DeepSeek controlada desde Telegram: un atacante chino lanza ataques autónomos mediante el framework Hermes Agent

Unit 42 (Palo Alto) documenta un caso concreto de agente LLM autónomo: una sola instrucción enviada por Telegram fue suficiente para escanear Internet, elegir un exploit público y atacar, sin nueva intervención humana.

Hechos

Los investigadores de Unit 42 (Palo Alto Networks) acaban de publicar el análisis de una sesión ofensiva atribuida a un actor que "habla chino", seguido bajo los alias knaithe y KnYuan. El atacante utiliza DeepSeek (LLM de código abierto chino) a través del framework agentico de código abierto Hermes Agent. El modus operandi:

1. El operador envía una sola instrucción inicial a través de Telegram.
2. El agente, a partir de este prompt, descubre por sí mismo sistemas expuestos en Internet.
3. Selecciona exploits públicos correspondientes a los objetivos encontrados.
4. Los investigadores no han encontrado ninguna otra intervención del operador en la sesión: el agente completó el ciclo de forma autónoma.

Análisis

Este caso prolonga exactamente lo que el hilo agents-ia-menace documenta desde el incidente de Hugging Face: el vector ya no es la inyección puntual de prompts, sino el framework de agente lanzado en autonomía. Dos puntos son nuevos aquí:

• La pila es íntegramente de código abierto y de uso público. DeepSeek + Hermes Agent + Telegram como canal de C2 → ninguna infraestructura pesada que montar, ninguna API de pago que vigilar. El coste de entrada para un atacante se desploma.
• El C2 mediante mensajería pública. Usar Telegram como canal de órdenes inicial complica la detección en red: el tráfico está cifrado, es muy común y sale hacia IPs de Cloudflare/AWS compartidas con millones de usuarios legítimos.

Cabe destacar también lo que no se menciona en el informe de Unit 42 (según el fragmento): el rendimiento ofensivo real de la sesión —cuántos objetivos comprometidos, qué exploits tuvieron éxito— no está cuantificado aquí. Lo que la publicación demuestra es la viabilidad operativa, no aún la escala.

Acciones a realizar

• Vigilar los patrones de escaneo provenientes de IPs que alojan runtimes de LLM conocidos (endpoints de inferencia públicos de DeepSeek, nodos cloud identificados).
• Instrumentar los frameworks de agente internos (Hermes, LangChain, AutoGen…) con registro de acciones de red salientes: toda llamada HTTP de salida de un agente debe justificarse con un ticket.
• Añadir Telegram a la lista de canales a correlacionar en una caza de C2 cuando un puesto o servidor muestre un escaneo de puertos inhabitual.

A recordar

El equipo retiene tres cosas: (1) una sola instrucción en Telegram basta para lanzar una cadena ofensiva autónoma completa; (2) la pila es 100% de código abierto y gratuita (DeepSeek + Hermes Agent); (3) el atacante es seguido bajo los alias knaithe / KnYuan por Unit 42. El umbral de entrada para operar un agente ofensivo acaba de reducirse drásticamente.