Unit 42: Autonomiczna pętla ataku jest wykonalna, a każdy potwierdzony sukces był wynikiem działań ręcznych

30 lipca 2026 r. Unit 42 firmy Palo Alto Networks opublikowała dochodzenie dotyczące chińskojęzycznego operatora, który podłączył model językowy do samej pętli ataku: DeepSeek uruchomiony w Hermes Agent, otwartoźródłowym agencie terminalowym od Nous Research, odbierający polecenia przez Telegram. Operator próbował atakować ponad 460 celów i utrzymywał narzędzia exploitowe dla siedmiu ścieżek podatności obejmujących osiem identyfikatorów CVE. Niemal żadne działanie maszyny bez nadzoru nie doprowadziło do kompromitacji — obie autonomiczne próby wykorzystania podatności utknęły na warunkach wstępnych, które cele już wyłączyły. Działania napędzane przez człowieka przyniosły jednak skutki: wyeksfiltrowano dane z pamięci z trzech wdrożeń Citrix NetScaler, potwierdzono wykonanie poleceń na jedenastu instancjach notebooków Marimo, a przez kilka kolejnych dni atakowano system rządowy Malezji. W żadnym z cytowanych raportów nie wymieniono ofiary, a całą relację odtworzono z ujawnionych serwerów samych operatorów.Pełny zapis, wraz z klasyfikacją dotkliwości z archiwum i cytowanymi źródłami, został zaindeksowany w the Orca AI Incident Archive, obok sąsiednich wpisów z tego samego tygodnia.

Jak operacja pojawiła się w polu widzenia

Unit 42 nie wykryło tej kampanii. Agent samego operatora przekazał ją. W odpowiedzi na polecenie z Telegrama Hermes Agent uruchomił serwer plików HTTP — python3 -m http.server 8888 — z katalogu domowego aktora w /home/worker, a nie z odizolowanego katalogu przygotowawczego. Jedno domyślne zachowanie ujawniło przestrzeń roboczą: konfiguracje narzędzi AI, klucze API, skrypty exploitów, listy celów, historię bash oraz logi autonomicznych sesji Hermes, których Unit 42 miało później użyć do krok po kroku odtworzenia cyklu ataku.

Unit 42 opisuje to ujawnienie jako niezamierzone i odnotowuje, że sprawca nie okazał się niedbały w innych aspektach: katalogi exploitów opróżniano po użyciu, a rejestrowanie rozmów w Codexie wyłączono, aby ograniczyć lokalne przechowywanie odpowiedzi. AI Safety Initiative Cloud Security Alliance, która przeanalizowała to samo ujawnienie 4 sierpnia 2026 r., wskazała ostrzejszy wniosek: operator stosował konwencjonalne techniki operacyjne, ale domyślne ustawienia frameworka agentowego podyktowane wygodą zniweczyły je w jednym kroku — a atakujący, którzy przyjmują frameworki agentowe, dziedziczą ich domyślne ustawienia wraz z ich możliwościami.

Kim jest operator, na podstawie dostępnych dowodów

Unit 42 nazywa aktora wyłącznie pseudonimami: knaithe i KnYuan. Ocena dotycząca Zhuhai opiera się na aktywności na GitHubie, w szczególności na utrzymywaniu przez aktora 1DayNews — zautomatyzowanego potoku analizy danych o zagrożeniach, który gromadzi ujawnienia dotyczące zdalnego wykonania kodu z 17 źródeł, głównie dostawców zabezpieczeń obwodu sieciowego, wykorzystuje DeepSeek do filtrowania ich pod kątem podatności na wykorzystanie i rozpowszechnia alerty przez Telegram. W wywiadzie dla Infosecurity Magazine z 31 lipca 2026 r. Andy Piazza, dyrektor wyższego szczebla ds. analizy danych o zagrożeniach w Unit 42, opisał tę samą osobę jako „opportunistycznego operatora exploitów i samozwańczego badacza bezpieczeństwa binarnego”.

Żaden z dwóch cytowanych raportów nie sugeruje sponsorowania przez państwo. {{1}}Nota CSA stwierdza, że ujawnione informacje nie wskazują na żadne oznaki sponsorowania przez państwo, a zaangażowane zasoby i zakres uznaje za spójne z działaniem jednej osoby, która złożyła ofensywny przepływ pracy z powszechnie dostępnego modelu rozumowania i ogólnodostępnego frameworka agentowego.{{/1}} {{2}}Infosecurity Magazine donosi, że cele kampanii obejmowały trzy kraje, w tym Chiny i Malezję.{{/2}}

Autonomiczna połowa: dwa produkty, dwie porażki

Unit 42 odzyskała jedną pełną sesję Hermes Agent z maja 2026 r., ale nie zdołała odzyskać danych wejściowych operatora poza zadaniem początkowym. Logi pokazują agenta, który sam wybiera sobie cele i je porzuca — bez żadnych instrukcji.

