自律型AI攻撃の実態と発覚の経緯
Unit 42（ユニット42）が確認したのは、AIを攻撃の実行役に据えたキャンペーンです。攻撃者は knaithe / KnYuan という別名で活動し、DeepSeek を Hermes Agent（ハーメス・エージェント）というオープンソースの枠組みを通じて自律的な攻撃オペレーターとして使っていました。指令はTelegram経由です。中身は標的と脆弱性の洗い出し、攻撃ツールの調達、人の介入なしでの攻撃開始まで含みます。洗い出しに使われた FOFA（フォファ）は、インターネットに公開されている機器やサービスを条件から探せる検索サービスです。
攻撃者が構えていたAI環境（Unit 42 の Table 1 より）
They configured multiple large language models (LLMs) (Qwen, GLM, Kimi, MiniMax), consistent with evaluating Chinese-market AI models. ／ Codex: There were signs of usage on exploit development directories, but the chat logs were not preserved. ／ They routed the two Western tools, Claude Code and Codex, through a third-party proxy service (code.newcli[.]com) to reduce traceability. The actor accessed DeepSeek and Qwen directly through their native API endpoints. The actor enabled anti-attribution settings on both tools. The actor configured Claude Code with CLAUDE_CODE_ATTRIBUTION_HEADER: "0" and CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC: "1", while they set Codex to disable_response_storage = true to limit response storage. — 併用したモデル、Codexの利用痕跡、およびプロキシ経由の追跡回避設定に関する記述より
DeepSeekが推論役、Hermes Agentが手足
役割ははっきり分かれていました。Hermes Agent が端末操作・Telegram経由の指令受け・スキル機構といった実行環境を提供し、DeepSeek はコード生成、脆弱性の評価、標的の選定、意思決定を担う推論エンジンとして動いています。攻撃者が Hermes Agent に仕込んでいたレッドチーム用スキルは3つ。LLMの制限を外す godmode、認証なしのWebSocketを突く web-terminal-exploitation、自作の fofa-cyberspace-search です。
西側のツールも触られてはいますが、用途は限定的でした。Claude Code は疎通確認とプロキシ検証だけで、3セッション10件の履歴にはモデル確認と接続テスト、npmのインストール要求が1件あるのみ。本番の攻撃には使われていません。
The actor, operating under the aliases knaithe and KnYuan, leveraged DeepSeek, via the Hermes Agent framework, as their autonomous offensive operator. They orchestrated this operator via Telegram for the following activities: Independently enumerating targets and their vulnerabilities using FOFA Sourcing exploit tools Initiating attacks without human intervention ／ Hermes Agent provided orchestration (terminal access, Telegram-based command and control, and the skills system) while DeepSeek served as the reasoning engine for code generation, vulnerability assessment, target selection and decision-making. ／ Claude Code: The actor only used this for connectivity testing and proxy validation. Session history (10 entries across three sessions) contained only /model checks, connectivity tests and one npm install request. ／ The actor had customized Hermes Agent with three red-teaming skills: godmode: LLM jailbreaking, framework-bundled web-terminal-exploitation: unauthenticated WebSocket exploitation, custom-created fofa-cyberspace-search: a custom procedure template instructing DeepSeek to use the actor's fofoapi.py script for internet asset enumeration — 攻撃者の別名とDeepSeekの位置づけ、Hermes AgentとDeepSeekの役割分担、Claude Codeの利用範囲、および仕込まれた3つのレッドチーム用スキルに関する記述より
露見したのはAIがファイルサーバを立てたから
外から見えるようになった発端は、あっけない一手でした。Hermes Agent が Telegram のコマンドに応じて、隔離した作業用ディレクトリではなくホームディレクトリで HTTP のファイルサーバを起動してしまいました。AIツールの設定、APIキー、攻撃スクリプト、標的リスト、コマンド履歴、自律実行のセッションログまでが丸ごと外から見える状態になります。
攻撃者本人の運用が雑だったわけではありません。使い終えた攻撃ディレクトリは空にし、Codex の会話ログも無効化していました。自動化のために導入した仕組みそのものが、手動なら残らなかった証拠を生みました。同じくエージェント型AIが実害につながった事例はWord文書を介して広がるAIワームの記事や評価中に実企業へ侵入した件の記事でも扱っています。
Hermes Agent, responding to a Telegram command, started an HTTP file server (python3 -m http.server 8888) from the actor's home directory (/home/worker) rather than an isolated staging directory. This exposed the actor's entire workspace: AI tool configurations API keys Exploit scripts Target lists Bash history Hermes autonomous exploitation session logs ／ The exposure was unintentional. The actor demonstrated operational security awareness elsewhere, having emptied exploit directories after use and disabled Codex conversation logging. ／ The same autonomous capability the actor developed for offensive use directly caused the exposure of the operation, producing forensic artifacts that would not have existed under manual execution. — ファイルサーバ起動による作業環境の露出、攻撃者の運用秘匿の状況、および自律実行が証拠を生んだという評価に関する記述より
