Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Autonomiczne ataki wspierane przez sztuczną inteligencję przestają być wyłącznie eksperymentem badawczym i coraz wyraźniej wchodzą do praktyki operacyjnej. Najnowszy ujawniony przypadek pokazuje, że model językowy może zostać połączony z agentem wykonawczym zdolnym do analizowania celów, uruchamiania poleceń systemowych, pobierania narzędzi oraz testowania podatności na publicznie dostępnych serwerach.
W opisywanym incydencie wykorzystano model DeepSeek oraz framework Hermes Agent. Taki zestaw pozwala ograniczyć rolę operatora do zainicjowania zadania, a kolejne etapy łańcucha ofensywnego mogą być realizowane częściowo lub niemal całkowicie automatycznie.
W skrócie
Badacze bezpieczeństwa opisali kampanię prowadzoną przez chińskojęzycznego aktora zagrożeń, który używał AI do rozpoznania, wyboru celów i prób eksploatacji usług wystawionych do internetu. Analiza była możliwa dzięki błędnej konfiguracji infrastruktury, która ujawniła logi, skrypty, historię poleceń i zasoby wykorzystywane przez operatora.
- DeepSeek odpowiadał za warstwę decyzyjną i analizę kolejnych kroków.
- Hermes Agent wykonywał działania operacyjne w systemie i sieci.
- Agent testował różne ścieżki ataku bez pełnej ręcznej obsługi.
- Automatyczne próby nie doprowadziły do pełnego przejęcia badanych serwerów.
- Równolegle prowadzono także klasyczne, ręczne działania ofensywne.
Kontekst / historia
Aktywność została ujawniona pod koniec lipca 2026 roku. Według ustaleń operator posługiwał się aliasami „knaithe” oraz „KnYuan” i przedstawiał się jako badacz bezpieczeństwa binarnego. Punktem zwrotnym śledztwa było niezamierzone wystawienie przez Hermes Agent serwera WWW z katalogu domowego operatora, co umożliwiło wgląd w środowisko robocze.
Ujawnione zasoby obejmowały między innymi klucze API, logi działania agenta, historię poleceń i zestaw narzędzi ofensywnych. To nie pierwszy przypadek, gdy źle zabezpieczona infrastruktura związana z agentami AI odsłania kulisy działań napastników, jednak tym razem szczególnie istotny był poziom autonomii. Agent nie ograniczał się do pomocy po uzyskaniu dostępu, lecz sam analizował podatności, oceniał cele i inicjował próby eksploatacji.
Analiza techniczna
Hermes Agent to otwartoźródłowy framework agentowy, który może wykorzystywać model językowy jako silnik decyzyjny. W praktyce DeepSeek pełnił rolę warstwy rozumowania, a Hermes odpowiadał za wykonanie konkretnych operacji, takich jak uruchamianie komend, pobieranie exploitów czy analiza odpowiedzi z atakowanych systemów.
Szczególne znaczenie miał tryb „YOLO”, w którym agent może realizować również bardziej ryzykowne akcje bez każdorazowego potwierdzenia operatora. Dodatkowo środowisko było zintegrowane z kanałem komunikacyjnym oraz zewnętrznymi zasobami służącymi do wyszukiwania ekspozycji usług w internecie, co pozwalało szybko przejść od rekonesansu do testowania potencjalnych wektorów ataku.
Z odtworzonych sesji wynika, że w maju 2026 roku agent najpierw skupił się na publicznie dostępnych serwerach Langflow powiązanych z podatnością CVE-2026-33017. System pobrał publicznie dostępny proof-of-concept, zidentyfikował dziesiątki widocznych instancji i przeskanował je pod kątem warunków umożliwiających wykorzystanie luki.
Po nieudanej ocenie tej ścieżki system zmienił strategię i wskazał platformę n8n jako bardziej perspektywiczny cel. Agent miał zidentyfikować bardzo dużą liczbę wystawionych instancji usługi, pobrać exploit łączący CVE-2026-21858 z CVE-2025-68613, a następnie sprawdzać wersje oprogramowania i obecność niezautoryzowanych formularzy uploadu plików. Ostatecznie kluczowe komponenty były chronione uwierzytelnieniem, dlatego automatyczna ścieżka nie zakończyła się przejęciem systemów.
