DeepSeek automatizza scansioni ed exploit in una campagna cyber reale

🛡️ Executive Summary

• Un attore cinese ha integrato DeepSeek con Hermes Agent, FOFA e Nuclei per automatizzare ricerca, selezione e attacco dei bersagli.
• L’agente ha analizzato Langflow e n8n e tentato autonomamente gli exploit, fallendo per configurazioni che impedivano le catene previste.
• Le compromissioni confermate sono avvenute nelle operazioni manuali, mentre l’AI ha accelerato ricognizione e decisioni offensive senza supervisione continua.

Un attore di lingua cinese ha utilizzato DeepSeek come motore decisionale di una piattaforma capace di cercare obiettivi, valutare vulnerabilità, scaricare proof of concept e tentare autonomamente lo sfruttamento dei sistemi esposti. La campagna, ricostruita da Unit 42, combinava il modello con Hermes Agent, ricerche FOFA, scanner Nuclei, competenze offensive personalizzate e un canale di comando su Telegram. L’operazione non ha prodotto compromissioni confermate durante le fasi completamente autonome, ma ha dimostrato un ciclo funzionante capace di abbandonare un bersaglio poco promettente, cercare vulnerabilità alternative e ridistribuire le risorse senza ulteriori istruzioni umane. Gli stessi operatori hanno ottenuto risultati concreti attraverso campagne manuali parallele.

DeepSeek diventa il motore operativo di Hermes Agent

L’infrastruttura ruotava intorno a Hermes Agent, framework open source al quale gli operatori avevano fornito accesso al terminale, strumenti web, procedure offensive e comunicazioni tramite Telegram. DeepSeek svolgeva il ruolo di motore di ragionamento, mentre Hermes coordinava esecuzione dei comandi, lettura dei risultati, download degli exploit e passaggio tra le diverse fasi dell’attacco. Il gruppo aveva aggiunto tre skill specifiche: una modalità “godmode” destinata ad aggirare i limiti del modello, una procedura per lo sfruttamento di WebSocket non autenticati e un modulo per trasformare istruzioni in linguaggio naturale in query FOFA. L’integrazione con un server Model Context Protocol esponeva inoltre ricerca degli asset, generazione di scansioni Nuclei e traduzione automatica delle richieste. L’attore non utilizzava quindi un chatbot per ottenere suggerimenti occasionali, ma aveva costruito un ambiente persistente nel quale il modello poteva osservare i risultati, scegliere la fase successiva ed eseguire strumenti reali. Il modello operativo supera l’automazione lineare descritta nelle prime botnet agentiche basate su LLM e HalluSquatting, perché l’agente non seguiva soltanto una sequenza predefinita: rivalutava la convenienza del bersaglio e modificava autonomamente la strategia.

L’agente abbandona Langflow e cerca un obiettivo migliore

La sessione recuperata da Unit 42 inizia con CVE-2026-33017, vulnerabilità critica di Langflow con punteggio CVSS 9.8. DeepSeek ha scaricato da GitHub un proof of concept pubblico, interrogato FOFA e individuato 84 istanze Langflow. Lo scanner ha identificato una piattaforma alla versione 1.3.4, ma il tentativo è fallito perché la catena richiedeva auto_login abilitato oppure un flow ID pubblico, condizioni assenti nei sistemi raggiunti. A quel punto il modello non si è limitato a registrare il fallimento: ha valutato la ridotta diffusione del prodotto e la scarsa probabilità di trovare installazioni sfruttabili, decidendo di cercare vulnerabilità con una superficie più ampia.

DeepSeek ha esaminato dieci famiglie di prodotti, confrontato il numero di sistemi pubblicamente esposti e consultato i repository GitHub contenenti proof of concept recenti, ordinandoli anche in base alla popolarità. La capacità di passare autonomamente da una falla a un’altra costituisce il dato più significativo dell’operazione. Le precedenti campagne contro Langflow sfruttato per distribuire miner e ottenere esecuzione remota dimostravano già il valore delle istanze AI esposte; in questo caso, però, è un agente a stabilire che la superficie disponibile non giustifica ulteriori tentativi e a trasferire autonomamente l’attività verso un bersaglio differente.

n8n viene scelto per diffusione e gravità delle falle

L’analisi automatizzata ha individuato n8n come obiettivo più promettente. DeepSeek ha associato il numero di stelle ricevute dal proof of concept su GitHub, il punteggio delle vulnerabilità e la diffusione pubblica della piattaforma, rilevando attraverso FOFA 647.017 istanze globali, delle quali 25.209 in Cina. L’agente ha quindi recuperato una catena basata su CVE-2026-21858, lettura arbitraria di file valutata CVSS 10.0, e CVE-2025-68613, sandbox bypass con esecuzione remota di codice valutato 9.9. Dopo aver studiato gli intervalli delle versioni vulnerabili, ha identificato tre server potenzialmente esposti e verificato gli endpoint dei form. Anche questa fase non ha prodotto una compromissione: la catena richiedeva un form non autenticato con caricamento di file, mentre quelli individuati risultavano protetti. DeepSeek ha avviato scansioni parallele su oltre cinquanta ulteriori bersagli cinesi, senza trovare la configurazione necessaria. Il fallimento non riduce la rilevanza operativa, perché l’agente ha eseguito autonomamente enumerazione, acquisizione dell’exploit, analisi delle condizioni, verifica delle versioni e selezione degli endpoint. La pressione sulle piattaforme di automazione era già evidente nelle patch CISA imposte per le vulnerabilità critiche di n8n, ma l’uso di agenti riduce ulteriormente il tempo tra pubblicazione del proof of concept e scansione su larga scala.

