Unit 42: Vòng lặp tấn công tự động là khả thi, và mọi thành công được xác nhận đều là thủ công

Ngày 30 tháng 7 năm 2026, Unit 42 của Palo Alto Networks đã công bố một cuộc điều tra về một kẻ vận hành nói tiếng Trung, kẻ đã nối một mô hình ngôn ngữ vào chính vòng lặp tấn công: DeepSeek chạy bên trong Hermes Agent, một tác tử terminal mã nguồn mở của Nous Research, nhận chỉ thị qua Telegram. Kẻ vận hành này đã thử với hơn 460 mục tiêu và duy trì bộ công cụ khai thác cho bảy hướng lỗ hổng trải rộng tám mã định danh CVE. Gần như không có gì cỗ máy tự làm mà không có sự trợ giúp lại dẫn đến một vụ xâm phạm — cả hai nỗ lực khai thác tự động đều chết ở những điều kiện tiên quyết mà các mục tiêu đã tắt từ trước. Những gì do con người điều khiển thì lại tạo ra tác động: dữ liệu bộ nhớ bị rút trích khỏi ba triển khai Citrix NetScaler, thực thi lệnh được xác nhận trên mười một phiên bản Marimo notebook, và một hệ thống của chính phủ Malaysia bị khai thác trong nhiều ngày liên tiếp. Không có nạn nhân nào được nêu tên trong cả hai báo cáo được trích dẫn, và toàn bộ câu chuyện được dựng lại từ chính những máy chủ bị phơi lộ của những kẻ vận hành. Bản ghi đầy đủ, cùng với xếp hạng mức độ nghiêm trọng của kho lưu trữ và các nguồn được trích dẫn, được lập chỉ mục trong Orca AI Incident Archive, cùng với các mục liền kề từ cùng tuần đó.

Cách thao tác hiện ra trong tầm nhìn

Unit 42 đã không phát hiện chiến dịch này. Chính tác nhân của kẻ điều hành đã tự giao nộp nó. Để phản hồi một lệnh Telegram, Hermes Agent đã khởi động một máy chủ tệp HTTP — python3 -m http.server 8888 — từ thư mục home của tác nhân tại /home/worker thay vì từ một thư mục trung gian cách ly. Một hành vi mặc định đã làm lộ không gian làm việc: cấu hình công cụ AI, khóa API, script khai thác, danh sách mục tiêu, lịch sử bash và nhật ký phiên tự trị của Hermes mà Unit 42 sau đó sẽ dùng để tái dựng chu kỳ tấn công từng bước một.

Unit 42 mô tả sự phơi lộ này là ngoài ý muốn, và ghi nhận rằng đối tượng vận hành không hề bất cẩn ở những chỗ khác: các thư mục exploit đã bị dọn trống sau khi dùng, và tính năng ghi log hội thoại trong Codex đã bị tắt để hạn chế việc lưu phản hồi cục bộ. AI Safety Initiative của Cloud Security Alliance, vốn đã phân tích cùng tiết lộ đó vào ngày 4 tháng 8 năm 2026, đưa ra một điểm sắc bén hơn: kẻ vận hành đã áp dụng đúng các kỹ thuật thông thường, nhưng chính những thiết lập mặc định tiện lợi của framework agent đã phá hỏng tất cả chỉ trong một bước — và những kẻ tấn công chấp nhận framework agent sẽ thừa hưởng cả các mặc định lẫn các năng lực của chúng.

Người vận hành là ai, dựa trên bằng chứng hiện có

Unit 42 chỉ gọi tên chủ thể bằng tên người dùng: knaithe và KnYuan. Đánh giá Zhuhai dựa trên hoạt động trên GitHub, đặc biệt là việc chủ thể duy trì 1DayNews, một pipeline tình báo lỗ hổng tự động tổng hợp các công bố về thực thi mã từ xa từ 17 nguồn, chủ yếu là các nhà cung cấp thiết bị vành đai mạng, sử dụng DeepSeek để lọc chúng theo khả năng khai thác và phân phối cảnh báo qua Telegram. Trong một cuộc phỏng vấn với Infosecurity Magazine vào ngày 31 tháng 7 năm 2026, Andy Piazza, giám đốc cấp cao về tình báo mối đe dọa tại Unit 42, đã mô tả cùng cá nhân đó là "một kẻ vận hành khai thác theo cơ hội và tự nhận là nhà nghiên cứu bảo mật nhị phân".

