceert over een open directory die het vond op 112.213.124[.]132 op poort 8888, beschrijft de tegengestelde opzet: Claude Code 2.1.165 als de uitvoeringsengine gedurende persistente sessies tussen 8 en 12 juni 2026, met DeepSeek-v4-pro daaronder die de redenering voor zijn rekening neemt, en een teruggevonden CLAUDE.md-bestand dat Claude Code opdraagt gekloonde phishingpagina's te maken, te testen en te itereren.

Beide rapporten beschrijven een agentframework dat achtergelaten was terwijl het een directory op poort 8888 serveerde. Ze beschrijven verschillende slachtoffersets: de bevestigde inbraken van Hunt.io bevinden zich in Afghanistan, Thailand en Taiwan, met phishing opgezet tegen twee Amerikaanse overheidsinstanties; de bevestigde slachtoffers van Unit 42 zijn drie niet met naam genoemde Citrix-operators en een Maleisische overheidsentiteit, waarbij het autonome aftasten grotendeels gericht was op Chinese binnenlandse infrastructuur. Geen van beide rapporten verwijst naar het andere, en noch het archief noch een van beide leveranciers heeft een reconciliatie gepubliceerd. Samen gelezen ondersteunen ze één conclusie, niet twee: LLM-gedreven inbraakwerk liep in juni en juli 2026 binnen de omgeving van deze operator. Welk model waar in de stack zat — en of de twee rapporten één operator of twee beschrijven — wordt niet beslist door de gepubliceerde gegevens.

Wat is er veranderd na

Omdat de blootstelling het bewijs opleverde, betreft de meest concrete verandering de dreigingsactor en niet de slachtoffers. Unit 42 zegt dat het de bevindingen heeft gedeeld met leden van de Cyber Threat Alliance, en op zijn pagina staat een update-stempel van 11 augustus 2026, twaalf dagen na publicatie. Voor Palo Alto-klanten vermeldt het Cortex Xpanse-regels voor aanvalsoppervlakken voor blootgestelde Langflow-, n8n- en Citrix ADC-apparaten, plus een reeks Threat Prevention-signaturen.

Bij de kwetsbare producten dateren de fixes van vóór de campagne. n8n bracht 1.120.4 en 1.121.0 uit voor de twee kwetsbaarheden vóór de teruggevonden sessie, en de agent las die versiegrenzen zelf uit de advisories. De nota van CSA van 4 augustus adviseert NetScaler-operatoren die aan CVE-2026-3055 zijn blootgesteld om NSC_AAAC-sessieauthenticatiecookies te roteren en geauthenticeerde sessies op afwijkingen te controleren, omdat de actor expliciet op die cookie joeg, en dat iedereen met een vermoede blootstelling aan de Marimo-kwetsbaarheid ervan moet uitgaan dat commando-uitvoering mogelijk al heeft plaatsgevonden.

De Known Exploited Vulnerabilities-catalogus van CISA, rechtstreeks geraadpleegd op 30 oktober 2026, laat zien hoe openbaar dit materiaal al was voordat er iets van werd gemeld: CVE-2025-68613 werd op 11 maart 2026 toegevoegd, CVE-2026-33017 op 25 maart, CVE-2026-3055 op 30 maart, CVE-2026-39987 op 23 april en CVE-2026-0300 op 6 mei — allemaal voordat Unit 42 publiceerde. CVE-2026-34486 volgde op 4 augustus en CVE-2026-33824 op 18 augustus. CVE-2026-21858, het n8n-gedeelte voor bestandslezing van de mislukte autonome keten, staat helemaal niet in de catalogus.

Waarom de marge de bevinding is

De conclusie van Unit 42 is niet dat de campagne slaagde, maar dat ze bijna slaagde. De exploitatie werd gestopt door configuratie aan de doelkant — het ontbrekende auto_login, de geauthenticeerde formulieren — en het rapport stelt dat "doelen met zwakkere standaardconfiguraties kwetsbaar zouden zijn geweest". Het algemene oordeel is dat autonome aanvalscycli operationeel levensvatbaar zijn en dat de marge van falen klein was.

De onafhankelijke lezing van CSA wijst vanuit een andere invalshoek op dezelfde asymmetrie: autonome verkenning en triage schaalden veel gemakkelijker dan autonome exploitatie, en de bevestigde, wapenbare uitkomsten hingen af van door mensen gestuurd werk dat bovenop de verkenning van de agent lag. Beide lezingen betreffen de campagne van één operator. Het verslag bevat geen bewering dat een autonome lus al zelfstandig een systeem heeft gecompromitteerd.