Unit 42: O ciclo de ataque autônomo é viável, e todo sucesso confirmado foi manual

Em 30 de julho de 2026, a Unit 42 da Palo Alto Networks publicou uma investigação sobre um operador de língua chinesa que conectou um modelo de linguagem ao próprio ciclo de ataque: o DeepSeek sendo executado dentro do Hermes Agent, um agente de terminal de código aberto da Nous Research, recebendo instruções pelo Telegram. O operador tentou mais de 460 alvos e manteve ferramentas de exploração para sete trilhas de vulnerabilidade abrangendo oito identificadores CVE. Quase nada do que a máquina fez sem auxílio produziu um comprometimento — ambas as tentativas autônomas de exploração falharam em pré-requisitos que os alvos já haviam desativado. O que uma pessoa conduziu produziu impacto: dados de memória exfiltrados de três implantações do Citrix NetScaler, execução de comandos confirmada em onze instâncias do Marimo notebook, e um sistema do governo da Malásia explorado ao longo de vários dias consecutivos. Nenhuma vítima é nomeada em nenhum dos relatórios citados, e todo o relato foi reconstruído a partir dos próprios servidores expostos dos operadores.O registro completo, com a classificação de gravidade do arquivo e as fontes citadas, está indexado em o Orca AI Incident Archive, juntamente com as entradas vizinhas da mesma semana.

Como a operação surgiu

A Unit 42 não detectou esta campanha. O próprio agente do operador entregou-a. Em resposta a um comando do Telegram, o Hermes Agent iniciou um servidor de arquivos HTTP — python3 -m http.server 8888 — a partir do diretório inicial do ator em /home/worker, em vez de um diretório de preparação isolado. Um comportamento padrão expôs o espaço de trabalho: configurações de ferramentas de IA, chaves de API, scripts de exploração, listas de alvos, histórico do bash e os registros das sessões autônomas do Hermes que a Unit 42 usaria posteriormente para reconstruir o ciclo de ataque passo a passo.

A Unit 42 descreve a exposição como não intencional e registra que o ator não foi descuidado em outros aspectos: os diretórios de exploits foram esvaziados após o uso, e o registro de conversas no Codex foi desativado para limitar o armazenamento local de respostas. A AI Safety Initiative da Cloud Security Alliance, que analisou a mesma divulgação em 4 de agosto de 2026, fez a observação mais contundente: o operador praticou técnicas operacionais convencionais, mas os padrões de conveniência do framework de agentes desfizeram isso em um único passo — e os atacantes que adotam frameworks de agentes herdam seus padrões juntamente com suas capacidades.

Quem é o operador, com base nas evidências disponíveis

A Unit 42 nomeia o ator apenas pelo handle: knaithe e KnYuan. A avaliação de Zhuhai baseia-se na atividade no GitHub, em particular na manutenção, pelo ator, do 1DayNews, um pipeline automatizado de inteligência de vulnerabilidades que agrega divulgações de execução remota de código de 17 fontes, majoritariamente fornecedores de perímetro de rede, usa o DeepSeek para filtrá-las quanto à explorabilidade e distribui alertas pelo Telegram. Em uma entrevista à Infosecurity Magazine em 31 de julho de 2026, Andy Piazza, diretor sênior de inteligência de ameaças da Unit 42, descreveu o mesmo indivíduo como "um operador oportunista de exploits e autoproclamado pesquisador de segurança binária".

Nenhum dos dois relatórios citados alega patrocínio estatal. A nota da CSA afirma que a divulgação não identifica indicadores de patrocínio estatal, e interpreta os recursos e o escopo como compatíveis com uma única pessoa montando um fluxo de trabalho ofensivo a partir de um modelo de raciocínio de prateleira e de um framework de agentes livremente disponível. A Infosecurity Magazine reporta que os alvos da campanha abrangeram três países, incluindo a China e a Malásia.