Không có nội dung nào trong hai báo cáo được trích dẫn cáo buộc tài trợ nhà nước. Ghi chú của CSA nêu rằng thông tin công bố không xác định bất kỳ chỉ dấu tài trợ nhà nước nào, và đánh giá việc cấp nguồn lực và phạm vi là phù hợp với một người duy nhất lắp ghép một quy trình tấn công từ một mô hình suy luận phổ thông và một khung tác nhân có sẵn miễn phí. Infosecurity Magazine đưa tin rằng các mục tiêu của chiến dịch trải rộng ba quốc gia, bao gồm Trung Quốc và Malaysia.

Nửa tự trị: hai sản phẩm, hai thất bại

Unit 42 đã khôi phục được một phiên Hermes Agent hoàn chỉnh, đề ngày tháng 5 năm 2026, và không thể khôi phục đầu vào của người vận hành ngoài nhiệm vụ ban đầu. Những gì nhật ký cho thấy là một tác nhân tự chọn mục tiêu của riêng mình, rồi từ bỏ chúng, mà không có chỉ dẫn nào.

Mọi chuyện bắt đầu với Langflow và CVE-2026-33017, CVSS 9.8. Nó đã tải bản proof of concept công khai từ GitHub, liệt kê 84 instance Langflow thông qua công cụ tìm kiếm tài sản FOFA của Trung Quốc bằng truy vấn title="Langflow", và phát hiện một instance đang chạy bản dựng dễ bị tổn thương, 1.3.4. Nỗ lực đã thất bại vì lỗ hổng yêu cầu hoặc bật auto_login hoặc có flow ID công khai, trong khi mục tiêu không có cả hai. Kết luận của chính tác nhân, được trích dẫn trong báo cáo: “Cả ba Langflow đều cần flow ID công khai nhưng không có auto_login — bế tắc. Các triển khai nhỏ (84 còn hoạt động), khả năng khai thác có lẽ là 0. Hãy tìm các lỗ hổng quy mô lớn hơn.”

Sau đó, nó làm những việc mà chỉ dẫn ban đầu của nó không hề yêu cầu. Nó đã khảo sát số lượng triển khai trên mười họ sản phẩm trên FOFA, tìm kiếm trên GitHub các kho lưu trữ proof-of-concept CVE năm 2026 đang thịnh hành được sắp xếp theo số sao, và xếp hạng các ứng viên theo mức độ nghiêm trọng, phạm vi hiện diện và khả năng khai thác trước khi chọn n8n — được biện minh trong nhật ký bằng 258 sao của proof of concept và CVSS 10.0. FOFA ghi nhận n8n có 647.017 thực thể triển khai trên toàn thế giới, trong đó 25.209 ở Trung Quốc.

Chuỗi lỗ hổng n8n gồm CVE-2026-21858, lỗi đọc tệp tùy ý ở mức CVSS 10.0 và đã được vá trong 1.121.0, cùng với CVE-2025-68613, một lỗi vượt qua sandbox dẫn đến thực thi mã từ xa ở mức CVSS 9.9 và đã được vá trong 1.120.4. Tác nhân đã tự kiểm tra các dải phiên bản — "CVE cho biết đã sửa trong 1.121.0 đối với AFR và 1.120.4+ đối với RCE. Vậy v1.117.3 dễ bị tổn thương bởi cả hai!" — sau đó lấy mẫu khoảng 100 địa chỉ trong số 25.209, thăm dò khoảng 40 trong số đó, và phát hiện ba địa chỉ đang chạy các phiên bản dễ bị tổn thương: 1.18.0, 1.117.3 và 1.108.2.

