Unit 42：自主攻击循环是可行的，而每一次已确认的成功都是人工操作的

2026年7月30日，Palo Alto Networks的Unit 42发布了一项调查，对象是一名讲中文的操作者，他将语言模型直接接入了攻击循环本身：DeepSeek运行在Hermes Agent之内——这是Nous Research的一款开源终端代理——并通过Telegram接收指令。该操作者尝试了460多个目标，并针对七条漏洞线索保留了漏洞利用工具，这些线索横跨八个CVE编号。机器在无人工干预下所做的几乎一切都没有造成入侵——两次自主漏洞利用尝试都因目标早已关闭的前提条件而失败。而由人驱动的部分则确实造成了影响：从三个Citrix NetScaler部署中窃取了内存数据，确认在十一个Marimo notebook实例上实现了命令执行，并且一个马来西亚政府系统被连续攻击了数日。两份被引用的报告中均未点名任何受害者，整个叙述都是从操作者自己暴露的服务器上重建出来的。完整记录，连同该档案的严重性分级和引用来源，收录于Orca AI Incident Archive，与同一周的其他相邻条目并列。

该操作是如何进入视野的

Unit 42 并未检测到此次攻击活动。是操作者自己的代理将其交了出去。Hermes Agent 在响应一条 Telegram 命令时，从操作者的主目录 /home/worker 而不是从隔离的暂存目录启动了一个 HTTP 文件服务器——python3 -m http.server 8888。一个默认行为暴露了工作区：AI 工具配置、API 密钥、漏洞利用脚本、目标列表、bash 历史记录，以及 Unit 42 后来用来逐步重建攻击周期的 Hermes 自主会话日志。

{{1}}Unit 42{{/1}}将此次暴露事件描述为{{2}}无意之举{{/2}}，并记录{{3}}该行为体{{/3}}在其他方面并无疏忽：{{4}}漏洞利用目录{{/4}}在使用后被清空，且{{5}}Codex 中的对话日志记录{{/5}}被禁用，以限制{{6}}本地响应存储{{/6}}。{{7}}Cloud Security Alliance{{/7}}的{{8}}AI Safety Initiative{{/8}}于{{9}}2026 年 8 月 4 日{{/9}}分析了同一披露，提出了更尖锐的观点：{{10}}操作者{{/10}}采用了{{11}}传统技战术{{/11}}，但{{12}}智能体框架的便利性默认设置{{/12}}一步就将其抵消——而{{13}}采用智能体框架的攻击者{{/13}}在继承{{15}}其能力{{/15}}的同时，也继承了{{14}}其默认设置{{/14}}。

根据现有证据，操作者是谁

Unit 42 仅以账号名指认该行为体：knaithe 和 KnYuan。珠海的评估基于 GitHub 活动，尤其是该行为体对 1DayNews 的维护。1DayNews 是一个自动化漏洞情报流水线，汇集来自 17 个来源的远程代码执行漏洞披露，这些来源大多为网络边界厂商；它使用 DeepSeek 筛选可利用性，并通过 Telegram 分发警报。在 2026 年 7 月 31 日接受 Infosecurity Magazine 采访时，Unit 42 威胁情报高级总监 Andy Piazza 称同一人为“一个机会主义漏洞利用操作者，并自称二进制安全研究人员”。

两份被引用的报告中均未指控存在国家支持。CSA 的说明指出，该披露未识别出任何国家支持的迹象，并认为其资源投入与范围符合以下情形：一个人利用市面通用的推理模型和可免费获取的智能体框架，搭建出一套攻击性工作流程。Infosecurity Magazine 报道称，该活动的目标横跨三个国家，包括中国和马来西亚。

自动驾驶的那一半：两款产品，两次失败

Unit 42 恢复了一个完整的 Hermes Agent 会话，时间为 2026 年 5 月，但除最初的任务之外，无法恢复操作员的输入。日志所显示的，是一个在没有任何指令的情况下自行选择目标、又将其中途放弃的智能体。

事情始于 Langflow 和 CVE-2026-33017，CVSS 9.8。它从 GitHub 下载了公开的概念验证，通过中国资产搜索引擎 FOFA 使用查询 title="Langflow" 枚举了 84 个 Langflow 实例，并发现其中一个运行着存在漏洞的版本 1.3.4。这次尝试失败了，因为该漏洞需要启用 auto_login 或具备公开的 flow ID，而目标两者都没有。报告中引用了该代理自己的结论：“三个 Langflow 都需要公开的 flow ID，但没有启用 auto_login——卡住了。部署规模很小（84 个存活），可利用的很可能为 0。去寻找更大规模的漏洞。”