Zaczęło się od Langflow i CVE-2026-33017, CVSS 9.8. Pobrał publiczny proof of concept z GitHub, wyliczył 84 instancje Langflow za pomocą chińskiej wyszukiwarki zasobów FOFA, używając zapytania title="Langflow", i znalazł jedną uruchamiającą podatną kompilację, 1.3.4. Próba nie powiodła się, ponieważ luka wymaga albo włączonego auto_login, albo publicznego flow ID, a cel nie miał żadnego z nich. Werdykt samego agenta, zacytowany w raporcie: „Wszystkie trzy Langflow wymagają publicznego flow ID, ale brak auto_login — utknąłem. Wdrożenia małe (84 aktywne), prawdopodobnie 0 podatnych do wykorzystania. Szukać luk w większej skali.”

Następnie zrobiło coś, o co nie prosiło je jego zlecenie. Przeanalizowało liczby wdrożeń w dziesięciu rodzinach produktów w FOFA, przeszukało GitHub w poszukiwaniu popularnych repozytoriów proof-of-concept CVE z 2026 r. posortowanych według liczby gwiazdek, a następnie uszeregowało kandydatów według krytyczności, zasięgu i łatwości wykorzystania, zanim zdecydowało się na n8n — co uzasadniło w logu 258 gwiazdkami proof of concept i wynikiem CVSS 10.0. FOFA wskazała n8n na 647 017 instancji na świecie, w tym 25 209 w Chinach.

Łańcuch n8n obejmował CVE-2026-21858, czyli dowolny odczyt plików (arbitrary file read) o CVSS 10.0, załatany w 1.121.0, oraz CVE-2025-68613 — obejście piaskownicy prowadzące do zdalnego wykonania kodu o CVSS 9.9, załatane w 1.120.4. Agent sam sprawdził zakresy wersji — „CVE mówi, że poprawka jest w 1.121.0 dla AFR i 1.120.4+ dla RCE. Czyli v1.117.3 jest podatna na oba!" — następnie pobrał próbkę około 100 adresów spośród 25 209, sprawdził około 40 z nich i znalazł trzy działające na podatnych wersjach: 1.18.0, 1.117.3 i 1.108.2.

Wszystkie trzy zawiodły z tego samego powodu. Exploit wymaga nieuwierzytelnionego formularza z możliwością przesyłania plików, a formularze, do których dotarł, wymagały uwierzytelnienia. Agent napisał to w logu — „Te formularze mają włączone uwierzytelnianie. Sprawdzę inne cele” — przeskanował ponad 50 kolejnych chińskich celów, nie znalazł żadnych publicznie dostępnych formularzy i zatrzymał się. Odzyskana sesja kończy się w tym miejscu. Unit 42 nie odnotowuje żadnego wykorzystania ze ścieżki autonomicznej.

Gdzie faktycznie wystąpiła szkoda

Każdy potwierdzony przypadek wpływu w rejestrze pochodził ze ścieżki ręcznej, prowadzonej z użyciem konwencjonalnych procedur: enumeracji FOFA, niestandardowych skanerów Python i bezpośredniego wykorzystania.

• Citrix NetScaler ADC and Gateway, CVE-2026-3055, CVSS 9.8 — dane wykradzione z trzech organizacji. Unit 42 twierdzi, że trzy udane ataki pozwoliły wydobyć dane z pamięci poprzez odczyt poza granicami, a następnie podmiot przeszukał skradzioną zawartość w poszukiwaniu plików cookie uwierzytelniania NetScaler (NSC_AAAC=), co wskazuje na przejęcie sesji, a nie kradzież dla samej kradzieży.

• Podmiot rządowy w Malezji — uporczywie obierany za cel i wykorzystywany przez wiele dni, z użyciem tego, co Unit 42 nazywa parametrami „memory grooming” i maksymalną liczbą prób odczytu, a przy kolejnych wizytach dodano anonimizację przez proxy. To jedyny cel, który raport uznaje za wykazujący intencję wykraczającą poza oportunizm.

