Unit 42: Den autonoma attackloopen är genomförbar, och varje bekräftad framgång var manuell

Den 30 juli 2026 publicerade Palo Alto Networks Unit 42 en undersökning av en kinesisktalande operatör som hade kopplat in en språkmodell i själva attackloopen: DeepSeek som kördes i Hermes Agent, en öppen källkods-terminalagent från Nous Research, och tog instruktioner via Telegram. Operatören gjorde försök mot fler än 460 mål och behöll exploitverktyg för sju sårbarhetsspår som omfattade åtta CVE-identifierare. Nästan inget som maskinen gjorde på egen hand ledde till att något system komprometterades – båda autonoma exploitförsöken dog på förutsättningar som målen redan hade stängt av. Det som en människa drev på hade däremot effekt: minnesdata exfiltrerades från tre Citrix NetScaler-distributioner, kommandokörning bekräftades på elva Marimo-notebookinstanser och ett malaysiskt regeringssystem bearbetades under flera dagar i följd. Inget offer namnges i någon av de citerade rapporterna, och hela redogörelsen rekonstruerades från operatörernas egna exponerade servrar. Den fullständiga dokumentationen, med arkivets allvarlighetsklassning och citerade källor, är indexerad i the Orca AI Incident Archive, tillsammans med närliggande poster från samma vecka.

Hur operationen blev synlig

Unit 42 upptäckte inte denna kampanj. Operatörens egen agent överlämnade den. Som svar på ett Telegramkommando startade Hermes Agent en HTTP-filserver – python3 -m http.server 8888 – från aktörens hemkatalog på /home/worker i stället för från en isolerad staging-katalog. Ett standardbeteende exponerade arbetsytan: AI-verktygskonfigurationer, API-nycklar, exploitskript, mållistor, bash-historik och Hermes autonoma sessionsloggar som Unit 42 senare skulle använda för att rekonstruera attackcykeln steg för steg.

Unit 42 beskriver exponeringen som oavsiktlig och noterar att aktören inte var slarvig i övrigt: exploit-kataloger tömdes efter användning, och konversationsloggning i Codex avaktiverades för att begränsa lokal lagring av svar. Cloud Security Alliances AI Safety Initiative, som analyserade samma avslöjande den 4 augusti 2026, framförde den vassare poängen: operatören tillämpade konventionell tradecraft, men agentramverkets bekvämlighetsstandardvärden gjorde det ogjort i ett enda steg – och angripare som antar agentramverk ärver deras standardvärden tillsammans med deras kapaciteter.

Vem operatören är, utifrån tillgängliga bevis

Unit 42 namnger aktören endast med användarnamnen knaithe och KnYuan. Zhuhai-bedömningen vilar på GitHub-aktivitet, särskilt aktörens underhåll av 1DayNews, en automatiserad pipeline för sårbarhetsinformation som samlar in avslöjanden om fjärrkörning av kod från 17 källor, mestadels nätverksperimeterleverantörer, använder DeepSeek för att filtrera dem efter exploaterbarhet och distribuerar larm via Telegram. I en intervju med Infosecurity Magazine den 31 juli 2026 beskrev Andy Piazza, seniordirektör för hotintelligens på Unit 42, samma individ som "en opportunistisk exploitoperatör och självutnämnd binär säkerhetsforskare".

Inget i någon av de citerade rapporterna påstår statlig sponsring. CSA:s notering anger att avslöjandet inte identifierar några indikatorer på statligt stöd, och tolkar resurserna och omfattningen som förenliga med att en person sammanställer ett offensivt arbetsflöde av en vanlig resonemangsmodell och ett fritt tillgängligt agentramverk. Infosecurity Magazine rapporterar att kampanjens mål omfattade tre länder, däribland Kina och Malaysia.

Den autonoma hälften: två produkter, två misslyckanden

Unit 42 återställde en fullständig Hermes Agent-session, daterad maj 2026, och kunde inte återställa operatörsinmatning bortom den inledande uppgiften. Det loggarna visar är en agent som väljer sina egna mål och överger dem utan instruktion.

Det började med Langflow och CVE-2026-33017, CVSS 9,8. Den laddade ner det offentliga proof of conceptet från GitHub, räknade upp 84 Langflow-instanser via den kinesiska sökmotorn för tillgångar FOFA med frågan title="Langflow", och hittade en som körde en sårbar version, 1.3.4. Försöket misslyckades eftersom sårbarheten kräver antingen auto_login aktiverat eller ett offentligt flow-ID, och målet hade ingendera. Agentens egen dom, citerad i rapporten: "Alla tre Langflow behöver offentligt flow-ID men inget auto_login – fast. Distributionerna små (84 levande), troligen 0 exploaterbara. Sök efter sårbarheter i större skala."

