Agente de IA orquestado vía Telegram realiza ataques autónomos: más de 460 objetivos afectados

El 31 de julio de 2026, los investigadores de Unit 42 dieron a conocer un caso que marca un salto cualitativo en la ofensiva cibernética: un actor de amenazas de habla china utilizó el modelo DeepSeek, integrado en el marco de trabajo de código abierto Hermes Agent, para llevar a cabo ataques sin intervención humana tras un único comando enviado por Telegram. La operación alcanzó más de 460 objetivos y combinó flujos completamente autónomos con actividades manuales paralelas.

Anatomía del ataque: un mensaje y luego el silencio operativo

El agente, controlado por el alias knaithe/KnYuan, recibió la orden inicial a través de un chat de Telegram. A partir de ese momento, operó con plena autonomía: consultó el motor FOFA para identificar sistemas expuestos, buscó pruebas de concepto en GitHub y seleccionó las vulnerabilidades a explotar basándose en gravedad, difusión y facilidad de ejecución. Una vez identificados los objetivos, descargó y lanzó los exploits públicos, gestionando toda la cadena sin clics adicionales.

La actividad se dividió en 7 cadenas de exploits que abarcan 8 CVE. Los ataques automáticos contra plataformas de flujo de trabajo y cuadernos — Langflow (CVE‑2026‑33017) y n8n (cadena CVE‑2026‑21858 + CVE‑2025‑68613) — fracasaron porque los sistemas alcanzados no cumplían los requisitos previos de configuración. Paralelamente, el operador llevó a cabo acciones manuales confirmadas: exfiltración de datos de 3 organizaciones a través de Citrix NetScaler (CVE‑2026‑3055) y ejecución de comandos en 11 instancias de Marimo (CVE‑2026‑39987). En total, solo se verificaron 3 compromisos exitosos en toda la campaña.

Las vulnerabilidades explotadas: cuatro plataformas bajo ataque

Las fallas pertenecen a categorías críticas: ejecución remota de código, inyección de código, acceso no autenticado a archivos y lectura excesiva de memoria. A continuación, los detalles de cada producto:

• Langflow: CVE‑2026‑33017 permite la ejecución de código arbitrario; la versión correctiva es la 1.9.0.
• n8n: la combinación de las dos vulnerabilidades (CVE‑2026‑21858 y CVE‑2025‑68613) puede llevar al compromiso del servidor; la versión que las resuelve es la 1.121.1 (alternativamente, 1.121.0 + 1.120.4 o 1.122.0).
• Marimo: CVE‑2026‑39987 permite la ejecución de comandos; la actualización debe ser al menos la versión 0.23.0.
• Citrix NetScaler ADC/Gateway: CVE‑2026‑3055, si la configuración de SAML IdP es incorrecta, permite accesos no autorizados; se deben aplicar las versiones indicadas en el boletín de seguridad oficial y verificar la presencia de la configuración add authentication samlIdPProfile .*.

El agente de IA utilizó DeepSeek como motor principal, con un uso marginal de Claude Code, Qwen Code y Codex.

El error que reveló la infraestructura

El atacante cometió un error decisivo: inició un servidor HTTP en /home/worker, dejando inadvertidamente accesibles archivos de configuración, claves API, scripts de exploits, listas de objetivos y registros de sesión. Esta exposición permitió a los investigadores reconstruir toda la operación, analizar herramientas y metodología, y confirmar el origen del ataque. El operador, probablemente ubicado en Zhuhai (China), no ha sido vinculado a grupos conocidos ni a patrocinios estatales.

Cómo protegerse: actualizaciones y reducción de la superficie expuesta

La campaña descrita muestra que un agente de IA puede orquestar ataques a gran escala sin supervisión. Las defensas deben centrarse en tres líneas de acción inmediatas:

• Aplicar las actualizaciones enumeradas para Langflow, n8n, Marimo y NetScaler, dando prioridad a las versiones que resuelven las CVE mencionadas.
• Eliminar el acceso público no esencial a las interfaces de flujo de trabajo y cuadernos, especialmente cuando no estén protegidas por autenticación robusta.
• Monitorear la exposición propia en servicios como FOFA e inspeccionar los registros en busca de ejecuciones sospechosas de Python, descargas de exploits o servidores HTTP anómalos iniciados en directorios de usuario.

El episodio de 2026 confirma que la automatización ofensiva basada en inteligencia artificial ya no es un ejercicio teórico: tras la orden, el ser humano puede desaparecer de la cadena de ataque.