A metade autônoma: dois produtos, duas falhas

A Unit 42 recuperou uma sessão completa do Hermes Agent, datada de maio de 2026, e não conseguiu recuperar a entrada do operador além da tarefa inicial. O que os logs mostram é um agente escolhendo seus próprios alvos e abandonando-os, sem instrução.

Começou com o Langflow e o CVE-2026-33017, CVSS 9,8. Baixou a prova de conceito pública do GitHub, enumerou 84 instâncias do Langflow por meio do mecanismo chinês de busca de ativos FOFA usando a consulta title="Langflow" e encontrou uma executando uma versão vulnerável, a 1.3.4. A tentativa falhou porque a falha exige auto_login habilitado ou um public flow ID, e o alvo não tinha nenhum dos dois. O próprio veredicto do agente, citado no relatório: "Todas as três instâncias do Langflow precisam de public flow ID, mas não têm auto_login — travado. Implantações pequenas (84 ativas), provavelmente 0 exploráveis. Busque por vulnerabilidades de maior escala."

Em seguida, fez o que suas instruções não haviam pedido. Analisou contagens de implantações em dez famílias de produtos no FOFA, pesquisou no GitHub repositórios de prova de conceito de CVE de 2026 em alta, classificados por estrelas, e ranqueou candidatos por severidade, abrangência e explorabilidade antes de optar pelo n8n — justificado no log pelas 258 estrelas da prova de conceito e pelo CVSS 10,0. O FOFA situou o n8n em 647.017 instâncias no mundo todo, 25.209 delas na China.

A cadeia do n8n era CVE-2026-21858, leitura arbitrária de arquivos com CVSS 10,0 e corrigida na 1.121.0, além de CVE-2025-68613, um bypass de sandbox para execução remota de código com CVSS 9,9 e corrigido na 1.120.4. O agente verificou as faixas de versões por conta própria — "A CVE diz que foi corrigida na 1.121.0 para AFR e na 1.120.4+ para RCE. Portanto, a v1.117.3 é vulnerável a ambas!" — depois amostrou cerca de 100 endereços dos 25.209, sondou cerca de 40 deles e encontrou três executando versões vulneráveis: 1.18.0, 1.117.3 e 1.108.2.

Os três falharam pelo mesmo motivo. O exploit precisa de um formulário não autenticado com upload de arquivo, e os formulários que ele alcançou exigiam autenticação. O agente disse isso no log — "Esses formulários têm autenticação habilitada. Vou verificar outros alvos" — escaneou mais de 50 outros alvos chineses, não encontrou nenhum formulário acessível publicamente e parou. A sessão recuperada termina aí. A Unit 42 não registra nenhuma exploração proveniente da via autônoma.

Onde o dano realmente incidiu

Todos os impactos confirmados no registro vieram da trilha manual, executada com fluxos de trabalho convencionais: enumeração FOFA, scanners Python personalizados e exploração direta.

• Citrix NetScaler ADC and Gateway, CVE-2026-3055, CVSS 9.8 — dados exfiltrados de três organizações. A Unit 42 afirma que os três êxitos extraíram dados da memória por meio da leitura fora dos limites e que o ator então procurou no conteúdo roubado cookies de autenticação do NetScaler (NSC_AAAC=), o que aponta para sequestro de sessão, e não para roubo por si só.

• Uma entidade governamental na Malásia — visada persistentemente e explorada ao longo de vários dias, com o que a Unit 42 chama de parâmetros de preparação de memória e tentativas máximas de leitura, e com anonimização por proxy acrescentada em visitas subsequentes. Este é o único alvo que o relatório considera demonstrar intenção além do oportunismo.

• Notebooks Marimo, CVE-2026-39987, CVSS 9.8 — execução de comandos confirmada em 11 instâncias.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — tentativas de shell reverso contra nove servidores.