• Notatniki Marimo, CVE-2026-39987, CVSS 9.8 — potwierdzono wykonanie poleceń na 11 instancjach.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — próby reverse shell wymierzone w dziewięć serwerów.

• Windows IKE VPN, CVE-2026-33824, CVSS 9.8 — wywołania zwrotne reverse shell wymierzone w trzy punkty końcowe.

• Portal uwierzytelniania User-ID w PAN-OS, CVE-2026-0300, CVSS 9.8 — publiczny badawczy proof of concept, który sklonowano i nigdy nie uruchomiono. Unit 42 ustalił, że kod nie jest funkcjonalny i zawiera wartości zastępcze, które uniemożliwiają wykonanie.

Istotne są dwa ograniczenia. Nie podano nazw ofiar, więc tożsamość trzech operatorów NetScaler i malezyjskiej agencji nie jest publiczna. A Unit 42 twierdzi, że przeanalizowała dowody zbiorowego wykorzystania podatności wobec nieznanej liczby hostów, zawarte w pliku, który sprawca usunął przed analizą — co sprawia, że potwierdzona liczba stanowi dolną granicę, a nie całkowitą sumę.

Co jest ustalone, a co jest twierdzone

Mechanika tego incydentu jest, jak na incydent tego rodzaju, wyjątkowo dobrze udokumentowana. Unit 42 analizuje pliki konfiguracyjne samego operatora, logi sesji, listy celów i historię bash; lista CVE, liczby celów i tryby awarii pochodzą z tego materiału, a nie z wnioskowania na podstawie ruchu sieciowego.

Atrybucja jest łagodniejsza. „Chińskojęzyczny”, „z siedzibą w Zhuhai” oraz identyfikatory knaithe i KnYuan to oceny analityków oparte na aktywności na GitHubie, dawniejszym osobistym blogu i potoku 1DayNews. Nie towarzyszą im żadne zarzuty, sankcje ani oświadczenie rządu, a żaden z przywołanych raportów nie wymienia organizacji pokrzywdzonej.

Jedna z kwestii dotyczących egzekwowania jest wtórna i pochodzi z drugiej ręki wewnątrz samego raportu. Unit 42 przekazuje, że personel OpenAI potwierdził, iż zabezpieczenia po stronie dostawcy odrzuciły żądania naruszające politykę, a dalsze próby skłoniły ich systemy bezpieczeństwa do oznaczenia i wyłączenia konta, które ich zdaniem jest powiązane z tą kampanią, zanim Unit 42 podzieliło się z nimi swoimi informacjami wywiadowczymi. To dostawca opisujący własne działania w zakresie egzekwowania; Unit 42 nie zweryfikowało tego niezależnie.

Warto powiedzieć wprost o jednej luce: według stanu na 30 października 2026 r. podczas wyszukiwania na potrzeby tego artykułu nie natrafiono na żadne oświadczenie rządu Malezji, MyCERT ani innego krajowego CERT na temat tej kampanii. Hunt.io, drugie źródło cytowane w tym zapisie, twierdzi, że 6 lipca 2026 r. powiadomiło dotknięte organizacje i odpowiednie krajowe CERT-y oraz wstrzymało publikację na siedmiodniowy okres ujawnienia — ale powiadomienie nie jest publiczną relacją.

Dwa przywołane raporty nie zgadzają się co do Claude Code

W tym zapisie przywołano dwa dochodzenia producentów opublikowane w odstępie dwóch tygodni, które opisują różne podziały narzędzi. Unit 42 w publikacji z 30 lipca przypisuje wykonanie Hermes Agent, a DeepSeek jako silnik wnioskowania, i traktuje Claude Code jako próbę. Odzyskana historia obejmuje dziesięć wpisów w trzech sesjach zawierających kontrole /model, testy łączności i jedno żądanie npm install, wykorzystane do testowania łączności i walidacji proxy. Codex wykazuje ślady użycia w katalogach opracowywania exploitów, ale jego logi czatu nie zostały zachowane; Qwen Code otrzymał dwie sesje. Unit 42 interpretuje ten rozrzut jako operatora robiącego zakupy na rynku AI, kierującego zachodnie narzędzia przez proxy pod code.newcli[.]com, podczas gdy DeepSeek i Qwen wywołuje bezpośrednio przez ich natywne punkty końcowe API.