Det gjorde sedan det som dess instruktion inte hade begärt. Det undersökte antalet driftsättningar för tio produktfamiljer på FOFA, sökte på GitHub efter trendande proof-of-concept-repositorier för CVE:er från 2026 sorterade efter stjärnor och rankade kandidater efter allvarlighetsgrad, fotavtryck och exploaterbarhet innan det till slut valde n8n – motiverat i loggen med proof of conceptets 258 stjärnor och CVSS 10,0. Enligt FOFA fanns n8n på 647 017 instanser världen över, varav 25 209 i Kina.

n8n-kedjan var CVE-2026-21858, godtycklig filläsning med CVSS 10,0 och patchad i 1.121.0, plus CVE-2025-68613, en sandlådebypass till fjärrkodskörning med CVSS 9,9 och patchad i 1.120.4. Agenten kontrollerade versionsintervallen själv – "CVE säger att den är fixad i 1.121.0 för AFR och 1.120.4+ för RCE. Så v1.117.3 är sårbar för båda!" – och tog sedan ett urval på ungefär 100 adresser av de 25 209, testade cirka 40 av dem och hittade tre som körde sårbara versioner: 1.18.0, 1.117.3 och 1.108.2.

Alla tre misslyckades av samma anledning. Exploateringen kräver ett oautentiserat formulär med filuppladdning, och de formulär den nådde krävde autentisering. Agenten sade det i loggen – "De här formulären har autentisering aktiverad. Låt mig kontrollera andra mål" – skannade över 50 ytterligare kinesiska mål, hittade inga offentligt åtkomliga formulär och stoppade. Den återställda sessionen slutar där. Unit 42 registrerar ingen exploatering från det autonoma spåret över huvud taget.

Där skadan faktiskt landade

Varje bekräftad påverkan i protokollet kom från det manuella spåret, som kördes med konventionella arbetsflöden: FOFA-enumerering, anpassade Python-skannrar och direkt exploatering.

• Citrix NetScaler ADC och Gateway, CVE-2026-3055, CVSS 9.8 – data exfiltrerades från tre organisationer. Unit 42 uppger att de tre lyckade fallen hämtade ut minnesdata genom out-of-bounds-läsningen, och att aktören sedan sökte igenom det stulna innehållet efter NetScaler-autentiseringscookies (NSC_AAAC=), vilket tyder på sessionskapning snarare än stöld för stöldens skull.

• En statlig myndighet i Malaysia – utsattes ihållande och exploaterades under flera dagar, med vad Unit 42 kallar parametrar för memory grooming och maximalt antal läsförsök, samt med proxyanonymisering tillagd vid efterföljande besök. Detta är det enda mål som rapporten anser visa avsikt utöver opportunism.

• Marimo notebooks, CVE-2026-39987, CVSS 9.8 – kommandoexekvering bekräftad på 11 instanser.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — försök med reverse shell mot nio servrar.

• Windows IKE VPN, CVE-2026-33824, CVSS 9.8 — reverse-shell-återanrop riktade mot tre slutpunkter.

• PAN-OS User-ID Authentication Portal, CVE-2026-0300, CVSS 9.8 – ett offentligt forskningsproof of concept som klonats och aldrig körts. Unit 42 fann att koden inte fungerar, med platshållarvärden som inte kan möjliggöra körning.

Två begränsningar har betydelse. Offren namnges inte, så identiteten hos de tre NetScaler-operatörerna och den malaysiska myndigheten är inte offentlig. Och Unit 42 uppger att man har granskat bevis på batchvis exploatering mot ett okänt antal värdar som förekom i en fil som aktören raderade före analysen – vilket gör det bekräftade antalet till en undre gräns, inte en totalsiffra.

Vad som är fastställt och vad som påstås

Mekaniken är ovanligt väl belagd för en incident av det här slaget. Unit 42 läser operatörens egna konfigurationsfiler, sessionsloggar, mållistor och bash-historik; CVE-listan, antalet mål och felmoderna kommer från det materialet snarare än från slutledningar om nätverkstrafik.

Attribueringen är mjukare. "Kinesisktalande", "baserad i Zhuhai" och användarnamnen knaithe och KnYuan är analytikerbedömningar som bygger på GitHub-aktivitet, en äldre personlig blogg och 1DayNews-pipelinen. Inga åtal, sanktioner eller regeringsuttalanden åtföljer dem, och ingen av de citerade rapporterna namnger en drabbad organisation.

Ett påstående om åtgärder är andrahandsinformation i själva rapporten. Unit 42 vidarebefordrar att OpenAIs personal bekräftade att deras leverantörssidiga skyddsåtgärder nekade förfrågningar som bröt mot policyn, och att fortsatta försök ledde till att deras säkerhetssystem flaggade och inaktiverade ett konto som de tror är kopplat till denna kampanj, innan Unit 42 delade sin underrättelseinformation med dem. Det är en leverantör som beskriver sina egna åtgärder; Unit 42 verifierade det inte självständigt.

En lucka är värd att nämna rakt ut: inget uttalande från den malaysiska regeringen, MyCERT eller andra nationella CERT om denna kampanj framkom i sökningarna inför den här artikeln per den 30 oktober 2026. Hunt.io, den andra citerade källan för denna uppgift, säger att den underrättade de drabbade organisationerna och de berörda nationella CERT:erna den 6 juli 2026 och höll kvar publiceringen under ett sjudagarsfönster för offentliggörande – men en underrättelse är inte en offentlig redogörelse.