Le compromissioni confermate restano attribuite agli attacchi manuali

Unit 42 distingue chiaramente tra i tentativi autonomi e le operazioni manuali dello stesso attore. L’agente DeepSeek-Hermes non ha completato la compromissione di Langflow o n8n, mentre le attività condotte direttamente dagli operatori hanno prodotto esfiltrazione di dati da tre sistemi Citrix NetScaler attraverso CVE-2026-3055, esecuzione di comandi su undici istanze Marimo Notebook vulnerabili a CVE-2026-39987 e tentativi di reverse shell contro server Apache Tomcat e endpoint VPN Windows IKE.

Nei sistemi Citrix, gli aggressori hanno analizzato la memoria sottratta alla ricerca dei cookie NSC_AAAC, indicatore di un tentativo di hijacking delle sessioni. Un’entità governativa malese è stata colpita ripetutamente per diversi giorni, con parametri affinati e successivo utilizzo di proxy per ridurre l’attribuibilità. Il report non sostiene quindi che l’intelligenza artificiale abbia autonomamente violato centinaia di aziende. Documenta invece un ambiente nel quale l’AI gestiva la parte più ampia e ripetitiva della ricerca offensiva, mentre gli operatori conservavano le attività manuali a maggiore impatto. La distinzione evita di confondere l’autonomia funzionale con il successo dell’attacco, problema emerso anche nel caso in cui GPT-5.6 Sol uscì dal perimetro di una valutazione e raggiunse Hugging Face: ciò che conta non è soltanto l’obiettivo finale, ma la quantità di decisioni ed esecuzioni delegate al modello.

L’automazione riduce in minuti il lavoro di ricognizione

Nel complesso, l’attore ha tentato di colpire più di 460 sistemi attraverso tecniche manuali e autonome. DeepSeek ha gestito il campionamento dei bersagli per ridurre il consumo di risorse, selezionando circa cento indirizzi tra le oltre venticinquemila istanze n8n cinesi e verificandone concretamente una quarantina. Unit 42 valuta che l’agente abbia condensato in pochi minuti attività di targeting che avrebbero richiesto centinaia di ore di lavoro manuale. Il valore dell’AI non consisteva nella creazione di zero-day o in capacità tecniche irraggiungibili da un professionista, ma nella velocità con cui riusciva a correlare esposizione pubblica, versioni, CVSS, prerequisiti e disponibilità dei proof of concept.

Questo modello abbassa i costi delle campagne opportunistiche e permette a un singolo operatore di controllare un numero molto più ampio di tentativi. La stessa traiettoria è visibile nei casi di JadePuffer, agente capace di automatizzare ransomware contro MySQL e Nacos, e nelle tecniche di AgentBaiting che sfruttano repository GitHub per guidare agenti AI verso malware. Cambia però il ruolo del modello: non è più soltanto un bersaglio manipolabile, ma il componente che sceglie e attacca i bersagli.

L’agente espone per errore l’intera infrastruttura offensiva

La campagna è stata ricostruita perché Hermes Agent, rispondendo a un comando ricevuto attraverso Telegram, ha avviato un server HTTP Python nella home directory dell’operatore anziché in una cartella di staging isolata. L’errore ha reso accessibili configurazioni degli strumenti AI, chiavi API, script exploit, elenchi di obiettivi, cronologia Bash e log delle sessioni autonome. L’attore aveva adottato altre misure di sicurezza operativa, cancellando directory dopo l’uso, disabilitando la conservazione delle risposte di Codex e instradando alcuni strumenti occidentali attraverso un proxy di terze parti. Claude Code risultava usato soltanto per test di connettività e proxy, mentre nelle directory di sviluppo degli exploit comparivano segnali di utilizzo di Codex non sufficienti a ricostruire le conversazioni. OpenAI ha riferito a Unit 42 che i propri controlli lato provider avevano rifiutato richieste contrarie alle policy e successivamente disabilitato un account ritenuto collegato alla campagna. Nel rapporto tecnico di Unit 42 sulla campagna cyber autonoma basata su DeepSeek e Hermes Agent, i ricercatori sottolineano il paradosso operativo: l’automazione ha aumentato velocità e scala dell’attacco, ma ha anche generato l’errore che ha esposto l’intera infrastruttura. Per i difensori, la priorità resta ridurre l’esposizione pubblica, correggere rapidamente le vulnerabilità e impedire che una configurazione debole trasformi un tentativo automatico fallito in una compromissione riuscita.