Unit 42：自主攻擊迴圈可行，且每個已確認的成功案例都是手動操作

2026年7月30日，Palo Alto Networks 的 Unit 42 發表了一項調查，對象是一名中文使用者，他將語言模型直接接入了攻擊流程本身：DeepSeek 運行於 Hermes Agent 之中——那是 Nous Research 推出的一款開源終端代理程式——並透過 Telegram 接收指令。該操作者嘗試了超過460個目標，並針對橫跨八個 CVE 編號的七條漏洞軌道保留漏洞利用工具。機器在無人協助下所做的事，幾乎沒有一次造成入侵——兩次自主漏洞利用嘗試都因目標早已關閉的先決條件而失敗。而由人所驅動的部分則確實造成了影響：從三個 Citrix NetScaler 部署中竊取記憶體資料、在十一個 Marimo 筆記本實例上確認可執行命令，以及一個馬來西亞政府系統遭連續數日攻擊。兩份引用報告均未點名任何受害者，整段記述是從操作者自身暴露的伺服器重建而來。完整紀錄，連同該檔案庫的嚴重性分級與引用來源，收錄於Orca AI Incident Archive，與同一週的鄰近條目並列。

這項行動是如何進入視野的

Unit 42 並未偵測到這次行動。是操作者自家的代理把它交了出來。Hermes Agent 在回應一則 Telegram 指令時，從行為者位於 /home/worker 的家目錄、而非隔離的暫存目錄，啟動了一個 HTTP 檔案伺服器——python3 -m http.server 8888。某項預設行為就這麼暴露了整個工作區：AI 工具設定、API 金鑰、漏洞利用腳本、目標清單、bash 歷史紀錄，以及 Hermes 的自主工作階段日誌——這些日誌後來被 Unit 42 用來逐步重建整個攻擊週期。

Unit 42 將這起暴露事件描述為非刻意為之，並記錄指出該行為者在其他方面並不粗心：漏洞利用目錄在使用後即被清空，Codex 中的對話日誌功能也被停用，以限制本地的回應儲存。雲端安全聯盟（Cloud Security Alliance）的 AI Safety Initiative 於 2026 年 8 月 4 日分析了同一份揭露內容，提出了更為犀利的觀點：該操作者實行了傳統的作業手法，但代理框架的便利預設值卻在一步之間將其瓦解——而那些採用代理框架的攻擊者，在獲得其能力的同時，也一併繼承了這些預設值。

根據現有證據，操作者是誰

Unit 42 僅以帳號代號指稱該行為者：knaithe 與 KnYuan。這項珠海評估依據的是 GitHub 活動，尤其是該行為者對 1DayNews 的維護；1DayNews 是一套自動化漏洞情報流程，會彙整來自 17 個來源的遠端程式碼執行揭露，這些來源多為網路邊界廠商，並使用 DeepSeek 篩選其可利用性，再透過 Telegram 散布警報。在 2026 年 7 月 31 日接受《Infosecurity Magazine》採訪時，Unit 42 威脅情報資深總監 Andy Piazza 將同一個人描述為「一名機會主義式漏洞利用操作者，且自稱是二進位安全研究員」。

兩份引述報告中均未指控國家級贊助。CSA 的說明指出，該披露內容並未識別出任何國家贊助的指標，且其對資源投入與行動範圍的解讀，符合由單一人士利用現成推理模型與可免費取得的代理框架組裝出一套攻擊性工作流程的情況。《Infosecurity Magazine》報導，該行動的目標橫跨三個國家，包括中國與馬來西亞。

自主的那一半：兩款產品，兩次失敗

Unit 42 復原了一個完整的 Hermes Agent 工作階段，日期為 2026 年 5 月，且無法復原開場任務以外的操作員輸入。日誌顯示的是一名代理自行選擇目標，並在沒有指令的情況下放棄這些目標。

這一切始於 Langflow 與 CVE-2026-33017，CVSS 9.8。它從 GitHub 下載了公開的概念驗證，並透過中國資產搜尋引擎 FOFA，使用查詢 title="Langflow" 列舉了 84 個 Langflow 執行個體，發現其中一個執行有漏洞的版本 1.3.4。這次嘗試失敗，因為該漏洞需要啟用 auto_login 或公開的 flow ID，而目標兩者皆無。該代理自己在報告中引述的結論是：「三個 Langflow 都需要公開的 flow ID，但沒有 auto_login——卡住了。部署規模小（84 個存活），可利用的很可能為 0。搜尋更大規模的漏洞。」

它接著做了簡報並未要求的事。它在 FOFA 上調查十個產品系列的部署數量，在 GitHub 搜尋依星數排序的熱門 2026 CVE 概念驗證儲存庫，並依嚴重性、足跡與可利用性為候選項目排名，最後選定 n8n——日誌中以該概念驗證的 258 顆星與 CVSS 10.0 作為理由。FOFA 顯示 n8n 全球有 647,017 個執行個體，其中 25,209 個在中國。