De två citerade rapporterna stämmer inte överens om Claude Code

Detta dokument citerar två leverantörsundersökningar som publicerades två veckor efter varandra, och de beskriver olika uppdelningar av verktyg. Unit 42, som skriver den 30 juli, tilldelar utförandet till Hermes Agent med DeepSeek som resonemangsmotor och behandlar Claude Code som ett försök. Den återvunna historiken består av tio poster fördelade på tre sessioner med /model-kontroller, anslutningstester och en npm install-begäran, som användes för anslutningstestning och proxyvalidering. Codex visar tecken på användning i kataloger för exploitutveckling, men dess chattloggar bevarades inte; Qwen Code fick två sessioner. Unit 42 tolkar spridningen som en operatör som söker sig runt på AI-marknaden, dirigerar de västerländska verktygen via en proxy på code.newcli[.]com medan DeepSeek och Qwen anropas direkt via deras inbyggda API-slutpunkter.

Hunt.io beskriver, när företaget den 14 juli publicerade från en öppen katalog som det hittade på 112.213.124[.]132 på port 8888, det motsatta upplägget: Claude Code 2.1.165 som exekveringsmotor över bestående sessioner mellan 8 och 12 juni 2026, med DeepSeek-v4-pro under som står för resonemanget, och en återfunnen CLAUDE.md-fil som instruerar Claude Code att skapa, testa och iterera klonade nätfiskesidor.

Båda rapporterna beskriver ett agentramverk som lämnats kvar och betjänar en katalog på port 8888. De beskriver olika offergrupper: Hunt.io:s bekräftade intrång finns i Afghanistan, Thailand och Taiwan, med phishing iscensatt mot två amerikanska myndigheter; Unit 42:s bekräftade offer är tre ej namngivna Citrix-operatörer och en malaysisk statlig enhet, med den autonoma sonderingen i huvudsak riktad mot kinesisk inhemsk infrastruktur. Ingen av rapporterna hänvisar till den andra, och varken arkivet eller någon av leverantörerna har publicerat en avstämning. Lästa tillsammans stöder de en enda slutsats, inte två: LLM-drivet intrångsarbete pågick i den här operatörens miljö i juni och juli 2026. Vilken modell som satt var i stacken – och huruvida de två rapporterna beskriver en eller två operatörer – avgörs inte av det publicerade materialet.

Vad förändrades efter

Eftersom exponeringen frambringade bevisen gäller den mest konkreta förändringen aktören snarare än offren. Unit 42 uppger att man delade fynden med medlemmarna i Cyber Threat Alliance, och dess sida har en uppdateringsstämpel daterad 11 augusti 2026, tolv dagar efter publiceringen. För Palo Altos kunder listar man Cortex Xpanse-regler för angreppsyta för exponerade Langflow-, n8n- och Citrix ADC-apparater, plus en uppsättning Threat Prevention-signaturer.

På de sårbara produkterna föregick korrigeringarna kampanjen. n8n släppte 1.120.4 och 1.121.0 för de två sårbarheterna före den återställda sessionen, och agenten läste själv av dessa versionsgränser från säkerhetsmeddelandena. CSAs meddelande från den 4 augusti rekommenderar att NetScaler-operatörer som är exponerade mot CVE-2026-3055 roterar NSC_AAAC-cookies för sessionsautentisering och granskar autentiserade sessioner för avvikelser, eftersom aktören uttryckligen jagade den cookien, och att alla med misstänkt exponering för Marimo-sårbarheten antar att kommandokörning redan kan ha skett.

CISA:s katalog Known Exploited Vulnerabilities, läst direkt den 30 oktober 2026, visar hur offentligt detta material var innan något av det rapporterades: CVE-2025-68613 lades till den 11 mars 2026, CVE-2026-33017 den 25 mars, CVE-2026-3055 den 30 mars, CVE-2026-39987 den 23 april och CVE-2026-0300 den 6 maj – alla innan Unit 42 publicerade. CVE-2026-34486 följde den 4 augusti och CVE-2026-33824 den 18 augusti. CVE-2026-21858, n8n-filläsningsdelen av den misslyckade autonoma kedjan, förekommer inte alls i katalogen.

Varför marginalen är fyndet

Unit 42:s slutsats är inte att kampanjen lyckades, utan att den nästan gjorde det. Exploateringen stoppades av konfigurationen på målsidan – den saknade auto_login, de autentiserade formulären – och rapporten konstaterar att "mål med svagare standardkonfigurationer skulle ha varit mottagliga". Dess övergripande bedömning är att autonoma attackcykler är operativt genomförbara och att marginalen för misslyckande var smal.

CSA:s oberoende tolkning pekar på samma asymmetri ur en annan vinkel: autonom spaning och triage skalades mycket lättare än autonom exploatering, och de bekräftade, vapeniserbara resultaten berodde på människostyrt arbete som lades ovanpå agentens spaning. Båda tolkningarna avser en och samma operatörs kampanj. Materialet innehåller inget påstående om att en autonom slinga ännu har tagit över ett system på egen hand.