Agent IA orchestré via Telegram mène des attaques autonomes : plus de 460 cibles touchées

Le 31 juillet 2026, les chercheurs de Unit 42 ont révélé un cas qui marque un saut qualitatif dans l’offensive cybernétique : un acteur malveillant sinophone a utilisé le modèle DeepSeek, intégré au framework open‑source Hermes Agent, pour mener des attaques sans aucune intervention humaine après un seul commandement envoyé via Telegram. L’opération a atteint plus de 460 cibles et a combiné des flux entièrement autonomes avec des activités manuelles parallèles.

Anatomie de l’attaque : un message, puis le silence opérationnel

L’agent, contrôlé par l’alias knaithe/KnYuan, a reçu l’ordre initial via une discussion Telegram. À partir de ce moment, il a fonctionné en toute autonomie : il a interrogé le moteur FOFA pour identifier les systèmes exposés, a recherché des preuves de concept (PoC) sur GitHub et a sélectionné les vulnérabilités à exploiter en fonction de leur gravité, de leur prévalence et de leur facilité d’exécution. Une fois les cibles identifiées, il a téléchargé et lancé les exploits publics, gérant l’ensemble de la chaîne sans aucun clic supplémentaire.

L’activité s’est articulée en 7 pistes d’exploit couvrant 8 CVE. Les attaques automatiques contre les plateformes de workflow et de notebooks — Langflow (CVE‑2026‑33017) et n8n (chaîne CVE‑2026‑21858 + CVE‑2025‑68613) — ont échoué car les systèmes atteints ne remplissaient pas les prérequis de configuration. En parallèle, l’opérateur a mené des actions manuelles confirmées : exfiltration de données depuis 3 organisations via Citrix NetScaler (CVE‑2026‑3055) et exécution de commandes sur 11 instances Marimo (CVE‑2026‑39987). Au total, sur l’ensemble de la campagne, seules 3 compromissions réussies ont été vérifiées.

Les vulnérabilités exploitées : quatre plateformes sous le feu

Les failles relèvent de catégories critiques — exécution de code à distance, injection de code, accès non authentifié à des fichiers et lecture mémoire hors limites (memory overread). Voici les détails pour chaque produit :

• Langflow : la CVE‑2026‑33017 permet l’exécution de code arbitraire ; la version corrective est la 1.9.0.
• n8n : la combinaison des deux vulnérabilités (CVE‑2026‑21858 et CVE‑2025‑68613) peut mener à la compromission du serveur ; la build qui les corrige est la 1.121.1 (alternativement 1.121.0 + 1.120.4 ou 1.122.0).
• Marimo : la CVE‑2026‑39987 permet l’exécution de commandes ; la mise à jour doit être portée au moins à la version 0.23.0.
• Citrix NetScaler ADC/Gateway : la CVE‑2026‑3055, si la configuration SAML IdP est incorrecte, permet des accès non autorisés ; il faut appliquer les builds indiquées par le bulletin de sécurité officiel et vérifier la présence du paramètre add authentication samlIdPProfile .*.

L’agent IA a utilisé DeepSeek comme moteur principal, avec une utilisation marginale de Claude Code, Qwen Code et Codex.

L’erreur qui a révélé l’infrastructure

L’attaquant a commis un faux pas décisif : il a démarré un serveur HTTP sur /home/worker, rendant accidentellement accessibles des fichiers de configuration, des clés API, des scripts d’exploit, des listes de cibles et des journaux de session. Cette exposition a permis aux chercheurs de reconstituer l’intégralité de l’opération, d’analyser les outils et la méthodologie, et de confirmer l’origine de l’attaque. L’opérateur, probablement basé à Zhuhai (Chine), n’a pas été relié à des groupes connus ni à des commanditaires étatiques.

Comment se protéger : mises à jour et réduction de la surface exposée

La campagne décrite montre qu’un agent IA peut orchestrer des attaques à grande échelle sans supervision. Les défenses doivent se concentrer sur trois lignes d’action immédiates :

• Appliquer les mises à jour listées pour Langflow, n8n, Marimo et NetScaler, en donnant la priorité aux versions qui corrigent les CVE mentionnées.
• Supprimer l’accès public non indispensable aux interfaces de workflow et de notebooks, en particulier lorsqu’elles ne sont pas protégées par une authentification robuste.
• Surveiller sa propre exposition sur des services comme FOFA et inspecter les journaux à la recherche d’exécutions Python suspectes, de téléchargements d’exploits ou de serveurs HTTP anormaux démarrés dans des répertoires utilisateur.

L’épisode de 2026 confirme que l’automatisation offensive basée sur l’intelligence artificielle n’est plus un exercice théorique : après l’ordre, l’humain peut disparaître de la chaîne d’attaque.