概要
Palo Alto Networks傘下のUnit 42は、中国語を話す脅威アクター「knaithe」こと「KnYuan」が、DeepSeekを推論エンジンとするオープンソースの自律型AIエージェントフレームワーク「Hermes Agent」を使い、Langflowやn8nなどのシステムに対して自律的な脆弱性探索・侵害を試みる一方、Citrix NetScaler、Apache Tomcat、Marimo Notebookなど460以上のシステムに対しては手動での攻撃も並行して行っていたことを明らかにした。攻撃者はTelegram経由でエージェントに初期指示を送るだけで、以降はエージェントが自律的にインターネット公開システムを発見し、GitHub上の公開エクスプロイトコードを選定・実行するという新しい攻撃手口が確認された。研究者はこの活動を、AIエージェントが実運用の攻撃キャンペーンで「機能的なエンドツーエンドの自動攻撃能力」を発揮した事例として位置づけている。
Hermes Agentの仕組みと自動化された攻撃フロー
Hermes Agentは、OSのターミナルへのアクセス、コマンド実行、インターネット接続を備えたオープンソースのAIエージェントで、攻撃者はこれを操作の承認を求めずにリスクの高いコマンドを実行する「Yolo」モードで運用していた。標的探索には中国発のインターネット資産検索エンジン「FOFA」を利用し、たとえばn8nでは中国国内だけで25,209件の公開システムを検出、そこから約100件をサンプリングして40件をプローブし、脆弱なバージョンで稼働する3件を特定している。Langflowでは84件の公開インスタンスを発見したが、対象がauto_loginを有効化していなかったため侵害には至らなかった。Unit 42は「このシステムは数百時間分の手作業による標的分析を、わずか数分で実行した」と評価しており、AIによる偵察・標的評価の圧縮的な高速化を裏付けている。なお推論エンジンにはDeepSeekが主に用いられたほか、Qwen、GLM、Kimi、MinMaxといった他の中国製LLM、さらにはClaude CodeやCodexなど西側ツールの限定的な試用の痕跡も確認された。
標的とされた脆弱性と実際の被害
自動・手動を合わせた攻撃は、Langflow(CVE-2026-33017、CVSS 9.8)、n8n(CVE-2026-21858とCVE-2025-68613の組み合わせ、CVSSはそれぞれ10.0と9.9)、Marimo Notebook(CVE-2026-39987)、Citrix NetScaler(CVE-2026-3055)など複数の重大脆弱性を対象とした。このうちCitrix NetScalerに対しては手動攻撃で3件の侵害に成功し、メモリダンプや認証クッキーの窃取が確認されている。一方、n8nやLangflowへの完全自律型の侵害は認証要件などに阻まれて成功しなかった。AIエージェントによる自律攻撃とは別に、手動での攻撃試行も460以上のシステムに対して行われたが、実際にデータ流出が確認できたのはわずか3組織にとどまっており、AIエージェントの偵察・標的選定能力の高さと、最終的な侵害成功率の低さには依然として大きな差があることが浮き彫りになった。
発覚の経緯と今後への示唆
今回の作戦が発覚したきっかけは、攻撃者側の設定ミスだった。Hermes Agentが稼働環境の/home/workerディレクトリからpython3 -m http.server 8888を誤って起動し、モデル設定、APIキー、エクスプロイトスクリプト、標的リスト、自律セッションログなどを意図せずインターネットに公開してしまい、これをUnit 42が発見して調査に至った。研究者らは「AI補強型攻撃を実行する技術的障壁は低く、しかも継続的に低下し続けている」と警鐘を鳴らしており、露出したLangflow・n8n・Marimoシステムへの早急なパッチ適用、SAML認証プロバイダーとして構成されたNetScaler ADC/Gatewayの修正版導入、ワークフローやノートブックのインターフェースへの不要な公開アクセスの遮断を推奨している。今回のケースでは攻撃者側の初歩的なミスにより早期発覚に至ったが、AIエージェントによる偵察から攻撃実行までの自動化は今後さらに巧妙化する可能性があり、防御側にも同様の速度で対応できる体制が求められる。