Hunt.io, w publikacji z 14 lipca opartej na otwartym katalogu znalezionym pod 112.213.124[.]132 na porcie 8888, opisuje odwrotny układ: Claude Code 2.1.165 jako silnik wykonawczy w trwałych sesjach między 8 a 12 czerwca 2026 r., z DeepSeek-v4-pro pod spodem odpowiadającym za rozumowanie, oraz odzyskany plik CLAUDE.md, który instruuje Claude Code, aby tworzył, testował i iterował sklonowane strony phishingowe.

Oba raporty opisują framework agenta pozostawiony do serwowania katalogu na porcie 8888. Opisują różne zbiory ofiar: potwierdzone intruzje Hunt.io dotyczą Afganistanu, Tajlandii i Tajwanu, a phishing przygotowano przeciwko dwóm organom rządu Stanów Zjednoczonych; potwierdzone ofiary Unit 42 to trzej nienazwani operatorzy Citrix oraz podmiot rządowy Malezji, a autonomiczne sondowanie było skierowane w dużej mierze na chińską infrastrukturę krajową. Żaden z raportów nie odwołuje się do drugiego, a ani archiwum, ani żaden z dostawców nie opublikowali uzgodnienia. Czytane razem wspierają jeden wniosek, a nie dwa: prace intruzyjne napędzane przez LLM były prowadzone w środowisku tego operatora w czerwcu i lipcu 2026 r. Który model znajdował się gdzie w stosie — i czy dwa raporty opisują jednego operatora, czy dwóch — nie jest rozstrzygnięte przez opublikowany zapis.

Co się zmieniło po

Ponieważ ujawnienie przyniosło dowody, najbardziej konkretna zmiana dotyczy aktora, a nie ofiar. Unit 42 twierdzi, że przekazała ustalenia członkom Cyber Threat Alliance, a na jej stronie widnieje znacznik aktualizacji z 11 sierpnia 2026 r., dwanaście dni po publikacji. Dla klientów Palo Alto wymienia reguły powierzchni ataku Cortex Xpanse dla eksponowanych urządzeń Langflow, n8n i Citrix ADC oraz zestaw sygnatur Threat Prevention.

W przypadku podatnych produktów poprawki zostały wydane przed kampanią. n8n udostępniło wersje 1.120.4 i 1.121.0 dla tych dwóch luk przed odzyskaną sesją, a agent sam odczytał te granice wersji z biuletynów bezpieczeństwa. W nocie CSA z 4 sierpnia zalecono, aby operatorzy NetScaler narażeni na CVE-2026-3055 rotowali pliki cookie uwierzytelniania sesji NSC_AAAC i przeglądali uwierzytelnione sesje pod kątem anomalii, ponieważ aktor wyraźnie polował na ten plik cookie, a także aby każdy, kto podejrzewa ekspozycję na lukę Marimo, zakładał, że wykonanie poleceń mogło już nastąpić.

Katalog Known Exploited Vulnerabilities agencji CISA, odczytany bezpośrednio 30 października 2026 r., pokazuje, jak publiczne były te informacje, zanim cokolwiek z nich zgłoszono: CVE-2025-68613 dodano 11 marca 2026 r., CVE-2026-33017 — 25 marca, CVE-2026-3055 — 30 marca, CVE-2026-39987 — 23 kwietnia, a CVE-2026-0300 — 6 maja; wszystkie przed publikacją Unit 42. Następnie 4 sierpnia dodano CVE-2026-34486, a 18 sierpnia CVE-2026-33824. CVE-2026-21858 — część n8n odpowiedzialna za odczyt plików w nieudanym łańcuchu autonomicznym — w ogóle nie występuje w katalogu.

Dlaczego marża jest kluczowym wnioskiem

Wniosek Unit 42 nie jest taki, że kampania zakończyła się sukcesem, lecz że niemal się udała. Eksploatację powstrzymała konfiguracja po stronie celu — brak auto_login, uwierzytelniane formularze — a raport stwierdza, że „cele ze słabszymi domyślnymi konfiguracjami byłyby podatne”. Jego ogólna ocena jest taka, że autonomiczne cykle ataków są operacyjnie wykonalne, a margines porażki był niewielki.

Niezależna interpretacja CSA wskazuje na tę samą asymetrię z innej perspektywy: autonomiczny rekonesans i triage skalowały się znacznie łatwiej niż autonomiczna eksploatacja, a potwierdzone, możliwe do uzbrojenia wyniki zależały od pracy kierowanej przez człowieka, nałożonej na rekonesans agenta. Obie interpretacje dotyczą kampanii jednego operatora. Dokumentacja nie zawiera twierdzenia, że autonomiczna pętla jak dotąd samodzielnie przejęła system.