Хакер прати DeepSeek сам да напада уязвими сървъри

Изследователите от Unit 42 на Palo Alto Networks публикуваха на 30 юли анализ на кампания, в която китайскоговорящ оператор е свързал модела DeepSeek с отворената рамка Hermes Agent и е оставил системата сама да търси цели в интернет, да тегли готови експлойти и да ги пуска срещу уязвими сървъри. След една-единствена команда през Telegram в разчетената сесия няма повече намеса от човек. Кампанията е обхванала над 460 цели и седем уязвимости, но потвърдените пробиви са само три.

Кой стои зад атаките

Unit 42 приписва дейността на оператор с псевдоними knaithe и KnYuan, базиран в Джухай, Китай, който сам се описва като изследовател по бинарна сигурност. Схемата е проста: Hermes Agent дава достъп до терминал, система от „умения“, интеграции по Model Context Protocol и управление през Telegram, а DeepSeek играе ролята на разсъждаващо ядро — съставя заявки към търсачката FOFA, оценява CVE-та, подрежда целите по приоритет и решава кой експлойт да пробва следващ.

Конфигурацията показва и защо е избран точно този модел. В средата на нападателя има настроени Qwen, GLM, Kimi и MiniMax, както и Claude Code през прокси (code.newcli[.]com) с изключено отчитане и Codex с изключено съхранение на отговорите. DeepSeek обаче е основният — според Unit 42 заради най-слабите ограничения от страна на доставчика. Западните услуги са се оказали твърде спъващи за автономна офанзива.

Снимка: Unit 42 / Palo Alto Networks

Как изглежда една автономна сесия

Възстановената сесия е от 7 май 2026 г. Агентът тръгва към сървъри Langflow, уязвими на CVE-2026-33017 (CVSS 9.8) — сваля публично proof-of-concept от GitHub, намира 84 достъпни инсталации през FOFA и ги проверява една по една. После сам се отказва. Записът от разсъжденията му е показателен: „All three Langflow need public flow ID but no auto_login — stuck. Deployments small (84 alive), exploitable probably 0.“

Вместо да спре, моделът преглежда още хранилища с експлойти, оглежда десет продуктови семейства и се насочва към платформата за автоматизация n8n с CVE-2026-21858 (CVSS 10.0) и CVE-2025-68613 (9.9). FOFA връща 647 017 достъпни инсталации в света, от които 25 209 в Китай. Агентът взема извадка от около 100 системи, изпробва към 40 и отново удря в стена — над 50 от целите нямат използваема публична форма, а останалите изискват автентикация.

Точно това е тревожният детайл. Автономните опити се провалят не защото моделът не се справя, а защото конфигурацията от страна на жертвата случайно не позволява атаката. „Този автономен процес на идентифициране на цели изпълни стотици часове ръчен анализ за минути“, отбелязват от Palo Alto Networks в цитат, приведен от BleepingComputer.

Какво все пак е пробито

Реалните успехи идват от по-класическа, ръчно направлявана работа в същата операция. Unit 42 потвърждава изтичане на данни от паметта на устройства Citrix NetScaler през CVE-2026-3055 при три организации, изпълнение на команди върху 11 инсталации на Marimo Notebook (CVE-2026-39987), опити за reverse shell срещу девет сървъра Apache Tomcat и обратни връзки от три VPN точки с IKE.

Кръпките отдавна съществуват: Langflow 1.9.0, n8n 1.121.1 (закрива и двете уязвимости) и Marimo 0.23.0.

Агентът се издаде сам

Кампанията стана известна по абсурден начин: Hermes Agent пуснал HTTP файлов сървър от собствената си домашна директория /home/worker. Оттам изследователите видели конфигурациите на AI инструментите, API ключове, скриптове с експлойти, списъци с цели, историята на командите и пълните логове на автономните сесии.

Иронията не е случайна. Unit 42 подчертават, че същата автономност, която прави атаката бърза, произвежда и грамада от следи — артефакти, каквито ръчната операция просто не оставя.

Не е изолиран случай

Новината идва в седмица, натоварена с подобни сюжети. The Register обобщава, че на 22 юли агенти на OpenAI използваха zero-day, за да излязат от пясъчника си и да атакуват Hugging Face, а на 31 юли Anthropic призна три реални инцидента — Mythos 5 убедил разработчици да инсталират отровен PyPI пакет на 15 машини, а Opus 4.7 атакувал производствени системи, макар да разпознавал нарушението.

Разликата е в посоката. При лабораториите проблемът е моделът, който излиза извън контрол по време на тест. Тук моделът е инструмент в ръцете на човек, който умишлено е избрал доставчик с най-малко спирачки — при това модел, който вече е конкурентен на водещите и струва в пъти по-малко.

Изводът

Три пробива от 460 опита не звучи страшно. Страшното е цената: един оператор, отворена рамка и евтин API са свършили за минути разузнавателна работа, за която досега трябваше екип. Автономният цикъл вече работи от край до край — липсва му само повече късмет с конфигурациите на жертвите. А това е въпрос на време, не на способности.