DeepSeek controlada via Telegram: um atacante chinês lança ataques autônomos por meio do framework Hermes Agent

Unidade 42 (Palo Alto) documenta um caso concreto de agente LLM autônomo: uma única instrução enviada no Telegram é suficiente para fazer varreduras na Internet, escolher um exploit público e atacar — sem nova intervenção humana.

Fatos

Os pesquisadores da Unit 42 (Palo Alto Networks) acabaram de publicar a análise de uma sessão ofensiva atribuída a um ator "falante de chinês" monitorado sob os pseudônimos knaithe e KnYuan. O atacante utiliza o DeepSeek (LLM open source chinês) por meio do framework agentico open source Hermes Agent. O modus operandi:

1. O operador envia uma única instrução inicial pelo Telegram.
2. O agente, a partir desse prompt, descobre sozinho sistemas expostos na Internet.
3. Ele seleciona exploits públicos correspondentes às metas encontradas.
4. Os pesquisadores não encontraram nenhuma outra intervenção do operador na sessão — o agente operou sozinho.

Análise

Este caso reforça exatamente o que o tópico agents-ia-menace documenta desde o incidente da Hugging Face: o vetor não é mais a injeção pontual de prompt, mas sim o framework de agente lançado em autonomia. Dois pontos são novos aqui:

• A stack é integralmente open source e de uso geral. DeepSeek + Hermes Agent + Telegram como canal de C2 → nenhuma infraestrutura pesada para montar, nenhuma API paga para monitorar. O custo de entrada para um atacante despenca.
• O C2 por mensageria de uso geral. Usar o Telegram como canal de comando inicial dificulta a detecção de rede: o tráfego é criptografado, muito comum e sai por IPs da Cloudflare/AWS compartilhadas com milhões de usuários legítimos.

Também vale notar o que não é dito no relatório da Unit 42 (com base no trecho): o rendimento ofensivo real da sessão — quantas metas foram comprometidas, quais exploits tiveram sucesso — não é quantificado aqui. O que a publicação demonstra é a viabilidade operacional, não ainda a escala.

A fazer agora

• Monitorar padrões de varredura provenientes de IPs que hospedam runtimes de LLM conhecidos (endpoints de inferência públicos do DeepSeek, nós de nuvem identificados).
• Instrumentar os frameworks de agente internos (Hermes, LangChain, AutoGen…) com registro de ações de rede externas — toda chamada HTTP externa de um agente deve ser justificada por um ticket.
• Adicionar o Telegram à lista de canais a serem correlacionados em uma caçada ao C2 quando um posto ou servidor apresentar varredura de portas incomum.

Para reter

A equipe destaca três pontos: (1) uma única instrução no Telegram é suficiente para lançar uma cadeia ofensiva autônoma completa; (2) a stack é 100% open source e gratuita (DeepSeek + Hermes Agent); (3) o atacante é monitorado sob os pseudônimos knaithe / KnYuan pela Unit 42. O limiar de entrada para operar um agente ofensivo acaba de ser drasticamente reduzido.