• Windows IKE VPN, CVE-2026-33824, CVSS 9.8 — callbacks de shell reverso destinados a três endpoints.

• Portal de Autenticação User-ID do PAN-OS, CVE-2026-0300, CVSS 9.8 — uma prova de conceito de pesquisa pública clonada e nunca executada. O Unit 42 descobriu que o código não é funcional, com valores de espaço reservado que não permitem a execução.

Duas limitações são importantes. As vítimas não são nomeadas, portanto a identidade dos três operadores do NetScaler e da agência malaia não é pública. E a Unit 42 diz que examinou evidências de exploração em lote contra um número desconhecido de hosts que apareceram em um arquivo que o ator apagou antes da análise — o que faz da contagem confirmada um limite mínimo, não um total.

O que está estabelecido, e o que é afirmado

A mecânica é excepcionalmente bem evidenciada para um incidente desse tipo. A Unit 42 está lendo os próprios arquivos de configuração do operador, registros de sessão, listas de alvos e histórico do bash; a lista de CVEs, as contagens de alvos e os modos de falha vêm desse material, e não de inferências sobre o tráfego de rede.

A atribuição é mais branda. "Falante de chinês", "com base em Zhuhai" e os identificadores knaithe e KnYuan são avaliações de analistas construídas a partir da atividade no GitHub, de um blog pessoal mais antigo e do pipeline do 1DayNews. Nenhuma acusação, sanção ou declaração governamental os acompanha, e nenhum dos relatórios citados nomeia uma organização vítima.

Uma alegação de fiscalização é de segunda mão dentro do próprio relatório. A Unit 42 relata que funcionários da OpenAI confirmaram que as salvaguardas do lado do provedor recusaram solicitações que violavam a política, e que tentativas continuadas levaram seus sistemas de segurança a sinalizar e desativar uma conta que acreditam estar ligada a esta campanha, antes de a Unit 42 compartilhar suas informações de inteligência com eles. Trata-se de um fornecedor descrevendo sua própria fiscalização; a Unit 42 não a verificou de forma independente.

Uma lacuna merece ser declarada abertamente: nenhuma declaração do governo malaio, do MyCERT ou de outro CERT nacional sobre esta campanha apareceu nas pesquisas para este artigo até 30 de outubro de 2026. O Hunt.io, a segunda fonte citada para este registro, afirma que notificou as organizações afetadas e os CERTs nacionais relevantes em 6 de julho de 2026 e manteve a publicação suspensa durante uma janela de divulgação de sete dias — mas uma notificação não é um relato público.

Os dois relatórios citados não concordam sobre Claude Code

Este registro cita duas investigações de fornecedores publicadas com duas semanas de intervalo, e elas descrevem divisões de ferramentas diferentes. A Unit 42, escrevendo em 30 de julho, atribui a execução ao Hermes Agent com o DeepSeek como motor de raciocínio, e trata o Claude Code como um teste. O histórico recuperado é de dez entradas em três sessões, contendo verificações de /model, testes de conectividade e uma solicitação de npm install, usados para teste de conectividade e validação de proxy. O Codex mostra sinais de uso em diretórios de desenvolvimento de exploits, mas seus registros de chat não foram preservados; o Qwen Code teve duas sessões. A Unit 42 interpreta essa distribuição como um operador fazendo compras no mercado de IA, roteando as ferramentas ocidentais por meio de um proxy em code.newcli[.]com enquanto chama o DeepSeek e o Qwen diretamente por seus endpoints nativos de API.

Hunt.io, publicando em 14 de julho a partir de um diretório aberto que encontrou em 112.213.124[.]132 na porta 8888, descreve o arranjo oposto: o Claude Code 2.1.165 como mecanismo de execução em sessões persistentes entre 8 e 12 de junho de 2026, com o DeepSeek-v4-pro por baixo fazendo o raciocínio, e um arquivo CLAUDE.md recuperado instruindo o Claude Code a criar, testar e iterar páginas de phishing clonadas.