AIが自走した攻撃サイクル
回収されたセッションログのうち、2026年5月7日の記録が自走の様子を残しています。最初の指示のあと、追加の操作者入力はUnit 42が復元できた範囲では見つかりませんでした。そこから先はAIが単独で判断を重ねています。
2026年5月7日のセッションでAIが踏んだ手順
We recovered the following sequence in Figure 1 from a single Hermes Agent session (May 7, 2026). We were unable to recover additional operator input beyond the initial task. ／ DeepSeek obtained the public n8n exploit PoC from the Chocapikk repository. The PoC chains two CVEs into an attack sequence requiring an unauthenticated form with file upload: CVE-2026-21858 (arbitrary file read, CVSS 10.0) CVE-2025-68613 (sandbox bypass to remote code execution (RCE), CVSS 9.9) ／ DeepSeek launched parallel scanning across 50-plus remaining Chinese targets. None had publicly accessible forms. The actor did not achieve exploitation. The recovered session data ends at this point. — セッション日付と操作者入力が復元できなかった旨、攻撃コードが連鎖させる2つのCVE、および並行走査で終わった経緯に関する記述より
行き詰まると自分で調べ直し、標的を乗り換えた
このセッションで目を引くのは、失敗したあとの動きです。Langflow の脆弱性（CVE-2026-33017）は前提条件が揃わず通りませんでした。CVE は公表された脆弱性ごとに振られる管理番号、CVSS はその深刻度を10点満点で表す指標で、この脆弱性は9.8でした。ここで DeepSeek は製品そのものを価値の低い標的と判断し、より大規模に使われている脆弱性を探し直しています。10の製品系列について FOFA で設置台数を調べ、GitHub で2026年のCVE実証コードをスター数順に検索。深刻度・設置規模・悪用しやすさの3点で候補を評価したうえで n8n を選びました。
FOFA が示した n8n の設置台数は世界で647,017台、うち中国国内が25,209台。攻撃者ではなくAIが費用対効果を見て標的を選び直しています。
DeepSeek identified a Langflow vulnerability (CVE-2026-33017, CVSS 9.8) and autonomously attempted exploitation through the following steps: Downloading the public PoC exploit from GitHub Enumerating 84 Langflow instances via FOFA (title="Langflow") ／ All three Langflow need public flow ID but no auto_login — stuck. Deployments small (84 alive), exploitable probably 0. Search for larger-scale vulns. ／ After abandoning Langflow, DeepSeek conducted autonomous research to identify a higher-value vulnerability. It surveyed deployment counts across 10 product families via FOFA, and then searched GitHub for trending 2026 CVE PoC repositories sorted by stars. DeepSeek evaluated each candidate by severity, deployment footprint and exploitability before selecting n8n ／ FOFA confirmed n8n as a high-value target: 647,017 instances globally; 25,209 in China. — Langflowでの攻撃手順と撤退時のAI自身の判断、標的の選び直しの過程、およびn8nの設置台数に関する記述より
25,209台から40台へ、絞り込みも自前でやった
規模の扱い方も特徴的でした。FOFA が見つけた中国国内の n8n は25,209台。DeepSeek はそのうち約100件のIPアドレスを抽出し、さらに約40件へ絞ってcurlで版を確認しています。Unit 42 はこれをAIの計算資源を節約するための絞り込みだと見ています。
結果として脆弱な版が3台見つかり、自動で攻撃が試みられました。ただしフォームに認証がかかっており成立していません。人が何百時間もかけて行う標的分析を数分で終え、しかも自分の計算資源まで管理していました。
What’s interesting is that the actor appeared to allow DeepSeek to narrow the targeting scope, likely to conserve AI compute. For example, DeepSeek sampled approximately 100 IP addresses out of the 25,209 Chinese systems that FOFA scans identified with exposed n8n instances. Of those 100 systems, it probed roughly 40 unique IP addresses, checking their version via curl commands. While most of the systems were unreachable or non-responsive, DeepSeek found three with the vulnerable versions and attempted to exploit them automatically. This autonomous process of target identification, sampling and narrowing of scope is notable because the system executed hundreds of hours of manual targeting analysis in mere minutes, while also managing its own compute resources. — 標的の抽出と絞り込みの過程、およびその意味づけに関する記述より
実害の範囲と、防御側が読み取るべき点
ここは誤解されやすいところです。自律型の攻撃は成果を上げていません。確認された実害は、AIを介さない従来型の手作業によるものでした。
攻撃に使われた脆弱性と実施方法（Unit 42 の Table 2 より）
| 製品 | CVE / CVSS | 方法 | 結果 |
|---|---|---|---|
| Langflow | CVE-2026-33017 / 9.8 | 自律 | 失敗（前提設定なし） |
| n8n | CVE-2026-21858・CVE-2025-68613 / 10.0・9.9 | 自律 | 失敗（認証が必要） |
| Citrix NetScaler | CVE-2026-3055 / 9.8 | 手動 | データ持ち出しを確認 |
| Marimo Notebook | CVE-2026-39987 / 9.8 | 手動 | コマンド実行を確認 |
