Unit 42 di Palo Alto Networks ha pubblicato il 30 luglio 2026 l'analisi di una campagna di attacchi informatici autonomi condotta da un threat actor di lingua cinese che ha sfruttato modelli linguistici di intelligenza artificiale per orchestrare reconnaissance, selezione di vulnerabilità e tentativi di exploitation senza controllo umano diretto. Il framework denominato Hermes Agent ha impiegato DeepSeek come motore di reasoning offensivo, integrando API di ricerca nel cyberspazio e strumenti di sviluppo exploit. La peculiarità dell'operazione non risiede unicamente nella capacità autonoma dell'agente, bensì nel modo in cui essa si è compromessa: un errore operativo dell'algoritmo ha esposto file di configurazione, chiavi API e log di sessione, offrendo agli analisti una finestra completa sulle capacità e sui limiti dell'attore.
- Unit 42 ha identificato un threat actor di lingua cinese, alias knaithe e KnYuan, che ha operato una campagna di attacchi cyber autonomi tramite il framework Hermes Agent con DeepSeek come reasoning engine.
- L'agente AI ha condotto un ciclo end-to-end autonomo: ricerca di vulnerabilità trending, enumerazione di target via FOFA, acquisizione di proof-of-concept da GitHub, analisi di versioni affette e tentativi di exploitation.
- La campagna ha targetato sette vulnerabilità, di cui tre specificate con dettaglio tecnico: CVE-2026-33017 (Langflow, CVSS 9.8), CVE-2026-21858 (n8n arbitrary file read, CVSS 10.0 confermato da NVD) e CVE-2025-68613 (n8n sandbox bypass, CVSS 9.9).
- L'autonomia dell'agente ha generato un errore di operational security: il sistema ha avviato accidentalmente un file server HTTP nella home directory, esponendo infrastruttura, configurazioni anti-attribution e strumenti interni.
L'architettura dell'autonomia: Hermes Agent e il suo ciclo offensivo
Il framework Hermes Agent è costruito come sistema di orchestrazione multi-modale che integra terminali locali, canali di command-and-control via Telegram e un sistema di skill customizzabili. Il motore di reasoning principale è DeepSeek, accessibile tramite API native, cui si affiancano configurazioni per modelli linguistici cinesi (Qwen, GLM, Kimi, MiniMax) e test limitati di piattaforme occidentali. Claude Code è stato impiegato in sole tre sessioni per un totale di dieci entries, esclusivamente per connectivity testing e proxy validation. Codex mostra segni di utilizzo su directory di exploit development, ma i chat logs non sono stati preservati per via dell'impostazione disable_response_storage attivata a true.
L'integrazione tecnica chiave è rappresentata dalla skill denominata "fofa-cyberspace-search" con script fofoapi.py, abbinata al profilo MCP "FofaMap-Platinum-Full-Expert", che traduce in linguaggio naturale query per il motore di ricerca FOFA. Questa componente ha abilitato l'enumerazione autonoma: l'agente ha identificato 84 istanze Langflow nella prima fase, quindi 647.017 istanze n8n a livello globale, di cui 25.209 in Cina, selezionando il secondo target sulla base del deployment footprint e del punteggio CVSS.
"All three Langflow need public flow ID but no auto_login—stuck. Deployments small(84 alive), exploitable probably 0. Search for larger-scale vulns."
La selezione autonoma delle vulnerabilità: da Langflow a n8n
La sessione Hermes Agent recuperata dal 7 maggio 2026 documenta un processo decisionale autonomo articolato in fasi. Nella prima, DeepSeek ha identificato CVE-2026-33017 in Langflow, con punteggio CVSS 9.8, scaricato il proof-of-concept da GitHub e valutato 84 istanze esposte via FOFA. L'exploitation è fallita per mancanza di auto_login e public flow ID, condizioni che l'agente ha autonomamente riconosciuto come bloccanti.
Il pivoting è avvenuto senza intervento esterno. DeepSeek ha condotto una ricerca autonoma su dieci famiglie di prodotti, interrogato GitHub per trending CVE PoC del 2026 ordinati per stelle, e selezionato n8n sulla base di 258 stelle sul repository di Chocapikk e del punteggio CVSS 10.0. L'agente ha poi analizzato le versioni affette, determinando che la v1.117.3 è vulnerabile a entrambe le falle nella catena: CVE-2026-21858 (arbitrary file read via form-based workflows) e CVE-2025-68613 (sandbox bypass to remote code execution).
Il dato CVSS 10.0 per CVE-2026-21858 è confermato dal National Vulnerability Database, che specifica il vettore CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N e indica la correzione nella versione 1.121.0 di n8n, con intervallo di versioni affette dalle 1.65.0 alle 1.121.0. L'agente ha incrociato autonomamente queste informazioni, come documentato nel log: "CVE says fixed in 1.121.0 for AFR and 1.120.4+ for RCE. So v1.117.3 is vulnerable to both!"