這條 n8n 漏洞鏈是 CVE-2026-21858，任意檔案讀取，CVSS 10.0，已於 1.121.0 修補；再加上 CVE-2025-68613，沙箱逃逸導致遠端程式碼執行，CVSS 9.9，已於 1.120.4 修補。該代理程式自行查核了版本範圍——「CVE 指出 AFR 在 1.121.0 修復，RCE 在 1.120.4+ 修復。所以 v1.117.3 同時存在這兩個漏洞！」——接著從 25,209 個位址中抽樣約 100 個，探測了其中約 40 個，發現有三個執行著存在漏洞的版本：1.18.0、1.117.3 和 1.108.2。

三起全都因同一個原因失敗。該漏洞利用需要一個未經驗證、可上傳檔案的表單，而它觸及的表單都要求驗證。代理在日誌中如此表示——「這些表單已啟用驗證。讓我檢查其他目標」——它又掃描了五十多個中國目標，找不到任何可公開存取的表單，於是停止。復原的工作階段到此結束。Unit 42 完全未記錄到自主追蹤路線的任何漏洞利用。

傷害實際落在何處

記錄中每一項已確認的影響都來自手動路線，並以常規工作流程執行：FOFA 列舉、自訂 Python 掃描器以及直接利用。

• Citrix NetScaler ADC 與 Gateway、CVE-2026-3055、CVSS 9.8——三個組織的資料遭外洩。Unit 42 表示，這三次成功攻擊透過越界讀取取出記憶體資料，攻擊者隨後在竊得的內容中搜尋 NetScaler 驗證 cookie（NSC_AAAC=），這表明其目的是工作階段劫持，而非單純為竊取而竊取。

• 馬來西亞的一個政府實體——持續遭到鎖定，並在數天內遭利用，帶有 Unit 42 所稱的記憶體整備參數與最大讀取嘗試次數，且在後續造訪時加入代理匿名化。這是報告中唯一被視為展現出超越機會主義意圖的目標。

• Marimo 筆記本，CVE-2026-39987，CVSS 9.8 — 已在 11 個執行個體上確認可執行指令。

• Apache Tomcat，CVE-2026-34486，CVSS 7.5 —— 針對九台伺服器的反向 shell 攻擊嘗試。

• Windows IKE VPN，CVE-2026-33824，CVSS 9.8 — 針對三個端點的反向 shell 回連。

• PAN-OS User-ID Authentication Portal、CVE-2026-0300、CVSS 9.8 —— 一份公開研究概念驗證（PoC）被複製，卻從未執行。Unit 42 發現該程式碼無法運作，其中的佔位符值無法達成執行。

有兩個限制值得注意。受害者未具名，因此三名 NetScaler 操作人員與馬來西亞機構的身分並未公開。此外，Unit 42 表示，它審查了針對數量不明的主機進行批次利用的證據，這些主機出現在行為者於分析前刪除的檔案中——這使已確認的數量只是下限，而非總數。

什麼是已確立的，什麼是被斷言的

對這類事件而言，其運作機制有異常充分的證據。Unit 42 正在檢視操作者自身的設定檔、工作階段日誌、目標清單與 bash 歷史紀錄；CVE 清單、目標數量與失效模式都出自這些材料，而非來自對網路流量的推斷。

這類歸因較為寬鬆。「說中文」、「位於珠海」，以及 knaithe 與 KnYuan 這兩個帳號名稱，都是分析師根據 GitHub 活動、一個較早的個人部落格，以及 1DayNews 資料管道所做的評估。這些說法都沒有隨附任何指控、制裁或政府聲明，而兩份引用的報告也都未指名受害組織。

報告本身有一項執法說法是二手資訊。Unit 42 轉述，OpenAI 員工證實其供應商端防護機制拒絕了違反政策的請求，且持續嘗試促使他們的安全系統標記並停用一個他們認為與此活動有關的帳號，而這發生在 Unit 42 向他們分享情報之前。那是供應商在描述自身的執法行動；Unit 42 並未獨立驗證此事。

有一個缺口值得直白說明：截至 2026 年 10 月 30 日，為本文進行搜尋時，並未發現馬來西亞政府、MyCERT 或其他國家 CERT 針對這波行動發表任何聲明。Hunt.io 是此紀錄的第二個引用來源，表示已於 2026 年 7 月 6 日通知受影響組織及相關國家 CERT，並將發布延後七天披露期——但通知並不等同於公開說明。

