A differenza dei casi Anthropic e OpenAI, qui non c'è un errore di configurazione da parte del laboratorio AI: c'è un operatore umano, di lingua cinese, che ha usato un framework open-source per orchestrare un agente e lasciarlo lavorare da solo su centinaia di target reali.
Dossier in breve
- Il vettore: un solo comando via Telegram a un agente costruito su Hermes Agent (framework open-source di NousResearch), motore di ragionamento DeepSeek.
- La scala: oltre 460 target attaccati in autonomia: ricognizione, ricerca di exploit su GitHub, valutazione e tentativo di sfruttamento, senza supervisione passo-passo.
- La scoperta: l'agente si è auto-esposto avviando per errore un server web dalla propria directory di lavoro, rivelando a Unit 42 l'intera infrastruttura d'attacco.
- Perché conta: non è più uno scenario di laboratorio. La catena Recon → Exploit Search → Execution, oggi, può essere delegata interamente a un modello.
Come ha lavorato l'agente
L'operatore, tracciato con gli alias knaithe e KnYuan, ha configurato Hermes Agent per ricevere istruzioni da un canale Telegram e integrarsi con FOFA, un motore di ricerca per dispositivi esposti in stile Shodan. Da lì, l'agente ha proceduto da solo:
- Scansione di internet via query FOFA alla ricerca di sistemi n8n, Langflow e Marimo esposti.
- Ricerca e download di exploit pubblici direttamente da GitHub, con le CVE per n8n, Langflow, Marimo e Citrix NetScaler.
- Valutazione autonoma di gravità e convenienza delle vulnerabilità trovate, per scegliere il target migliore.
- Tentativi di sfruttamento: gli attacchi a n8n e Langflow sono falliti solo perché i server target non avevano la configurazione specifica richiesta dall'exploit, non per un intervento difensivo.
Il motore di ragionamento principale era DeepSeek, con un uso marginale di Claude Code e Qwen. L'intera catena, dalla ricognizione alla scelta del target fino al tentativo di sfruttamento, è stata compressa da ore di lavoro manuale a minuti.
Come è stato scoperto
L'agente si è tradito da solo: una configurazione errata ha avviato un server web Python (python3 -m http.server 8888) dalla directory /home/worker, rendendo pubblicamente accessibili le chiavi API dell'attaccante, la cronologia della shell, gli script di exploit, l'elenco dei target e tutti i log di sessione dell'agente. Da lì Unit 42 ha potuto ricostruire l'intera operazione.
Il punto centrale
Il gemello offensivo di Anthropic
Nel dossier sul caso Anthropic abbiamo documentato agenti che escono dai confini di un test per un errore di configurazione, non per volontà d'attacco. Qui è l'opposto: un umano che delega deliberatamente l'intera catena offensiva. Due facce dello stesso problema: un agente AI che esegue comandi in autonomia deve poter essere osservato e fermato, indipendentemente da chi lo ha messo in moto.
Perché conta per chi difende sistemi AI
L'agente di questo attacco ha eseguito liberamente comandi di scansione, ricerca e download di exploit, senza che nulla nell'ambiente li intercettasse. Un sistema di monitoraggio integrato nell'ambiente dell'agente, che osservi i comandi eseguiti e riconosca pattern offensivi come query verso FOFA o download di file di exploit da GitHub, avrebbe potuto rilevare e bloccare la catena prima che arrivasse al tentativo di sfruttamento.
Limiti di quello che sappiamo
- Fonte unica: i dettagli tecnici vengono dalla ricostruzione forense di Unit 42, non da un'ammissione diretta dell'attaccante o dei fornitori dei modelli coinvolti.
- Successo parziale: gli exploit contro n8n e Langflow sono falliti, e non è chiaro quanti degli altri 460 target siano stati effettivamente compromessi con successo.
- Non generalizzabile: un caso documentato non dice quanto sia diffusa questa pratica: è un dato di prevalenza minima, non massima.
TCT AI Security
È l'edizione di TCT dedicata a difendere agenti e modelli AI da questo tipo di scenari: monitoraggio dei comandi eseguiti dagli agenti, rilevamento di pattern offensivi, blocco prima dell'esecuzione. Lo stesso principio testato "dal lato difensivo" nel nostro Red Team Simulator.