Cả ba đều thất bại vì cùng một lý do. Cuộc khai thác cần một biểu mẫu không cần xác thực có chức năng tải tệp lên, và những biểu mẫu mà nó tiếp cận được lại yêu cầu xác thực. Tác nhân đã nói vậy trong nhật ký — “Những biểu mẫu này đã bật xác thực. Để tôi kiểm tra các mục tiêu khác” — đã quét thêm hơn 50 mục tiêu Trung Quốc, không tìm thấy biểu mẫu nào truy cập công khai được, và dừng lại. Phiên được khôi phục kết thúc ở đó. Unit 42 không ghi nhận bất kỳ vụ khai thác nào từ nhánh tự động.

Nơi tổn hại thực sự giáng xuống

Mọi tác động đã được xác nhận trong hồ sơ đều đến từ nhánh thủ công, được triển khai với các quy trình thông thường: liệt kê FOFA, các trình quét Python tự phát triển và khai thác trực tiếp.

• Citrix NetScaler ADC và Gateway, CVE-2026-3055, CVSS 9.8 — dữ liệu bị đánh cắp từ ba tổ chức. Unit 42 cho biết ba vụ thành công đã lấy dữ liệu bộ nhớ ra ngoài thông qua lỗi đọc ngoài giới hạn (out-of-bounds read), và kẻ tấn công sau đó đã tìm kiếm trong nội dung bị đánh cắp để tìm cookie xác thực NetScaler (NSC_AAAC=), điều này cho thấy mục đích là chiếm đoạt phiên (session hijacking) chứ không phải đánh cắp vì mục đích tự thân.

• Một cơ quan chính phủ ở Malaysia — bị nhắm mục tiêu dai dẳng và bị khai thác trong nhiều ngày, với những gì Unit 42 gọi là tham số memory grooming và số lần đọc tối đa, cùng với việc bổ sung ẩn danh qua proxy trong các lần truy cập sau. Đây là mục tiêu duy nhất mà báo cáo coi là thể hiện ý định vượt ra ngoài hành vi tận dụng cơ hội.

• Marimo notebooks, CVE-2026-39987, CVSS 9.8 — đã xác nhận thực thi lệnh trên 11 phiên bản triển khai.

• Apache Tomcat, CVE-2026-34486, CVSS 7.5 — các nỗ lực reverse-shell nhắm vào chín máy chủ.

• Windows IKE VPN, CVE-2026-33824, CVSS 9.8 — các cuộc gọi lại reverse-shell nhắm vào ba điểm cuối.

• PAN-OS User-ID Authentication Portal, CVE-2026-0300, CVSS 9.8 — một bản proof of concept nghiên cứu công khai đã bị sao chép và chưa từng được thực thi. Unit 42 phát hiện mã này không hoạt động, với các giá trị giữ chỗ không thể đạt được việc thực thi.

Có hai giới hạn đáng lưu ý. Danh tính các nạn nhân không được nêu, nên danh tính của ba nhà vận hành NetScaler và của cơ quan Malaysia không được công khai. Và Unit 42 cho biết đã xem xét bằng chứng về việc khai thác hàng loạt nhắm vào một số lượng máy chủ chưa xác định xuất hiện trong một tệp mà kẻ tấn công đã xóa trước khi phân tích — điều này khiến số lượng được xác nhận chỉ là mức tối thiểu, chứ không phải tổng số.

Điều gì đã được xác lập, và điều gì được khẳng định

Cơ chế vận hành của một sự cố kiểu này hiếm khi được chứng minh bằng bằng chứng đầy đủ đến vậy. Unit 42 đang đọc chính các tệp cấu hình, nhật ký phiên, danh sách mục tiêu và lịch sử bash của kẻ vận hành; danh sách CVE, số lượng mục tiêu và các kiểu thất bại đều được rút ra từ tư liệu đó chứ không phải từ suy luận về lưu lượng mạng.

Việc quy kết nhẹ nhàng hơn. “Nói tiếng Trung”, “có trụ sở tại Chu Hải” và các tên tài khoản knaithe và KnYuan là những đánh giá của nhà phân tích được xây dựng dựa trên hoạt động trên GitHub, một blog cá nhân cũ hơn và quy trình 1DayNews. Không có cáo buộc, biện pháp trừng phạt hay tuyên bố của chính phủ nào đi kèm với chúng, và không báo cáo nào được trích dẫn nêu tên một tổ chức là nạn nhân.

