Pelaku ancaman berbahasa Mandarin menggunakan model AI DeepSeek dan agen Hermes sumber terbuka untuk melakukan serangan siber otonom pada server yang rentan dengan keterlibatan manusia yang terbatas.

Aktivitas tersebut ditemukan oleh para peneliti Unit 42 dari Palo Alto Networks setelah Hermes secara tidak sengaja membuat server web dari direktori berandanya, sehingga mengekspos lingkungan penyerang, termasuk kunci API, skrip eksploitasi, daftar target, riwayat shell, dan log serangan AI.

Unit 42 mengaitkan aktivitas tersebut dengan pelaku ancaman yang berbasis di Tiongkok yang beroperasi dengan alias "knaithe" dan "KnYuan," yang menyebut diri mereka sebagai "peneliti keamanan biner."

Meskipun serangan otonom yang diamati oleh Unit 42 tidak berhasil membahayakan server yang ditargetkan, para peneliti mengatakan bahwa kampanye tersebut menggambarkan alur kerja AI ofensif yang mampu menemukan, mengevaluasi, dan menyerang sistem yang rentan.

"Meskipun kampanye yang diamati memiliki dampak terbatas, alur kerja tersebut menegaskan kemampuan ofensif otonom ujung-ke-ujung yang fungsional," kata Unit 42 .

DeepSeek digunakan untuk serangan otonom.

Pelaku ancaman menggunakan DeepSeek sebagai mesin penalaran di balik Hermes Agent, sebuah kerangka kerja AI sumber terbuka yang mampu berinteraksi dengan terminal sistem operasi, menjalankan perintah, dan terhubung ke internet.

Agen tersebut mendukung mode "Yolo" yang memungkinkannya untuk beroperasi dan mengeksekusi perintah, bahkan yang berisiko, tanpa terlebih dahulu meminta izin dari operatornya.

Hermes dikonfigurasi untuk menerima instruksi dari saluran Telegram, menggunakan kemampuan keamanan ofensif khusus, dan berintegrasi dengan mesin pencari aset internet FOFA.

Unit 42 berhasil memulihkan sesi bulan Mei 2026 di mana operator tampaknya hanya memberikan tugas awal, setelah itu agen melakukan aktivitas selanjutnya secara mandiri tanpa umpan balik dari manusia.

Agen tersebut pertama-tama menargetkan server Langflow yang terpapar internet dan rentan terhadap CVE-2026-33017, mengunduh eksploitasi bukti konsep publik, mengidentifikasi 84 instance yang terpapar melalui FOFA, dan memindainya untuk mencari konfigurasi yang rentan.

Setelah memastikan bahwa target yang tersedia tidak dapat dieksploitasi, agen tersebut mencari kerentanan potensial lainnya untuk memindai perangkat yang rentan.

DeepSeek kemudian menganalisis beberapa repositori eksploitasi publik sebelum memilih platform otomatisasi alur kerja n8n sebagai target, yang memiliki lebih dari 647.000 instance yang terekspos yang diidentifikasi melalui FOFA.

Agen tersebut mengunduh sebuah exploit yang menggabungkan CVE-2026-21858 dan CVE-2025-68613, mengidentifikasi server yang menjalankan versi yang rentan, dan memeriksa server tersebut untuk mencari formulir unggahan file yang tidak terautentikasi yang diperlukan untuk menyelesaikan serangan.

Namun, formulir yang ditemukan memerlukan otentikasi, dan Unit 42 mengatakan upaya otonom tersebut gagal membahayakan target apa pun.

Unit 42 mengatakan kampanye ini signifikan karena agen tersebut secara independen meneliti kerentanan, menentukan target mana yang merupakan pilihan terbaik, mengunduh kode eksploitasi, dan kemudian mencoba mengeksploitasi target yang ditemukan dalam hitungan menit, padahal biasanya akan memakan waktu berjam-jam.

"Proses otonom identifikasi target, pengambilan sampel, dan penyempitan ruang lingkup ini patut diperhatikan karena sistem tersebut mengeksekusi ratusan jam analisis penargetan manual hanya dalam hitungan menit, sekaligus mengelola sumber daya komputasinya sendiri," jelas Palo Alto.

Meskipun agen AI digunakan secara luas, pelaku ancaman juga melakukan serangan manual terhadap lebih dari 460 sistem menggunakan kerentanan yang memengaruhi Citrix NetScaler, Apache Tomcat, Marimo Notebook, Windows IKE VPN, dan produk lainnya.

Unit 42 mengkonfirmasi tiga keberhasilan peretasan yang menargetkan kerentanan Citrix NetScaler CVE-2026-3055, yang digunakan pelaku untuk mengekstrak memori dan mencari cookie otentikasi yang dapat digunakan untuk membajak sesi.

Aktor tersebut juga telah mengkonfigurasi platform pengkodean AI lainnya, termasuk Qwen, GLM, Kimi, MiniMax, Claude Code, dan Codex milik OpenAI, tetapi Unit 42 menemukan bahwa platform-platform tersebut jarang digunakan.

Hermes digunakan dalam serangan siber sebelumnya

Terbongkarnya kampanye AI ini terjadi setelah insiden lain yang baru-baru ini terungkap, di mana infrastruktur Hermes yang kurang aman membocorkan detail tentang dugaan serangan siber terhadap Kementerian Keuangan Thailand .

Minggu lalu, BleepingComputer melaporkan bahwa Hunt.io dan peneliti keamanan Bob Diachenko menemukan direktori web terbuka yang berisi alat eksploitasi, web shell, kredensial, payload yang telah dikompilasi, dan log aktivitas Hermes.

Log tersebut menunjukkan Hermes berjalan dalam mode "YOLO" tanpa pengawasan untuk mengotomatiskan aktivitas pasca-eksploitasi, termasuk mencari peluang peningkatan hak akses, menghitung layanan, memeriksa kontainer, menelusuri sistem file, dan mengkatalogkan dokumen yang tersimpan di sistem Kementerian Keuangan.

Namun, insiden sebelumnya tidak menunjukkan bahwa Hermes secara mandiri memilih target atau menentukan cara untuk membobolnya.

Operator manusia menyediakan target, tujuan, dan alat penyerangan, sementara Hermes mengotomatiskan aktivitas rutin setelah akses tampaknya telah diperoleh.