ZHUHAI / LONDON (IT BOLTWISE) – Ein chinesischsprachiger Angreifer soll über Telegram die Open-Source-Agent-Engine Hermes genutzt haben, um DeepSeek-gestützte Angriffe teils ohne weitere manuelle Eingaben auszuführen. Nach einer ersten Anweisung ließ der Agent internetseitige Systeme suchen, versionieren und passende öffentliche Exploits auswählen. Unit 42 ordnet die Kampagne anhand von Aliassen dem Umfeld „knaithe“ und „KnYuan“ zu und beschreibt bei mehreren Zielplattformen Ketten, die an Konfigurationsanforderungen scheiterten. Besonders kritisch: In einer nachgewiesenen Session machte ein unbeabsichtigter HTTP-Server sensible Projekt- und Logdaten zugänglich.
Angreifer nutzen Telegram nicht nur als Kommunikationskanal, sondern zunehmend als „Startschalter“ für autonome Agentenketten. Laut Unit 42 von Palo Alto Networks kombinierte ein chinesischsprachiger Bedrohungsakteur DeepSeek mit dem Open-Source-Framework Hermes Agent: Nach einer anfänglichen Telegram-Anweisung soll der Agent anschließend selbstständig nach internetseitig erreichbaren Zielsystemen gesucht, passende Schwachstellen bewertet und Exploits aus öffentlichen Quellen heruntergeladen haben. Entscheidend dabei ist das Muster aus teilautonomer Ausführung und selektiver Auswahl von Angriffspfaden, statt einfach nur eine feste Exploit-Liste abzuarbeiten.
Hermes Agent arbeitet in diesem Szenario nicht als „reiner Chatbot“, sondern orchestriert Schritte wie Versionsabfragen, Exploit-Download, die Abwägung von Erfolgsaussichten und das Umschalten zwischen Angriffsstrecken. Unit 42 beschreibt sieben „exploit tracks“, die auf insgesamt acht Common Vulnerabilities and Exposures (CVE)-Kennungen verteilt sind, weil eine n8n-Kette zwei Schwachstellen zusammenführt. Auffällig ist außerdem, dass die Forscher in der wiederhergestellten Session keine weiteren Bedienereingaben im Verlauf fanden. Die Ausnutzung soll über einen Mix aus autonomen Workflows und konventionellen Abläufen erfolgt sein – und nach Angaben der Analysten mit Zielversuchen gegen mehr als 460 Systeme.
Technisch konkret machte Unit 42 vor allem drei Plattformen zum Kern der Operation: Langflow, n8n und Marimo. Bei DeepSeek-gestützten Angriffen auf Langflow und n8n berichten die Forscher von fehlgeschlagenen Versuchen, weil die exponierten Installationen offenbar nicht die notwendigen Konfigurationsvoraussetzungen erfüllten. Langflow ist dabei ein KI-Agent- und Workflow-Builder; im konkreten dokumentierten Fall soll der Agent den Code-Injection-Fehler CVE-2026-33017 aufgerufen haben, doch der Angriff stoppte, weil weder „auto_login“ aktiviert war noch eine brauchbare öffentliche Flow-ID vorlag. Bei n8n folgte die Kette laut Bericht einem Ansatz, der eine unauthentifizierte Datei-Zugriffs-Schwachstelle (CVE-2026-21858) mit einer Expression-Injection-Problematik (CVE-2025-68613) verbindet.
Die Reichweite in der Recherche wirkt dabei auf den ersten Blick groß, aber die tatsächliche Kompromittierung blieb laut Unit 42 eng begrenzt. Für n8n liefert Unit 42 konkrete Session-Details: FOFA soll im Rahmen des Vorgangs zehntausende potenziell betroffene Systeme geliefert haben, in China wurden dabei 25.209 n8n-Systeme in der Suchphase identifiziert; DeepSeek habe anschließend etwa 100 Ziele „gesampled“, rund 40 „probed“ und letztlich drei laufende verwundbare Versionen festgestellt. Mehr als 50 weitere Targets sollen allerdings keine nutzbare öffentliche Form-Schnittstelle angeboten haben, sodass kein n8n-System kompromittiert wurde. Gleichzeitig nennen die Analysten für die gesamte Operation eine Diskrepanz: In einem Abschnitt heißt es, die Angreifer seien gegen mehr als 460 Ziele vorgegangen; später sei jedoch nur bei drei erfolgreich ausnutzbaren Targets eine Bestätigung möglich gewesen. Unklar bleibt damit, ob es sich um eine geringe Trefferquote, um Grenzen in der Beweissicherung oder um unterschiedliche Zählweisen der untersuchten Spuren handelt.