Một tuyên bố về việc thực thi là thông tin gián tiếp nằm trong chính báo cáo. Unit 42 dẫn lại rằng nhân viên OpenAI đã xác nhận các biện pháp bảo vệ phía nhà cung cấp của họ từ chối những yêu cầu vi phạm chính sách, và rằng những nỗ lực tiếp diễn đã khiến hệ thống an toàn của họ gắn cờ và vô hiệu hóa một tài khoản mà họ cho là có liên quan đến chiến dịch này, trước khi Unit 42 chia sẻ thông tin tình báo của mình với họ. Đó là một nhà cung cấp tự mô tả việc thực thi của chính mình; Unit 42 đã không xác minh độc lập điều đó.

Có một khoảng trống đáng được nêu rõ: tính đến ngày 30 tháng 10 năm 2026, không có tuyên bố nào từ chính phủ Malaysia, MyCERT hoặc CERT quốc gia nào khác về chiến dịch này xuất hiện trong các kết quả tìm kiếm cho bài viết này. Hunt.io, nguồn được trích dẫn thứ hai cho bản ghi này, cho biết họ đã thông báo cho các tổ chức bị ảnh hưởng và các CERT quốc gia liên quan vào ngày 6 tháng 7 năm 2026 và hoãn công bố trong thời gian cửa sổ tiết lộ bảy ngày — nhưng việc thông báo không đồng nghĩa với một công bố công khai.

Hai báo cáo được trích dẫn không thống nhất về Claude Code

Hồ sơ này trích dẫn hai cuộc điều tra của nhà cung cấp được công bố cách nhau hai tuần, và chúng mô tả những cách phân bổ công cụ khác nhau. Unit 42, trong bài viết ngày 30 tháng 7, giao việc thực thi cho Hermes Agent với DeepSeek làm công cụ suy luận, và coi Claude Code là bản thử nghiệm. Lịch sử khôi phục được gồm mười mục trải qua ba phiên, chứa các kiểm tra /model, kiểm tra kết nối và một yêu cầu npm install, được dùng để thử kết nối và xác thực proxy. Codex cho thấy dấu hiệu được sử dụng trên các thư mục phát triển khai thác lỗ hổng nhưng nhật ký trò chuyện của nó không được lưu giữ; Qwen Code có hai phiên. Unit 42 diễn giải sự phân bố này là một tác nhân vận hành đang lựa chọn trên khắp thị trường AI, định tuyến các công cụ phương Tây qua proxy tại code.newcli[.]com trong khi gọi DeepSeek và Qwen trực tiếp qua các điểm cuối API gốc của chúng.

Hunt.io, công bố vào ngày 14 tháng 7 từ một thư mục mở mà nó phát hiện tại 112.213.124[.]132 trên cổng 8888, mô tả cách bố trí ngược lại: Claude Code 2.1.165 làm công cụ thực thi xuyên suốt các phiên liên tục trong khoảng ngày 8 đến 12 tháng 6 năm 2026, với DeepSeek-v4-pro ở tầng dưới đảm nhận việc suy luận, cùng một tệp CLAUDE.md được khôi phục hướng dẫn Claude Code tạo, kiểm thử và lặp lại các trang lừa đảo được nhân bản.

Cả hai báo cáo đều mô tả một khung tác tử bị bỏ lại đang phục vụ một thư mục trên cổng 8888. Chúng mô tả các nhóm nạn nhân khác nhau: các vụ xâm nhập đã được Hunt.io xác nhận nằm ở Afghanistan, Thái Lan và Đài Loan, với hoạt động lừa đảo phishing được dàn dựng nhắm vào hai cơ quan chính phủ Hoa Kỳ; các nạn nhân đã được Unit 42 xác nhận gồm ba đơn vị vận hành Citrix không nêu tên và một thực thể chính phủ Malaysia, với hoạt động thăm dò tự động nhắm phần lớn vào hạ tầng nội địa Trung Quốc. Không báo cáo nào đối chiếu chéo với báo cáo kia, và cả kho lưu trữ lẫn cả hai nhà cung cấp đều chưa công bố một bản đối chiếu. Khi đọc cùng nhau, chúng củng cố một kết luận, không phải hai: công việc xâm nhập do LLM điều khiển đã chạy bên trong môi trường của đối tượng vận hành này vào tháng 6 và tháng 7 năm 2026. Mô hình nào nằm ở đâu trong ngăn xếp — và liệu hai báo cáo mô tả một đối tượng vận hành hay hai — vẫn chưa được hồ sơ đã công bố làm rõ.