Znaczenie incydentu nie wynika jednak z wysokiej skuteczności końcowej, lecz z szybkości i autonomii procesu. Agent samodzielnie przeszedł przez etapy typowe dla operacji ofensywnych:
- rekonesans i wybór celu,
- analizę dostępnych podatności,
- pobranie narzędzi i kodu exploitów,
- walidację warunków ataku,
- egzekucję prób wykorzystania luk.
Badacze odnotowali również ręczne działania przeciwko setkom systemów z użyciem podatności dotyczących między innymi Citrix NetScaler, Apache Tomcat, Marimo Notebook oraz Windows IKE VPN. W kilku przypadkach skuteczne przejęcie wiązało się z wykorzystaniem luki CVE-2026-3055 w Citrix NetScaler do pozyskiwania danych z pamięci i wyszukiwania ciasteczek uwierzytelniających.
Konsekwencje / ryzyko
Najważniejszy wniosek jest prosty: bariera wejścia dla bardziej zaawansowanych działań ofensywnych dalej spada. Nawet jeśli autonomiczny agent nie gwarantuje jeszcze wysokiej skuteczności na końcowym etapie, potrafi znacząco zautomatyzować najbardziej czasochłonne elementy kampanii, czyli analizę ekspozycji, selekcję celów i sprawdzanie warunków eksploatacji.
Dla zespołów bezpieczeństwa oznacza to wzrost skali zagrożenia. Napastnik może szybciej iterować po wielu ścieżkach ataku, porzucać nieskuteczne wektory i dynamicznie szukać nowych możliwości. W praktyce przekłada się to na większą liczbę prób włamań, krótsze okno reakcji i większą presję na organizacje utrzymujące usługi publicznie dostępne.
Podwyższone ryzyko dotyczy szczególnie środowisk, które mają:
- rozbudowaną powierzchnię ataku zewnętrznego,
- opóźnienia w zarządzaniu poprawkami,
- nadmiernie wystawione panele administracyjne,
- niewystarczający monitoring anomalii,
- brak segmentacji usług testowych i deweloperskich.
Rekomendacje
Organizacje powinny przyjąć założenie, że przeciwnik może dziś automatyzować nie tylko skanowanie, ale również logiczny dobór ścieżki ataku. Odpowiedzią musi być jednoczesne wzmocnienie higieny bezpieczeństwa, zarządzania podatnościami i zdolności detekcyjnych.
- Redukcja powierzchni ataku: zidentyfikować wszystkie usługi wystawione do internetu, wyłączyć zbędne interfejsy i ograniczyć dostęp do paneli administracyjnych przez VPN, allowlisty lub model Zero Trust.
- Szybsze zarządzanie podatnościami: priorytetyzować luki aktywnie wykorzystywane lub łatwe do automatyzacji, a także monitorować publiczne proof-of-concept i nowe łańcuchy exploitacyjne.
- Wzmocnienie uwierzytelniania: egzekwować MFA, zabezpieczać endpointy uploadu i API oraz ograniczać ryzyko przejęcia sesji dzięki krótszemu czasowi życia tokenów.
- Lepsza detekcja rekonesansu i automatyzacji: korelować dane z WAF, EDR, NDR i logów aplikacyjnych, aby wykrywać szybkie sekwencje działań charakterystyczne dla agentów ofensywnych.
- Ochrona sesji i danych z pamięci: regularnie aktualizować urządzenia brzegowe, ograniczać ekspozycję podatnych komponentów i monitorować anomalie związane z sesjami administracyjnymi.
- Testowanie odporności: prowadzić cykliczne przeglądy ekspozycji z perspektywy internetu, ćwiczenia purple team oraz scenariusze obejmujące ataki AI-assisted.
Podsumowanie
Przypadek DeepSeek i Hermes Agent pokazuje, że autonomiczne cyberataki stały się realnym elementem krajobrazu zagrożeń. Choć automatyczne próby opisane w tym incydencie nie doprowadziły do pełnego sukcesu, udowodniły możliwość samodzielnego przechodzenia przez kluczowe etapy ofensywy: od rozpoznania po próbę eksploatacji.
Dla obrońców najważniejsza lekcja jest jednoznaczna. Największym zagrożeniem nie jest pojedynczy model AI, lecz połączenie warstwy decyzyjnej, dostępu do narzędzi systemowych i publicznych źródeł exploitów w jeden spójny, szybki i skalowalny łańcuch ataku.