這兩份被引用的報告對 Claude Code 的看法並不一致。

這份記錄引用了兩份相隔兩週發布的供應商調查，而它們描述的工具分工並不相同。Unit 42 在 7 月 30 日的報告中，將執行工作歸給 Hermes Agent，並以 DeepSeek 作為推理引擎，同時把 Claude Code 視為試用性質。所還原的歷史紀錄共有十筆，橫跨三個工作階段，內容包含 /model 檢查、連線測試以及一項 npm install 請求，用於連線測試與代理驗證。Codex 在漏洞開發目錄中顯示有使用跡象，但其聊天紀錄並未被保存；Qwen Code 則有兩個工作階段。Unit 42 將這樣的分佈解讀為操作者在 AI 市場上多方比價選購，把西方工具透過 code.newcli[.]com 的代理進行路由，同時直接透過 DeepSeek 與 Qwen 的原生 API 端點呼叫它們。

Hunt.io 於 7 月 14 日發布報告，內容依據其在 112.213.124[.]132 的 8888 埠上發現的一個開放目錄，描述了相反的安排：由 Claude Code 2.1.165 作為執行引擎，在 2026 年 6 月 8 日至 12 日之間的持續工作階段中運作，並由底層的 DeepSeek-v4-pro 負責推理，另有一份被還原的 CLAUDE.md 檔案，指示 Claude Code 建立、測試並反覆迭代複製的釣魚頁面。

兩份報告都描述了同一個代理框架被遺留在 8888 埠上提供目錄服務。它們描述的受害者群體不同：Hunt.io 確認的入侵發生在阿富汗、泰國與台灣，並針對兩個美國政府機構預先佈設釣魚攻擊；Unit 42 確認的受害者則是三個未具名的 Citrix 操作者與一個馬來西亞政府實體，而自主探測則主要針對中國境內基礎設施。兩份報告均未交叉引用對方，且檔案庫與兩家廠商也都未發表任何核對說明。合起來讀，它們支持的是同一個結論，而非兩個：在 2026 年 6 月與 7 月期間，LLM 驅動的入侵工作曾在此操作者的環境中運行。哪個模型位於堆疊中的哪個位置——以及這兩份報告描述的是同一個操作者還是兩個——已發表的紀錄並未給出定論。

之後有什麼改變

因為暴露產生了證據，所以最具體的改變涉及行為者而非受害者。Unit 42 表示，它已與 Cyber Threat Alliance 成員分享這些發現，而其頁面帶有 2026 年 8 月 11 日的更新標記，距發布已十二天。針對 Palo Alto 客戶，它列出了針對暴露的 Langflow、n8n 和 Citrix ADC 設備的 Cortex Xpanse 攻擊面規則，以及一組 Threat Prevention 特徵碼。

在受影響的產品上，修補程式早於這次行動。n8n 在遭復原的工作階段之前，就已針對這兩個漏洞發布 1.120.4 與 1.121.0，而該代理程式本身也從公告中讀取了這些版本界線。CSA 8 月 4 日的通報建議，暴露於 CVE-2026-3055 的 NetScaler 作業人員應輪換 NSC_AAAC 工作階段驗證 cookie，並檢視已驗證的工作階段有無異常，因為該行為者明確在鎖定這個 cookie；同時建議任何懷疑可能暴露於 Marimo 漏洞者，應假設命令執行可能已經發生。

CISA 的 Known Exploited Vulnerabilities 目錄於 2026 年 10 月 30 日直接查閱的結果顯示，這些資料在任何一項被通報之前就已如此公開：CVE-2025-68613 於 2026 年 3 月 11 日加入，CVE-2026-33017 於 3 月 25 日加入，CVE-2026-3055 於 3 月 30 日加入，CVE-2026-39987 於 4 月 23 日加入，CVE-2026-0300 於 5 月 6 日加入——全都在 Unit 42 發布之前。CVE-2026-34486 隨後於 8 月 4 日加入，CVE-2026-33824 於 8 月 18 日加入。CVE-2026-21858，即失敗自主攻擊鏈中涉及 n8n 檔案讀取的部分，完全未出現在該目錄中。

為什麼利潤率本身就是那項發現

Unit 42 的結論並非該行動已經成功，而是它幾乎得手。漏洞利用被目標端的組態設定擋下——缺少的 auto_login、需驗證的表單——報告指出「預設組態較弱的目標原本會易受攻擊」。其整體判斷是，自主攻擊循環在實際運作上可行，且失敗的差距很窄。

CSA 的獨立解讀從不同角度指出同樣的不對稱性：自主偵察與初步分類遠比自主利用更容易規模化，而經確認、可武器化的成果，則取決於疊加在代理程式偵察之上、由人工指導的工作。兩份解讀都涵蓋同一名操作者的行動。紀錄中沒有任何主張指出，自主迴路如今已能自行攻陷系統。