Điều gì đã thay đổi sau

Bởi vì chính việc phơi lộ đã tạo ra bằng chứng, nên thay đổi cụ thể nhất lại liên quan đến tác nhân chứ không phải các nạn nhân. Unit 42 cho biết họ đã chia sẻ các phát hiện với các thành viên Cyber Threat Alliance, và trang của họ có dấu cập nhật ngày 11 tháng 8 năm 2026, tức mười hai ngày sau khi công bố. Đối với khách hàng Palo Alto, trang này liệt kê các quy tắc bề mặt tấn công Cortex Xpanse dành cho các thiết bị Langflow, n8n và Citrix ADC bị phơi lộ, cùng với một bộ chữ ký Threat Prevention.

Trên các sản phẩm bị ảnh hưởng, các bản vá đã có trước chiến dịch. n8n đã phát hành 1.120.4 và 1.121.0 cho hai lỗ hổng trước phiên bị khôi phục, và tác nhân đã tự đọc các ranh giới phiên bản đó từ chính các thông báo cố vấn. Ghi chú ngày 4 tháng 8 của CSA khuyến nghị các nhà vận hành NetScaler bị phơi bày với CVE-2026-3055 nên luân chuyển cookie xác thực phiên NSC_AAAC và rà soát các phiên đã xác thực để tìm bất thường, vì tác nhân đã công khai săn lùng chính cookie đó, và rằng bất kỳ ai bị nghi ngờ phơi bày với lỗ hổng Marimo nên giả định việc thực thi lệnh có thể đã xảy ra.

Danh mục Known Exploited Vulnerabilities của CISA, được đọc trực tiếp vào ngày 30 tháng 10 năm 2026, cho thấy tài liệu này đã công khai đến mức nào trước khi bất kỳ phần nào trong đó được báo cáo: CVE-2025-68613 được thêm vào ngày 11 tháng 3 năm 2026, CVE-2026-33017 vào ngày 25 tháng 3, CVE-2026-3055 vào ngày 30 tháng 3, CVE-2026-39987 vào ngày 23 tháng 4 và CVE-2026-0300 vào ngày 6 tháng 5 — tất cả trước khi Unit 42 công bố. CVE-2026-34486 tiếp theo vào ngày 4 tháng 8 và CVE-2026-33824 vào ngày 18 tháng 8. CVE-2026-21858, nửa đọc tệp n8n của chuỗi tự động thất bại, hoàn toàn không xuất hiện trên danh mục.

Tại sao biên lại chính là phát hiện

Kết luận của Unit 42 không phải là chiến dịch đã thành công mà là nó gần như đã thành công. Việc khai thác đã bị chặn bởi cấu hình phía mục tiêu — việc thiếu auto_login, các biểu mẫu yêu cầu xác thực — và báo cáo nêu rằng "các mục tiêu có cấu hình mặc định yếu hơn sẽ dễ bị tổn thương". Đánh giá tổng thể của báo cáo là các chu kỳ tấn công tự động khả thi về mặt vận hành và biên độ thất bại rất hẹp.

Bản đọc độc lập của CSA chỉ ra cùng một sự bất đối xứng từ một góc nhìn khác: trinh sát và phân loại tự động dễ mở rộng quy mô hơn nhiều so với khai thác tự động, và những kết quả đã được xác nhận, có thể biến thành vũ khí lại phụ thuộc vào công việc do con người chỉ đạo, được xếp chồng lên trên hoạt động trinh sát của tác nhân. Cả hai bản đọc đều bao quát chiến dịch của một đơn vị vận hành. Hồ sơ không chứa bất kỳ tuyên bố nào cho rằng một vòng lặp tự động đã tự mình chiếm đoạt một hệ thống.