8月22日、GBHackersが「Chinese Hacker Uses DeepSeek and Hermes Agent to Launch Autonomous Cyberattacks」と題した記事を公開した。この記事では、中国語話者の脅威アクターがDeepSeekとHermes Agentを組み合わせ、偵察から脆弱性探索・エクスプロイト取得・攻撃実行までをほぼ自律的に行うキャンペーンについて詳しく紹介されている。驚くべきことに、AIエージェントは攻撃を自ら「割に合わない」と判断して撤退したにもかかわらず、それを阻んだのは最先端の防御技術ではなく、「認証を要求する」という基本設計だった。
AIが攻撃ライフサイクル全体を自律実行
この脅威アクターを追跡したのは、Palo Alto Networksのサイバーセキュリティ脅威インテリジェンスチームであるUnit 42だ。Unit 42は世界中のサイバー脅威を調査・分析・公開しており、APTグループや新興攻撃手法の追跡で知られる。今回のアクターはknaithe / KnYuanというエイリアスで識別されている。
DeepSeekを推論エンジンとして、Hermes Agentフレームワーク経由でターミナルアクセス・Telegram経由のC2（コマンド＆コントロール）・再利用可能な攻撃「スキル」を組み合わせた攻撃環境を構築した。
注目すべきのは調査の発端だ。Hermes Agentが攻撃者のホームディレクトリからPython製HTTPファイルサーバーを誤起動したことで、ツール設定・APIキー・ターゲットリスト・エクスプロイトスクリプト・シェル履歴・自律攻撃セッションのログが意図せず外部に露出した。この操作ミスがUnit 42に内部を丸ごと見せることになった。
構成としては以下の通りだ。
- DeepSeek：自然言語による推論・判断を担当
- Hermes Agent：実行オーケストレーション、LLMジェイルブレーク・WebSocket無認証エクスプロイト・FOFA資産探索といったカスタムスキルを実装
- MCPサーバー：Model Context Protocol（MCP）に基づくサーバーで、LLMと外部ツール・データソースを接続する役割を担う。今回はFOFAクエリへの自然言語変換・Nucleiスキャン生成・インターネット規模の資産探索に使用された
Attack flow（出典：Palo Alto Networks）
「失敗したら即ピボット」——AIエージェントの意思決定
2026年5月に記録されたセッションが、このシステムの動作を端的に示している。
エージェントはまず、CVSS 9.8のCVE-2026-33017（Langflow脆弱性）のPoCをGitHubから自律的にダウンロードし、FOFAで84件の露出インスタンスを特定、スキャンして脆弱なホスト（Langflow 1.3.4）を1件発見した。
しかし、エクスプロイトに必要なauto_login設定が無効であり、パブリックなフローIDも露出していなかったため、攻撃は失敗。ここからが興味深い点で、AIエージェントは失敗の継続を選ばず、Langflowを「低価値」と判断して自律的に次のターゲットへ移行した。
その後、エージェントは10製品ファミリーを調査し、GitHubでトレンドのPoC（2026年版）を検索して深刻度・露出数・エクスプロイト可能性でランキングを作成。647,000件超のグローバル露出インスタンス（うち中国国内25,209件）を持つn8nワークフロー自動化ツールを最優先ターゲットに選定した。
対象の脆弱性は以下の2件だ。
| CVE | 内容 | CVSSスコア |
|---|---|---|
| CVE-2026-21858 | 任意ファイル読み取り | 10.0 |
| CVE-2025-68613 | サンドボックスバイパス→RCE | 9.9 |
こちらも認証が必要なフォームしか発見できず、50件超の中国ターゲットをスキャンしても突破口を見つけられなかった。自律攻撃フェーズでは最終的に侵害は確認されていない。
手動操作では実害が発生
自律AIによる攻撃は防がれたが、同じアクターによる手動操作では被害が出ている。
- CVE-2026-3055（Citrix NetScaler）を悪用し、3組織からデータを窃取。窃取したメモリデータから
NSC_AAAC認証クッキーを検索しており、アクティブセッションのハイジャックを狙っていたとUnit 42は分析している - CVE-2026-39987（Marimoノートブック）を悪用し、11インスタンスでコマンド実行を達成
- Apache TomcatサーバーおよびWindows IKE VPNエンドポイントへのリバースシェル試行
- マレーシア政府機関を繰り返しターゲットにし、プロキシによる匿名化も確認
自律・手動キャンペーンを合わせ、460件超のシステムがターゲットになったとされる。
防御側へのインプリケーション
Unit 42は、今回のキャンペーンが「AIを使ったスクリプティング支援」から「半自律的な攻撃オペレーション」への実践的な移行を示すものと位置づけている。
今回の自律攻撃を阻んだのは、結局のところ「認証が必要なエンドポイント設計」という基本的なセキュリティ設定だった。推奨される対策は以下の通りだ。
- インターネット公開システムの迅速なパッチ適用
- 未認証の管理インターフェース・ファイルアップロードエンドポイントの排除
- 公開資産の継続的なインベントリ管理
- FOFAスタイルの偵察、バルクバージョンチェック、公開PoC探索、ワークフロー自動化ツール・VPN・エッジデバイスへの攻撃試行の監視
詳細はChinese Hacker Uses DeepSeek and Hermes Agent to Launch Autonomous Cyberattacksを参照していただきたい。
