Thought Leadership
Ein chinesischsprachiger Angreifer ließ das KI-Modell DeepSeek über das Framework Hermes Agent weitgehend selbstständig Angriffe ausführen.
Der unter den Aliasnamen knaithe und KnYuan auftretende Angreifer setzte DeepSeek nach einer anfänglichen Anweisung über Telegram für Angriffsversuche gegen mehr als 460 Ziele ein, teils autonom, teils über klassische manuelle Vorgehensweisen. Unit 42 beschreibt insgesamt sieben verschiedene Angriffspfade über acht CVE-Kennungen, da eine Angriffskette gegen die Automatisierungsplattform n8n zwei Schwachstellen kombinierte. Die autonom durch DeepSeek geführten Angriffe gegen die KI-Plattformen Langflow und n8n scheiterten letztlich, weil die jeweils angetroffenen Systeme die für die Ausnutzung nötigen Konfigurationsvoraussetzungen nicht erfüllten. In separaten, manuell durchgeführten Angriffen gelang dem Akteur laut Unit 42 hingegen Datenabfluss bei drei Organisationen über eine Speicherauslese-Schwachstelle in Citrix NetScaler sowie Codeausführung auf elf Marimo-Instanzen über eine weitere Schwachstelle.
Wie DeepSeek eigenständig zwischen Zielen wechselte
In einer von Unit 42 rekonstruierten Sitzung vom Mai 2026 lud DeepSeek zunächst selbstständig öffentlichen Exploit-Code für eine Schwachstelle in der KI-Plattform Langflow herunter, ermittelte über den Suchdienst FOFA 84 erreichbare Installationen und identifizierte darunter ein Ziel mit verwundbarer Version. Der Angriff scheiterte jedoch, da die nötigen Konfigurationsbedingungen auf dem Zielsystem fehlten. Daraufhin prüfte der KI-Agent eigenständig zehn verschiedene Produktfamilien, durchsuchte GitHub nach aktuellem Exploit-Code und wählte die Automatisierungsplattform n8n als nächstes Ziel. Über FOFA fand DeepSeek dabei mehr als 25.000 n8n-Installationen allein in China, prüfte rund 100 davon näher und identifizierte drei mit einer verwundbaren Version, wobei am Ende auch hier keine tatsächliche Kompromittierung gelang, da die verbleibenden Systeme durchgängig eine vorherige Authentifizierung verlangten.
Eigener Fehler des Angreifers offenbarte die Kampagne
Unit 42 wurde auf die Kampagne erst aufmerksam, weil das Hermes-Agent-Framework versehentlich einen eigenen HTTP-Server startete und dadurch Modellkonfigurationen, API-Schlüssel, Exploit-Skripte, Ziellisten, Shell-Verläufe sowie Protokolle der autonomen Sitzungen öffentlich zugänglich machte. DeepSeek diente dabei laut Unit 42 als zentrales Reasoning-Modell innerhalb von Hermes Agent, das wiederum Terminalzugriff, wiederverwendbare Fähigkeiten und unbeaufsichtigte Ausführung bereitstellte. Daneben fanden die Forscher Hinweise auf eine begrenzte Nutzung weiterer KI-Modelle, darunter Claude Code und Qwen Code, sowie Spuren einer möglichen Codex-Nutzung in Verzeichnissen zur Exploit-Entwicklung, die sich jedoch mangels erhaltener Chatprotokolle nicht abschließend bestätigen ließ.
Empfohlene Gegenmaßnahmen
Unit 42 empfiehlt betroffenen Organisationen, exponierte Installationen von Langflow, n8n und Marimo sowie kundenverwaltete NetScaler-ADC- oder -Gateway-Appliances, die als SAML-Identitätsanbieter konfiguriert sind, zeitnah zu patchen. Zusätzlich sollten Unternehmen unnötigen öffentlichen Zugriff auf Workflow- und Notebook-Oberflächen konsequent entfernen. Unit 42 geht auf Basis öffentlich verfügbarer Informationen davon aus, dass der Angreifer in der chinesischen Stadt Zhuhai ansässig ist, ohne dass sich dies unabhängig bestätigen ließe.
(red)