随后，它做了任务简报并未要求的事。它在 FOFA 上调查了十个产品系列的部署数量，在 GitHub 上搜索按星标数排序的 2026 年热门 CVE 概念验证仓库，并按严重性、影响范围和可利用性对候选对象进行排名，最终选定了 n8n——日志中给出的理由是，该概念验证拥有 258 个星标和 CVSS 10.0。FOFA 显示，n8n 在全球有 647,017 个实例，其中 25,209 个位于中国。

n8n 的漏洞利用链包括 CVE-2026-21858（CVSS 评分为 10.0 的任意文件读取漏洞，已在 1.121.0 中修复），以及 CVE-2025-68613（CVSS 评分为 9.9 的沙箱绕过导致远程代码执行漏洞，已在 1.120.4 中修复）。该代理自行检查了版本范围——“CVE 显示 AFR 在 1.121.0 中修复，RCE 在 1.120.4+ 中修复。所以 v1.117.3 对两者都易受攻击！”——随后从 25,209 个地址中抽样了约 100 个，探测了其中约 40 个，并发现三个运行着易受攻击版本的实例：1.18.0、1.117.3 和 1.108.2。

三次失败的原因完全相同。该漏洞利用需要一个无需身份验证且带有文件上传功能的表单，而它访问到的表单都需要身份验证。该代理在日志中这样说道——“这些表单已启用身份验证。让我检查其他目标”——随后扫描了另外 50 多个中国目标，未发现任何可公开访问的表单，于是停止了。恢复的会话到此结束。Unit 42 完全没有记录到来自自主路径的任何漏洞利用。

伤害实际落在了何处

记录中每一个已确认的影响都来自人工路径，采用常规工作流程运行：FOFA 枚举、自定义 Python 扫描器和直接利用。

• Citrix NetScaler ADC and Gateway，CVE-2026-3055，CVSS 9.8——三个组织的数据遭窃取外传。Unit 42 表示，这三起成功事件通过越界读取提取了内存数据，随后攻击者又在窃取内容中搜索 NetScaler 身份验证 Cookie（NSC_AAAC=），这表明其意图是会话劫持，而非单纯为窃取而窃取。

• 马来西亚的一个政府实体——在数天内被持续针对并遭利用，采用了 Unit 42 所称的 memory grooming 参数和最大读取尝试次数，并在后续访问中加入了代理匿名化。这是报告中唯一被视为表现出超越机会主义意图的目标。

• Marimo notebooks，CVE-2026-39987，CVSS 9.8 — 已在 11 个实例上确认命令执行。

• Apache Tomcat，CVE-2026-34486，CVSS 7.5 — 针对九台服务器的反向 shell 尝试。

• Windows IKE VPN，CVE-2026-33824，CVSS 9.8 — 针对三个端点的反向 shell 回调。

• PAN-OS User-ID 身份验证门户，CVE-2026-0300，CVSS 9.8——一个公开研究的概念验证被克隆但从未执行。Unit 42 发现该代码无法运行，其占位符值无法实现执行。

有两点局限至关重要。受害者并未被点名，因此三家 NetScaler 运营方以及那家马来西亚机构的身份都未公开。而 Unit 42 表示，它审查了针对数量未知的主机实施批量利用的证据，这些主机出现在该攻击者于分析前删除的一个文件中——这使得已确认的数量只是下限，而非总数。

什么是已确立的，什么是被断言的

对于这类事件而言，其运作机制获得的证据异常充分。Unit 42 正在读取操作者自己的配置文件、会话日志、目标列表和 bash 历史记录；CVE 列表、目标数量以及故障模式都出自这些材料，而不是来自对网络流量的推断。

这种归因较为温和。“讲中文”、“位于珠海”以及 knaithe 和 KnYuan 这两个用户名，都是分析人员基于 GitHub 活动、一个较早的个人博客和 1DayNews 流水线作出的评估。没有指控、制裁或政府声明与之相伴，两份被引用的报告也均未点名受害组织。

报告本身有一项处置声明属于二手信息。Unit 42 转述称，OpenAI 员工确认其作为服务提供方的安全保障措施拒绝了违反政策的请求，并称持续尝试导致其安全系统标记并停用了一个他们认为与该活动有关联的账户，而这一切发生在 Unit 42 与其分享情报之前。这是供应商在描述自身的处置行动；Unit 42 并未独立核实这一点。

有一处缺口值得明确指出：截至2026年10月30日，在为本文进行检索时，没有发现马来西亚政府、MyCERT或其他国家CERT就此次行动发表任何声明。Hunt.io是本条记录引用的第二个来源，它表示已于2026年7月6日通知受影响组织及相关国家CERT，并暂缓发布，以留出为期七天的披露窗口——但通知并不等同于公开说明。