Ein weiterer Schwerpunkt liegt auf Marimo und auf einer NetScaler-Thematik, bei der Unit 42 zusätzlich manuelle Exfiltrationen und Kommandos berichtet. Für Marimo wird CVE-2026-39987 genannt, das demnach in Version 0.23.0 behoben wurde; bei NetScaler ADC und Gateway betrifft der Bericht CVE-2026-3055, sofern die Appliances als SAML-Identity-Provider konfiguriert sind. Für Langflow nennt der Bericht ein Fix in Version 1.9.0, für n8n Fixes in Version 1.121.0 sowie differenziert nach Versionen, in denen CVE-2025-68613 und CVE-2026-21858 geschlossen wurden; daraus leitet Unit 42 ab, dass n8n 1.121.1 der früheste Release sei, der beide in der Kette verwendeten Schwachstellen gemeinsam adressiert. Aus Security-Sicht ist das eine klare Aussage für Produktverantwortliche: Versionierung allein reicht selten, wenn zusätzlich öffentliche Endpunkte, Login-Flows oder Konfigurationsschalter die tatsächliche Angreifbarkeit steuern.
Besonders lehrreich ist zudem ein selbst verursachter Fehlgriff, der in der dokumentierten Hermes-Session Spuren offenlegte: Nach den Angaben von Unit 42 startete das Agent-Setup über python3 -m http.server 8888 aus einem Arbeitsverzeichnis einen HTTP-Server. Dieser Server soll unbeabsichtigt Daten zugänglich gemacht haben – unter anderem Modellkonfigurationen, API-Keys, Exploit-Skripte, Target-Listen, Shell-Historie und Logs der autonomen Session. Das schärft den Blick darauf, dass KI-Agenten zwar helfen, Attacken schneller zu automatisieren, aber in der Praxis auch neue Risikoflächen in deren Umgebung schaffen. Unit 42 beschreibt außerdem, dass DeepSeek als primäres Reasoning-Modell im Agentenprozess diente und nur begrenzte Nutzung weiterer Tools wie Claude Code oder Qwen Code gefunden wurde.
Für die Verteidigung ergeben sich daraus mehrere konkrete Handlungsstränge, die nicht erst bei der „nächsten“ Schwachstelle ansetzen: Erstens sollten Unternehmen Langflow-, n8n- und Marimo-Installationen zeitnah auf die vom Hersteller genannten Fix-Versionen bringen und dabei prüfen, ob in der konkreten Umgebung öffentliche Form- oder Flow-IDs erreichbar sind. Zweitens rückt der Bericht NetScaler-Konfigurationen in den Fokus, insbesondere bei kundenverwalteten ADC- oder Gateway-Systemen mit SAML-Identity-Provider-Einstellungen; dort empfiehlt Unit 42, die betroffenen Konfigurationsteile zu überprüfen und die in den Security-Bulletins gelisteten Builds aufzuspielen. Drittens sollten Organisationen die öffentliche Exponierung von Workflow- und Notebook-Schnittstellen reduzieren oder entfernen, selbst wenn das System „eigentlich“ nicht für die Außenwelt gedacht ist. Historisch betrachtet ist das Vorgehen damit auch eine Weiterentwicklung von Credential- und Exploit-Automatisierung: Statt nur auf Schwachstellen zu zeigen, koppelt man Automatisierungslogik, Threat-Intelligence-Suche und Exploit-Chain-Auswahl enger aneinander.
Was die Zuordnung betrifft, ordnet Unit 42 den Operator anhand der gefundenen Aliasnamen dem Raum Zhuhai, China zu. Die von Unit 42 zitierten öffentlichen Hinweise sollen zwar konsistent mit dem Profilnamen „KnYuan Knaithe“ sein, erlauben aber nach Aussage der Forscher keine unabhängige Verifikation der rechtlichen Identität oder einer staatlichen Verbindung. Für Unternehmen bleibt die Kernbotschaft unabhängig davon: Agentenbasierte Angriffe verändern das Tempo und die Prozesskette, aber sie sind weiterhin auf öffentlich erreichbare Angriffsflächen, korrekte Zielkonfigurationen und verwertbare Schwachstellen angewiesen. Genau dort entsteht der größte Hebel – in der Reduktion von Exponierung, im sauberen Patch-Management und in der Kontrolle von Agenten-ähnlichen Workflows, die in der Unternehmensumgebung selbst als „Angriffsfläche“ missbraucht werden könnten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Telegram-geleitete KI-Toolchain: DeepSeek startet autonome Angriffe" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Telegram-geleitete KI-Toolchain: DeepSeek startet autonome Angriffe" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Telegram-geleitete KI-Toolchain: DeepSeek startet autonome Angriffe« bei Google Deutschland suchen, bei Bing oder Google News!