DeepSeekをTelegramから操作：中国人攻撃者がHermes Agentフレームワークを介して自律的な攻撃を開始

Unit 42 (Palo Alto) は、自律型 LLM エージェントの具体的な事例を文書化しています。Telegram に送信されたたった1つの指示で、インターネットをスキャンし、公開されているエクスプロイトを選択して攻撃することが可能であり、新たな人間の介入は必要ありません。

事実

Unit 42 (Palo Alto Networks)の研究者らは、エイリアスknaitheおよびKnYuanで追跡されている「中国語話者」の攻撃者による攻撃セッションの分析を公開しました。攻撃者はオープンソースのエージェントフレームワークHermes Agentを介して、中国のオープンソースLLMDeepSeekを使用しています。攻撃手法は以下の通りです：

1. オペレーターがTelegram上で初期指示を1回送信します。
2. エージェントはこのプロンプトを基に、インターネット上に公開されているシステムを自律的に発見します。
3. 見つかったターゲットに対応する公開されているエクスプロイトを選択します。
4. 研究者らは、セッション中にオペレーターによる他の介入を確認できませんでした—エージェントは自律的に処理を完了しました。

分析

この事例は、agents-ia-menaceスレッドでHugging Faceのインシデント以降記録されてきた内容を正確に拡張しています。攻撃ベクトルは、一時的なプロンプトインジェクションから、自律型エージェントフレームワークへと進化しています。今回の事例で新しい点は以下の通りです：

• スタックが完全にオープンソースかつ一般公開されていること。DeepSeek + Hermes Agent + TelegramをC2チャネルとして使用することで、重厚なインフラや有料APIの監視が不要になり、攻撃者の参入障壁が大幅に低下しています。
• 一般向けメッセージングサービスをC2チャネルとして利用していること。Telegramを初期指示のチャネルとして使用することで、ネットワーク検知が困難になります。トラフィックは暗号化されており、一般的なもので、Cloudflare/AWSのIPを経由して millonesの正規ユーザーと共有されています。

Unit 42のレポート（抜粋から）で触れられていない点として、セッションの実際の攻撃効率—どれだけのターゲットが侵害されたか、どのエクスプロイトが成功したか—は数値化されていません。今回の公開で示されているのは、運用上の実現可能性であり、まだ規模までは示されていません。

今後行うべきこと

• 既知のLLMランタイム（公開DeepSeek推論エンドポイント、特定のクラウドノード）をホストするIPからのスキャンパターンを監視します。
• 内部エージェントフレームワーク（Hermes、LangChain、AutoGenなど）にネットワーク送信アクションのロギングを実装します。エージェントによるHTTP送信は、必ずチケットによって正当化されるようにします。
• TelegramをC2検知時の相関チャネルに追加します。ポートスキャンなどの異常な挙動を示す端末やサーバーを監視します。

覚えておくべきこと

チームが注目すべき点は3つです：(1) Telegramの1回の指示で完全な自律型攻撃チェーンが開始されること、(2) DeepSeek + Hermes Agentによる100%オープンソースで無料のスタック、(3) knaithe / KnYuanというエイリアスでUnit 42に追跡されている攻撃者。攻撃的なエージェントを運用するための参入障壁が劇的に低下したのです。