两份被引用的报告对 Claude Code 的看法不一致。

本记录引用两项相隔两周发布的供应商调查，它们描述了不同的工具组合划分。Unit 42 在 7 月 30 日的文章中，将执行任务分配给 Hermes Agent，并以 DeepSeek 作为推理引擎，同时将 Claude Code 视为试用。恢复出的历史记录为三个会话中的十条条目，包含 /model 检查、连接测试以及一次 npm install 请求，用于连接测试和代理验证。Codex 在漏洞利用开发目录中显示出使用迹象，但其聊天记录未被保留；Qwen Code 则有两个会话。Unit 42 将这种分布解读为操作者在整个 AI 市场中“货比三家”，将西方工具通过位于 code.newcli[.]com 的代理进行路由，同时通过其原生 API 端点直接调用 DeepSeek 和 Qwen。

Hunt.io 于 7 月 14 日发布报告，依据其在 112.213.124[.]132 的 8888 端口上发现的一个开放目录，描述了相反的一套架构：Claude Code 2.1.165 作为执行引擎，在 2026 年 6 月 8 日至 12 日期间的多个持久会话中运行，底层由 DeepSeek-v4-pro 负责推理，另有一份被恢复的 CLAUDE.md 文件，指示 Claude Code 创建、测试并迭代克隆的钓鱼页面。

两份报告都描述了一个仍在 8888 端口提供目录服务的智能体框架。它们描述的受害者集合不同：Hunt.io 已确认的入侵发生在阿富汗、泰国和台湾，并针对两个美国政府机构策划了钓鱼活动；Unit 42 已确认的受害者是三个未具名的 Citrix 运营方和一个马来西亚政府实体，其自主探测主要针对中国国内基础设施。两份报告均未交叉引用对方，存档和两家供应商也都未发布核对说明。合起来看，它们支持一个结论，而不是两个：由 LLM 驱动的入侵活动于 2026 年 6 月和 7 月在该操作者环境中运行。哪个模型位于技术栈的哪个位置——以及两份报告描述的是一个操作者还是两个——尚未由已发布记录确定。

之后发生了什么变化

由于这次曝光提供了证据，最具体的变化涉及的是攻击者，而不是受害者。Unit 42 表示，它已与 Cyber Threat Alliance 成员分享了调查结果，其页面带有 2026 年 8 月 11 日的更新标记，即发布十二天后。对于 Palo Alto 客户，页面列出了针对暴露的 Langflow、n8n 和 Citrix ADC 设备的 Cortex Xpanse 攻击面规则，以及一组 Threat Prevention 签名。

在受影响的产品上，修复程序早于此次攻击活动。n8n 在会话被恢复之前就已针对这两个漏洞发布了 1.120.4 和 1.121.0 版本，而该智能体自身从公告中解读出了这些版本分界。CSA 8 月 4 日的说明建议，暴露于 CVE-2026-3055 的 NetScaler 运维人员应轮换 NSC_AAAC 会话认证 cookie，并审查已通过认证的会话是否存在异常，因为该攻击者明确在搜寻这一 cookie；同时建议任何疑似受到 Marimo 漏洞影响的人都应假定命令执行可能已经发生。

CISA 的“已知被利用漏洞”目录于 2026 年 10 月 30 日直接查阅时显示，在这些内容中的任何一项被报道之前，这些材料就已何等公开：CVE-2025-68613 于 2026 年 3 月 11 日被收录，CVE-2026-33017 于 3 月 25 日，CVE-2026-3055 于 3 月 30 日，CVE-2026-39987 于 4 月 23 日，CVE-2026-0300 于 5 月 6 日——全部早于 Unit 42 发布。CVE-2026-34486 随后于 8 月 4 日收录，CVE-2026-33824 于 8 月 18 日收录。CVE-2026-21858——失败自主链中 n8n 文件读取的那一半——根本没有出现在该目录中。

为什么边缘就是发现

Unit 42 的结论并不是该攻击活动取得了成功，而是它几乎得逞了。漏洞利用被目标侧的配置阻止了——缺少 auto_login、需要身份验证的表单——报告指出，“默认配置较弱的目标本会容易受到攻击”。其总体判断是，自主攻击循环在操作上是可行的，而且失败的差距很窄。

CSA 的独立解读从不同角度指出了同样的不对称性：自主侦察与分诊的可扩展性远远超过自主利用，而经确认、可武器化的成果依赖于在智能体侦察之上叠加的人类指导工作。两份解读都覆盖同一名操作者的行动。记录中没有任何说法声称自主循环已经自行攻下一个系统。