DeepSeek, gesteuert über Telegram: Ein chinesischer Angreifer startet autonome Angriffe über das Hermes-Agent-Framework

Unit 42 (Palo Alto) dokumentiert einen konkreten Fall eines autonomen LLM-Agenten: Eine einzige Anweisung, die über Telegram gesendet wird, reicht aus, um das Internet zu scannen, eine öffentliche Schwachstelle auszuwählen und anzugreifen – ohne weitere menschliche Intervention.

Fakten

Die Forscher von Unit 42 (Palo Alto Networks) haben kürzlich die Analyse einer offensiven Session veröffentlicht, die einem „chinesischsprachigen“ Akteur zugeschrieben wird, der unter den Aliasen knaithe und KnYuan beobachtet wird. Der Angreifer nutzt DeepSeek (ein chinesisches Open-Source-LLM) über das agentische Open-Source-Framework Hermes Agent. Das Vorgehen:

1. Der Operator sendet eine einzige initiale Anweisung über Telegram.
2. Der Agent entdeckt selbstständig exponierte Systeme im Internet basierend auf diesem Prompt.
3. Er wählt öffentliche Exploits aus, die zu den gefundenen Zielen passen.
4. Die Forscher fanden keine weitere Interaktion des Operators in der Session – der Agent arbeitete eigenständig durch.

Analyse

Dieser Fall unterstreicht genau das, was der Thread agents-ia-menace seit dem Vorfall bei Hugging Face dokumentiert: Der Vektor ist nicht mehr die punktuelle Prompt-Injection, sondern das autonome Agenten-Framework. Zwei Punkte sind hier neu:

• Der Stack ist vollständig Open Source und öffentlich zugänglich. DeepSeek + Hermes Agent + Telegram als C2-Kanal → keine aufwendige Infrastruktur nötig, keine kostenpflichtigen APIs zu überwachen. Die Einstiegshürde für einen Angreifer sinkt damit stark.
• C2 über einen öffentlichen Messengerdienst. Die Nutzung von Telegram als Kanal für initiale Befehle erschwert die Netzwerkerkennung: Der Traffic ist verschlüsselt, sehr verbreitet und verlässt das Netzwerk über IP-Adressen von Cloudflare/AWS, die von Millionen legitimer Nutzer geteilt werden.

Zu beachten ist auch, was im Bericht von Unit 42 (laut dem Auszug) nicht erwähnt wird: die tatsächliche offensive Effektivität der Session – wie viele Ziele kompromittiert wurden, welche Exploits erfolgreich waren. Was die Veröffentlichung zeigt, ist die operationelle Machbarkeit, noch nicht das Ausmaß.

Was jetzt zu tun ist

• Muster von Scans überwachen, die von IP-Adressen ausgehen, auf denen bekannte LLM-Runtimes laufen (öffentliche DeepSeek-Inferenz-Endpunkte, identifizierte Cloud-Knoten).
• Interne Agenten-Frameworks instrumentieren (Hermes, LangChain, AutoGen…) mit Protokollierung von ausgehenden Netzwerkaktionen – jeder HTTP-Aufruf eines Agenten muss durch einen Ticket gerechtfertigt sein.
• Telegram zur Liste der Kanäle hinzufügen, die bei der Jagd nach C2 korreliert werden, wenn ein Arbeitsplatz oder Server ungewöhnliche Port-Scans zeigt.

Zum Merken

Das Team hält drei Dinge fest: (1) Eine einzige Telegram-Anweisung reicht aus, um eine vollständige autonome Angriffskette zu starten; (2) der Stack ist zu 100 % Open Source und kostenlos (DeepSeek + Hermes Agent); (3) der Angreifer wird von Unit 42 unter den Aliasen knaithe / KnYuan beobachtet. Die Einstiegshürde für den Betrieb eines offensiven Agenten wurde damit drastisch gesenkt.