AI-Agent über Telegram orchestriert führt autonome Angriffe durch: über 460 Ziele getroffen

Am 31. Juli 2026 gaben Forscher von Unit 42 einen Fall bekannt, der einen qualitativen Sprung in der Cyber-Offensive darstellt: Ein chinesischsprachiger Threat Actor nutzte das DeepSeek-Modell, integriert in das Open-Source-Framework Hermes Agent, um Angriffe ohne jegliches menschliches Zutun nach einem einzigen über Telegram gesendeten Befehl durchzuführen. Die Operation erreichte mehr als 460 Ziele und kombinierte vollständig autonome Abläufe mit parallelen manuellen Aktivitäten.

Die Anatomie des Angriffs: Ein Befehl und dann operatives Schweigen

Der Agent, gesteuert unter dem Alias knaithe/KnYuan, erhielt den ersten Befehl über einen Telegram-Chat. Ab diesem Zeitpunkt agierte er völlig autonom: Er durchsuchte die Suchmaschine FOFA nach exponierten Systemen, suchte auf GitHub nach Proof-of-Concept-Code und wählte die auszunutzenden Schwachstellen anhand von Schweregrad, Verbreitung und Ausführbarkeit aus. Nach Identifikation der Ziele lud er die öffentlichen Exploits herunter und führte sie aus – die gesamte Kill Chain ohne weiteren Klick.

Die Aktivität umfasste 7 Exploit-Pfade, die 8 CVEs abdecken. Die automatischen Angriffe auf Workflow- und Notebook-Plattformen – Langflow (CVE‑2026‑33017) und n8n (Kette aus CVE‑2026‑21858 + CVE‑2025‑68613) – scheiterten, weil die erreichten Systeme die notwendigen Konfigurationsvoraussetzungen nicht erfüllten. Parallel führte der Angreifer bestätigte manuelle Aktionen durch: Datenexfiltration bei 3 Organisationen über Citrix NetScaler (CVE‑2026‑3055) und Befehlsausführung auf 11 Marimo-Instanzen (CVE‑2026‑39987). Insgesamt wurden in der gesamten Kampagne nur 3 erfolgreiche Kompromittierungen verifiziert.

Die ausgenutzten Schwachstellen: Vier Plattformen im Visier

Die Lücken gehören zu kritischen Kategorien – Remote Code Execution, Code Injection, nicht authentifizierter Dateizugriff und Memory Overread. Hier die Details zu den einzelnen Produkten:

• Langflow: CVE‑2026‑33017 ermöglicht willkürliche Codeausführung; die korrigierte Version ist 1.9.0.
• n8n: Die Kombination der beiden Schwachstellen (CVE‑2026‑21858 und CVE‑2025‑68613) kann zur Kompromittierung des Servers führen; die behebende Build ist 1.121.1 (alternativ 1.121.0 + 1.120.4 oder 1.122.0).
• Marimo: CVE‑2026‑39987 erlaubt Befehlsausführung; das Update sollte auf mindestens Release 0.23.0 durchgeführt werden.
• Citrix NetScaler ADC/Gateway: CVE‑2026‑3055 ermöglicht bei fehlerhafter SAML-IdP-Konfiguration unbefugten Zugriff; die offiziellen Security-Bulletin-Builds sind anzuwenden und die Einstellung add authentication samlIdPProfile .* zu prüfen.

Der AI-Agent nutzte DeepSeek als Haupt-Engine, ergänzt durch einen gelegentlichen Einsatz von Claude Code, Qwen Code und Codex.

Der Fehler, der die Infrastruktur enthüllte

Der Angreifer beging einen entscheidenden Fehler: Er startete einen HTTP-Server im Verzeichnis /home/worker, wodurch versehentlich Konfigurationsdateien, API-Schlüssel, Exploit-Skripte, Ziellisten und Sitzungsprotokolle zugänglich wurden. Diese Preisgabe ermöglichte es den Forschern, die gesamte Operation zu rekonstruieren, Werkzeuge und Methodik zu analysieren und den Ursprung des Angriffs zu bestätigen. Der Operator, wahrscheinlich in Zhuhai (China) ansässig, konnte weder mit bekannten Gruppen noch mit staatlichen Auftraggebern in Verbindung gebracht werden.

Wie man sich schützt: Updates und Reduzierung der Angriffsfläche

Die beschriebene Kampagne zeigt, dass ein AI-Agent großangelegte Angriffe ohne Überwachung orchestrieren kann. Die Abwehrmaßnahmen sollten sich auf drei sofortige Handlungsstränge konzentrieren:

• Die aufgeführten Updates für Langflow, n8n, Marimo und NetScaler zeitnah einspielen, dabei den Versionen Vorrang geben, die die genannten CVEs beheben.
• Nicht zwingend erforderlichen öffentlichen Zugriff auf Workflow- und Notebook-Oberflächen entfernen, insbesondere wenn diese nicht durch eine starke Authentifizierung geschützt sind.
• Die eigene Angriffsfläche in Diensten wie FOFA überwachen und Logs auf verdächtige Python-Ausführungen, Exploit-Downloads oder anomale HTTP-Server in Benutzerverzeichnissen durchsuchen.

Der Vorfall von 2026 bestätigt, dass die offensive Automatisierung auf Basis künstlicher Intelligenz keine theoretische Übung mehr ist: Nach dem Befehl kann der Mensch aus der Kill Chain verschwinden.