Os dois relatórios descrevem um framework de agente deixado a servir um diretório na porta 8888. Descrevem conjuntos de vítimas diferentes: as intrusões confirmadas pela Hunt.io ocorreram no Afeganistão, na Tailândia e em Taiwan, com phishing preparado contra dois organismos governamentais dos Estados Unidos; as vítimas confirmadas pela Unit 42 são três operadores Citrix não identificados e uma entidade governamental malaia, com a sondagem autónoma dirigida em grande parte a infraestrutura interna chinesa. Nenhum dos relatórios faz referência cruzada ao outro, e nem o arquivo nem qualquer dos fornecedores publicou uma reconciliação. Lidos em conjunto, sustentam uma conclusão, não duas: havia trabalho de intrusão conduzido por LLM em execução dentro do ambiente deste operador em junho e julho de 2026. Qual modelo ocupava que posição na pilha — e se os dois relatórios descrevem um operador ou dois — não é algo que o registo publicado permita determinar.

O que mudou depois

Como a exposição produziu as evidências, a mudança mais concreta diz respeito ao ator, e não às vítimas. A Unit 42 diz que compartilhou as descobertas com membros da Cyber Threat Alliance, e sua página traz um carimbo de atualização de 11 de agosto de 2026, doze dias após a publicação. Para clientes da Palo Alto, ela lista regras de superfície de ataque do Cortex Xpanse para appliances Langflow, n8n e Citrix ADC expostos, além de um conjunto de assinaturas do Threat Prevention.

Nos produtos vulneráveis, as correções são anteriores à campanha. O n8n lançou as versões 1.120.4 e 1.121.0 para as duas falhas antes da sessão recuperada, e o próprio agente leu esses limites de versão nos avisos de segurança. A nota da CSA de 4 de agosto recomenda que os operadores de NetScaler expostos à CVE-2026-3055 rotacionem os cookies NSC_AAAC de autenticação de sessão e revisem as sessões autenticadas em busca de anomalias, já que o ator estava explicitamente à caça desse cookie, e que qualquer pessoa com suspeita de exposição à falha do Marimo parta do princípio de que a execução de comandos pode já ter ocorrido.

O catálogo de Vulnerabilidades Exploradas Conhecidas da CISA, consultado diretamente em 30 de outubro de 2026, mostra o quão público esse material já era antes de qualquer parte dele ser reportada: CVE-2025-68613 foi adicionado em 11 de março de 2026, CVE-2026-33017 em 25 de março, CVE-2026-3055 em 30 de março, CVE-2026-39987 em 23 de abril e CVE-2026-0300 em 6 de maio — todos antes de a Unit 42 publicar. CVE-2026-34486 veio em seguida em 4 de agosto, e CVE-2026-33824 em 18 de agosto. CVE-2026-21858, a parte de leitura de arquivos do n8n da cadeia autônoma que falhou, não aparece no catálogo de forma alguma.

Por que a margem é o achado

A conclusão da Unit 42 não é que a campanha tenha sido bem-sucedida, mas que quase foi. A exploração foi impedida pela configuração do lado do alvo — a ausência de auto_login, os formulários autenticados — e o relatório afirma que "alvos com configurações padrão mais fracas teriam sido suscetíveis". Sua avaliação geral é que os ciclos de ataque autônomos são operacionalmente viáveis e que a margem de falha era estreita.

A leitura independente da CSA aponta para a mesma assimetria sob um ângulo diferente: o reconhecimento e a triagem autônomos escalaram muito mais facilmente do que a exploração autônoma, e os resultados confirmados e passíveis de conversão em arma dependiam de trabalho dirigido por humanos sobreposto ao reconhecimento do agente. Ambas as leituras abrangem a campanha de um único operador. O registro não contém qualquer afirmação de que um ciclo autônomo já tenha assumido o controle de um sistema por conta própria.