AIモデル「DeepSeek」を悪用した自律的サイバー攻撃が判明、設定ミスから露呈

要点

• 中国語を話す攻撃者が、AIエージェントを介して「DeepSeek」を利用し、自律的サイバー攻撃を試みた。

• 攻撃者はTelegramでの初期命令以降、追加指示なしで脆弱性の探索や攻撃コードの選定を自律的に実行させていた。

• エージェントの設定ミスにより、APIキーや実行履歴、セッションログがインターネット上に公開されたことで攻撃の実態が判明した。

• Langflowやn8nに対する自律的な攻撃試行は、標的システムの構成条件を満たさず、いずれも失敗に終わっている。

• 調査チームのUnit 42は、関係するシステムへの迅速なパッチ適用と外部公開アクセスの制限を推奨している。

• 米セキュリティ企業Palo Alto Networks（パロアルトネットワークス）の脅威インテリジェンス調査チーム「Unit 42」は、2026年7月31日、中国語を話す攻撃者がAI（人工知能）モデル「DeepSeek」を悪用した自律的サイバー攻撃を展開していたと発表した。この攻撃者は、オープンソースのAIエージェントフレームワーク（AIと外部システムを連携させてタスクを実行するシステム）「Hermes Agent」を利用し、Telegram（テレグラム、メッセージングアプリ）から一度指示を送るだけで、標的の探索や脆弱性の選定を自律的に行わせていたという。

• 自律攻撃の過程で、Hermes Agentは標的のバージョン情報を確認して合致するエクスプロイト（脆弱性を悪用するプログラム）を自動取得した。効果がない場合はその経路を破棄し、深刻度や普及規模に基づき別の脆弱性へ自律的に切り替えていた。このセッション中、攻撃者による追加指示は記録されていなかったという。

• この攻撃の実態が露呈した要因は、攻撃者側の設定ミスにある。稼働環境で、特定のディレクトリ（/home/worker）からPythonの簡易Webサーバーを起動するコマンドが予期せず実行されてしまった。これにより、AIの設定、APIキー、標的リスト、シェルの実行履歴、ログがインターネット上に公開される状態になっていた。

• 分析によると、主要な推論モデルには「DeepSeek」が採用され、Hermes Agentを介してターミナル操作や無人実行などの機能が提供されていた。「Claude Code」や「Qwen Code」の限定的な使用も確認されたほか、エクスプロイト開発フォルダには「Codex」の痕跡もあったが、チャットログ未保存のため実際の使用は検証できなかった。

• 「knaithe」や「KnYuan」の別名で追跡される攻撃者は、自律および手動のワークフローを用いて460以上の標的に対して攻撃を試みていた。

• 2026年5月のログでは、DeepSeekはAIワークフロー構築ツール「Langflow」のコード注入（プログラムに不正コードを混入し実行させる手法）の脆弱性（CVE-2026-33017）を狙った。デバイス検索エンジン「FOFA」で84台をリストアップし、脆弱なバージョンの1台を特定したが、自動ログインの無効化など構成上の理由で攻撃は失敗した。

• 続いてエージェントはGitHubで概念実証（PoC：脆弱性が悪用可能かを示す検証コード）コードを検索し、ワークフロー自動化ツール「n8n」を選定した。認証不要のファイルアクセス（CVE-2026-21858）と式注入（CVE-2025-68613）の連鎖攻撃を試み、FOFAで中国国内のn8nシステム2万5209台を検出。そのうち約100台をサンプリングし、40台を調査して脆弱な3台を特定したが、認証要件により侵入は防がれた。

• 自律攻撃の失敗に反し、攻撃者は手動操作でCitrixのネットワーク機器「NetScaler」のメモリ読み取り（本来アクセス不可のメモリデータを取得する欠陥）脆弱性（CVE-2026-3055）から3組織のデータを窃取し、「Marimo」の11インスタンスでコマンド実行（遠隔から任意の命令を動かす脆弱性）（CVE-2026-39987）を行ったという。ただしUnit 42は「全体で成功した標的は3件のみ」とも報告しており、件数の整合性についてThe Hacker Newsが同社に問い合わせ中だ。

• Unit 42は、外部公開されているLangflow、n8n、Marimoや、SAML（異なるシステム間で認証情報を安全に共有する規格）アイデンティティプロバイダー（認証結果を提供するシステム）設定されたNetScaler ADC/Gatewayへのパッチ適用を呼びかけている。また、不要な外部アクセスの制限も推奨した。

• 脆弱性の修正版として、Langflowはバージョン1.9.0、Marimoはバージョン0.23.0をリリース。n8nはCVE-2026-21858がバージョン1.121.0、CVE-2025-68613が1.120.4、1.121.1、1.122.0で対処されており、両方の修正を含むのはバージョン1.121.1以降となる。