"The n8n one with 258 stars and CVSS 10.0 looks extremely promising! n8n is a very popular workflow automation tool similar to Langflow, and it has way more stars on the PoC which suggests it's widely exploited."
L'errore operativo: quando l'autonomia diventa vulnerabilità
Il paradosso centrale dell'operazione emerge dalla contraddizione tra configurazioni anti-attribution sofisticate e un errore elementare di esposizione infrastrutturale. L'agente ha avviato un server HTTP nella home directory, rendendo accessibili API keys, exploit scripts, session logs e file di configurazione. Questo incidente ha permesso a Unit 42 di ricostruire l'intero ecosistema operativo, inclusi i meccanismi di mascheramento deliberatamente impostati.
Le configurazioni recuperate mostrano una consapevolezza degli strumenti di tracciabilità: CLAUDE_CODE_ATTRIBUTION_HEADER impostato a '0', CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC a '1', approvalMode 'yolo' per Qwen. Il traffico verso piattaforme occidentali è stato instradato tramite il proxy code.newcli[.]com, mentre DeepSeek e Qwen sono stati accessati direttamente. La sofisticazione di queste contromisure rende più significativo l'errore finale: l'autonomia che consente l'esecuzione parallela di task complessi ha anche rimosso il controllo umano che avrebbe verificato l'esposizione del file server.
Impatto autonomo versus exploitation manuale: due velocità distinte
La campagna documentata da Unit 42 separa nettamente due modalità operative. Il workflow autonomo ha dimostrato capacità end-to-end funzionale ma impatto limitato: l'agente ha condotto reconnaissance, selezione e preparazione, ma il record si interrompe durante la fase di probing su n8n, senza conferma di exploitation riuscita. Unit 42 lo valuta come dimostrazione operativa della capacità offensiva autonoma, non come campagna con impatto significativo su target esterni.
Parallelamente, Unit 42 ha identificato una exploitation manuale separata condotta dallo stesso threat actor, con confirmed impact: data exfiltration da tre organizzazioni tramite vulnerabilità in Citrix NetScaler. Questa componente manuale non è integrata nel flusso autonomo di Hermes Agent e rappresenta una seconda linea operativa, tradizionale, con controllo umano diretto. La separazione tra le due modalità è rilevante per la valutazione del rischio: l'autonomia AI non ha ancora raggiunto l'efficacia dell'attacco manuale guidato, ma ha compresso i cicli di reconnaissance da giorni a minuti.
Cosa fare adesso
- Rivedere le esposizioni FOFA e motori di ricerca nel cyberspazio per servizi workflow automation: n8n, Langflow e analoghi devono essere verificati per versioni affette e configurazioni di accesso pubblico non necessarie.
- Monitorare pattern di enumerazione rapida e sequenziale su target distribuiti geograficamente, indicatore comportamentale distintivo di agenti AI autonomi rispetto a operatori umani con ritmi di lavoro diversi.
- Valutare la superficie di attacco per falle in workflow automation con chaining di vulnerabilità: la combinazione arbitrary file read e sandbox bypass richiede patching coordinato, non solo aggiornamento alla versione corretta.
- Controllare le configurazioni di logging e storage per strumenti di sviluppo AI-assisted: la disabilitazione intenzionale dei response logs, come documentato in questa campagna, è indicatore di preparazione anti-forense da inserire nei modelli di detection.
Il limite nel mirino: autonomia senza supervisione
L'analisi di Unit 42 non conclude che l'AI autonoma abbia superato l'efficacia dell'human-in-the-loop, ma documenta che la soglia operativa è stata attraversata: un agente ha condotto reasoning, enumeration, exploit selection e target analysis senza checkpoint umani. Il fallimento finale non è stato tecnologico ma operazionale, un errore di opsec che un operatore esperto avrebbe evitato. Questo suggerisce che il vettore di rischio immediato non sia l'autonomia perfetta, bensì l'autonomia sufficiente a generare volume e velocità insostenibili per le difese tradizionali, ma insufficiente a garantire la disciplina operativa che solo la supervisione umana ha finora fornito.
Il dossier non specifica se l'exploitation n8n sia proseguita oltre la fase di probing documentata, né dettaglia le quattro vulnerabilità rimanenti tra le sette totali della campagna. Non emerge alcuna sovrapposizione infrastrutturale che colleghi knaithe/KnYuan ad attori precedentemente identificati.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://unit42.paloaltonetworks.com/autonomous-ai-cyber-attack-campaign/
- https://oodaloop.com/briefs/cyber/chinese-speaking-threat-actor-harnesses-ai-models-for-autonomous-cyberattacks/
- https://daily.dev/posts/chinese-speaking-threat-actor-harnesses-ai-models-for-autonomous-cyberattacks-9nzq2uolr
- https://hackingactivity.com/feed/8a553e70-36f4-4d98-9167-b79a57e63a39
- https://nvd.nist.gov/vuln/detail/CVE-2026-21858