| Apache Tomcat | CVE-2026-34486 / 7.5 | 手動 | 折り返し接続（リバースシェル）の試行 |
| Windows IKE VPN | CVE-2026-33824 / 9.8 | 手動 | 折り返し接続（リバースシェル）の試行 |
| PAN-OS | CVE-2026-0300 / 9.8 | 手動 | 実証コード取得のみ（未実行） |
CVE-2026-33017 Langflow 9.8 Autonomous Exploitation attempt (failed — auto_login disabled) CVE-2026-21858 /CVE-2025-68613 n8n Workflow Automation 10.0 / 9.9 Autonomous Exploitation attempt (failed — auth required) CVE-2026-3055 Citrix NetScaler ADC & Gateway 9.8 Manual Active exploitation, data exfiltrated CVE-2026-34486 Apache Tomcat 7.5 Manual Active exploitation, reverse shell attempts CVE-2026-39987 Marimo Notebook 9.8 Manual Active exploitation, command execution confirmed CVE-2026-0300 PAN-OS User-ID Authentication Portal 9.8 Manual Non-functional research PoC cloned, not executed CVE-2026-33824 Windows IKE Extensions (IKE VPN) 9.8 Manual Active exploitation, reverse shell attempts ／ The cloned code is non-functional with placeholder values that cannot achieve code execution. No evidence of modification or execution was found. — Table 2「CVEs Exploited or Staged」の全行、およびPAN-OS実証コードが未実行であった旨の記述より
確認された実害は手動操作によるもの
自律・手動を合わせると、狙われた標的は460を超えます。そのうちUnit 42が確認できた実害は2つ。Citrix NetScaler の脆弱性による3組織からのメモリデータ持ち出しと、Marimo ノートブック11台の接続先でのコマンド実行です。前者では持ち出したデータから認証クッキーが検索されており、セッション乗っ取りの意図が読み取れるとされています。
自律型の側が空振りに終わった理由も明快でした。Langflow は必要な設定が有効になっておらず、n8n はフォームに認証がかかっていた。つまり標的側の設定が防いだのであって、既定設定の緩い相手なら通っていたとUnit 42は述べています。ここが「余白は薄かった」という評価の根拠です。
From our analysis and visibility, we identified that this actor attempted to exploit over 460 targets, leveraging a mix of autonomous and manual techniques. ／ Across all the exploitation attempts, both autonomous and manual, Unit 42 confirmed data exfiltration from three Citrix NetScaler targets (CVE-2026-3055) and command execution on 11 Marimo notebook endpoints (CVE-2026-39987). ／ The three successful exploitations had memory data exfiltrated through the Citrix NetScaler out-of-bounds memory read vulnerability (CVE-2026-3055). The actor searched the exfiltrated data for NetScaler authentication cookies (NSC_AAAC=), indicating session hijacking intent. — 狙われた標的数、確認された実害の2件、および持ち出したデータから認証クッキーが検索されていた点に関する記述より
安全対策の緩いモデルが選ばれた
防御側にとって重いのは、モデル選択が意図的だったという指摘です。自律攻撃のエンジンとして、攻撃者は安全対策が最小限のモデル（DeepSeek）を、クライアント側の制限を持たないオープンソースの枠組み経由で選びました。西側のモデルも試されましたが、提供元側の制御が自律攻撃での有効性を下げたと分析されています。
実際、OpenAI 側は方針に反する要求を拒否したことを確認しており、試行が続いた結果このキャンペーンに関連すると見られるアカウントを、情報共有より前に安全システムが検知して停止していたことも報告されています。提供元の制御が素通りされたのではありません。迂回先としてより緩いモデルが選ばれただけです。
Exploitation was prevented by target-side configuration requirements — the absence of prerequisite workflow configurations (Langflow) and authentication on form endpoints (n8n). Targets with weaker default configurations would have been susceptible. ／ Threat actors follow the path of least resistance: For their autonomous attack engine, the actor selected a model with minimal safety controls (DeepSeek) accessed through an open-source framework with no client-side restrictions. The actor attempted to use Western models, but their provider-side controls likely limited their effectiveness for autonomous attacks. ／ Note: Our colleagues at OpenAI were able to confirm that their provider-side safeguards refused requests that violated their policies. They also confirmed that continued attempts led their safety systems to flag and disable an account they believe is linked to this campaign prior to our intelligence sharing with their team. — 攻撃が防がれた理由、モデル選択に関する評価、およびOpenAI側の対応に関する記述より
Unit 42 のレポートは英語で、表やコードが混ざった長文です。CVE番号や設定値を落とさずに読むならWebページをMarkdownに変換してから追うほうが確実です。
まとめ：止めたのは標的側の設定だった
このキャンペーンで自律型AIが完全な侵害に至った例はありません。それでも防御側が軽く見られないのは、止めたのが攻撃側の限界ではなく標的側の設定だったからです。前提条件が有効になっていない、フォームに認証がかかっている。その程度の差で結果が分かれました。AIは行き詰まると自分で脆弱性を調べ直し、2万5千台から40台へ絞り込み、数分で標的分析を終えています。手を打つとすれば、既定設定のまま公開している機器の棚卸しが最も効きます。自動化された攻撃は、設定の緩い相手から順に当たっていくためです。
