標的460件、自動ハッキング成功ゼロ：DeepSeek上のTelegramボットが所有者を陥れた方法

knaithe(KnYuanという別名も使用)を名乗る、中国・珠海に拠点を置くとみられる悪意ある行為者が、オープンソースのエージェントフレームワーク「Hermes Agent」とDeepSeekを組み合わせ、自律型のハッキングシステムを構築した。このフレームワークは大規模言語モデル(LLM:Large Language Model)にターミナルへのアクセス権、再利用可能なスキル、そして無監督での動作を提供し、Telegramがタスクの割り当てと結果の取得を行う通信チャネルとして機能した。エージェントは当初、AIアプリケーション構築プラットフォームであるLangflowを標的とし、脆弱性CVE-2026-33017を悪用しようとしたが、84のインスタンスのうち脆弱なものはわずか1件しか見つからず、成功確率が低いとして断念した。続いてワークフロー自動化プラットフォームのn8nに矛先を変えた。n8nには約65万のインスタンスと2つの脆弱性が存在したが、認証要件のためいずれの侵害にも失敗した。このキャンペーンを通じてエージェントは460の標的をスキャンし攻撃を試みたが、確認された成功例は一件もなかった。一方、オペレーターが手動で行った攻撃では、Citrix NetScalerの脆弱性を突いて3組織からデータを窃取し、11件のMarimoインスタンスでコマンド実行に成功していた。このオペレーターの正体が発覚したきっかけは、皮肉にもエージェント自身の自動化処理にあった。エージェントがファイル共有のためにHTTPサーバーを起動した際、パスワード保護なしでホームディレクトリ全体を公開してしまい、設定ファイル、APIキー、スクリプト、ログなどが丸見えになってしまったのである。研究者らは、エージェントの失敗はモデル自体の限界というより、被害者側の設定に起因している可能性があると指摘している。また、DeepSeekが選ばれた理由として、ClaudeやOpenAIといった西側諸国のモデルは提供元による制限のため自律的な攻撃要求を拒否する可能性が高かったことが考えられるとしている。この報告書は一部の結論について決定的な証拠を欠いてはいるものの、こうした攻撃活動への参入障壁の低さと、堅牢なセキュリティ既定値(デフォルト設定)整備の緊急性を浮き彫りにしている。