460 Doelwitten, Nul Autonome Hacks: Hoe een Telegram Bot op DeepSeek Zijn Eigenaar Kaderde

Een kwaadwillende actor, opererend onder de bijnamen knaithe en KnYuan, vermoedelijk gevestigd in Zhuhai, China, combineerde het open-source agentframework Hermes Agent met DeepSeek om een autonoom hackingsysteem te creëren. Het framework gaf het taalmodel terminaltoegang, herbruikbare vaardigheden en onbegeleide werking, terwijl Telegram diende als communicatiekanaal voor het toewijzen van taken en het ophalen van resultaten. De agent richtte zich aanvankelijk op Langflow, een platform voor het bouwen van AI-applicaties, waarbij gebruik werd gemaakt van CVE-2026-33017, maar vond slechts één kwetsbaar exemplaar onder de 84 en liet dit vallen vanwege de lage kans op succes. Vervolgens schakelde hij over naar n8n, een platform voor workflowautomatisering, met bijna 650.000 exemplaren en twee kwetsbaarheden, maar slaagde er niet in om door te dringen vanwege authenticatievereisten. Gedurende de campagne scande en probeerde de agent aanvallen uit op 460 doelwitten zonder één bevestigd succes, terwijl de handmatige inspanningen van de operator resulteerden in data-exfiltratie uit drie organisaties via een Citrix NetScaler-kwetsbaarheid en commando-uitvoering op 11 Marimo-instanties. De ondergang van de operator kwam door de eigen automatisering van de agent: toen de agent een HTTP-server startte om bestanden te delen, stelde hij de hele homedirectory zonder wachtwoord bloot, waardoor configuraties, API-sleutels, scripts en logs zichtbaar werden. Onderzoekers merkten op dat de mislukkingen van de agent mogelijk voortkomen uit configuraties aan de kant van de slachtoffers in plaats van beperkingen van het model, en dat DeepSeek waarschijnlijk werd gekozen omdat westerse modellen zoals Claude en OpenAI autonome aanvalsverzoeken weigerden vanwege beperkingen aan de kant van de aanbieder. Het rapport, hoewel het voor sommige conclusies geen definitief bewijs bevat, benadrukt het gemak waarmee men dergelijke operaties kan starten en de dringende noodzaak van robuuste standaardbeveiligingsinstellingen.