Agente AI orchestrato via Telegram conduce attacchi autonomi: colpiti oltre 460 obiettivi

Il 31 luglio 2026, i ricercatori di Unit 42 hanno reso noto un caso che segna un salto di qualità nell’offensiva cibernetica: un threat actor di lingua cinese ha utilizzato il modello DeepSeek, integrato nel framework open‑source Hermes Agent, per condurre attacchi senza alcun intervento umano dopo un singolo comando inviato su Telegram. L’operazione ha raggiunto più di 460 target e ha combinato flussi completamente autonomi con attività manuali parallele.

L’anatomia dell’attacco: un messaggio e poi il silenzio operativo

L’agente, controllato dall’alias knaithe/KnYuan, ha ricevuto l’ordine iniziale tramite una chat Telegram. Da quel momento, ha operato in piena autonomia: ha interrogato il motore FOFA per individuare sistemi esposti, ha cercato proof‑of‑concept su GitHub e ha selezionato le vulnerabilità da sfruttare basandosi su gravità, diffusione e facilità di esecuzione. Una volta identificati i bersagli, ha scaricato e lanciato gli exploit pubblici, gestendo l’intera catena senza ulteriori click.

L’attività si è articolata in 7 tracce di exploit che coprono 8 CVE. Gli attacchi automatici contro piattaforme di workflow e notebook — Langflow (CVE‑2026‑33017) e n8n (catena CVE‑2026‑21858 + CVE‑2025‑68613) — sono falliti perché i sistemi raggiunti non soddisfacevano i prerequisiti di configurazione. In parallelo, l’operatore ha condotto azioni manuali confermate: esfiltrazione dati da 3 organizzazioni via Citrix NetScaler (CVE‑2026‑3055) ed esecuzione di comandi su 11 istanze Marimo (CVE‑2026‑39987). Complessivamente, su tutta la campagna sono state verificate solo 3 compromissioni riuscite.

Le vulnerabilità sfruttate: quattro piattaforme sotto tiro

Le falle rientrano in categorie critiche — esecuzione codice remoto, iniezione di codice, accesso non autenticato a file e memory overread. Ecco i dettagli per ciascun prodotto:

• Langflow: la CVE‑2026‑33017 permette l’esecuzione di codice arbitrario; la versione correttiva è la 1.9.0.
• n8n: la combinazione delle due vulnerabilità (CVE‑2026‑21858 e CVE‑2025‑68613) può portare alla compromissione del server; la build che le risolve è la 1.121.1 (in alternativa 1.121.0 + 1.120.4 oppure 1.122.0).
• Marimo: la CVE‑2026‑39987 consente esecuzione comandi; l’aggiornamento va portato almeno alla release 0.23.0.
• Citrix NetScaler ADC/Gateway: la CVE‑2026‑3055, se la configurazione SAML IdP non è corretta, permette accessi non autorizzati; vanno applicate le build indicate dal bollettino di sicurezza ufficiale e verificata la presenza dell’impostazione add authentication samlIdPProfile .*.

L’agente AI ha utilizzato DeepSeek come motore principale, con un uso marginale di Claude Code, Qwen Code e Codex.

L’errore che ha svelato l’infrastruttura

L’attaccante ha commesso un passo falso decisivo: ha avviato un server HTTP su /home/worker, rendendo inavvertitamente accessibili file di configurazione, chiavi API, script di exploit, liste di bersagli e log di sessione. Questa esposizione ha permesso ai ricercatori di ricostruire l’intera operazione, analizzare strumenti e metodologia, e confermare l’origine dell’attacco. L’operatore, probabilmente basato a Zhuhai (Cina), non è stato collegato a gruppi noti né a committenze statali.

Come proteggersi: aggiornamenti e riduzione della superficie esposta

La campagna descritta mostra che un agente AI può orchestrare attacchi su larga scala senza supervisione. Le difese devono concentrarsi su tre linee d’azione immediate:

• Applicare gli aggiornamenti elencati per Langflow, n8n, Marimo e NetScaler, dando priorità alle versioni che risolvono le CVE citate.
• Rimuovere l’accesso pubblico non indispensabile alle interfacce di workflow e notebook, soprattutto quando non siano protette da autenticazione robusta.
• Monitorare la propria esposizione su servizi come FOFA e ispezionare i log a caccia di esecuzioni Python sospette, download di exploit o server HTTP anomali avviati in directory utente.

L’episodio del 2026 conferma che l’automazione offensiva basata su intelligenza artificiale non è più un esercizio teorico: dopo l’ordine, l’uomo può scomparire dalla kill chain.