DeepSeek, управляемый через Telegram: китайский злоумышленник запускает автономные атаки с помощью фреймворка Hermes Agent

Unit 42 (Palo Alto) задокументировала реальный случай автономного агента LLM: одной инструкции, отправленной в Telegram, достаточно, чтобы начать сканирование интернета, выбрать публичный эксплойт и атаковать — без дальнейшего вмешательства человека.

Факты

Исследователи из Unit 42 (Palo Alto Networks) недавно опубликовали анализ сессии атаки, приписываемой говорящему на китайском языке актору, отслеживаемому под псевдонимами knaithe и KnYuan. Злоумышленник использует DeepSeek (китайскую открытую LLM) через открытый фреймворк агентов Hermes Agent. Модус операнди:

1. Оператор отправляет одну начальную инструкцию в Telegram.
2. Агент, основываясь на этом промпте, самостоятельно обнаруживает системы, exposed в Интернете.
3. Он выбирает публичные эксплойты, соответствующие найденным целям.
4. Исследователи не нашли других вмешательств оператора в сессии — агент работал в автономном режиме.

Анализ

Этот кейс напрямую продолжает то, что обсуждается в топике agents-ia-menace с инцидента Hugging Face: вектор атаки больше не ограничивается точечной инъекцией промпта, это полноценный фреймворк агентов, работающий автономно. Здесь есть два новых момента:

• Стек полностью состоит из открытых и общедоступных инструментов. DeepSeek + Hermes Agent + Telegram как канал C2 → никакой сложной инфраструктуры, никаких платных API для мониторинга. Порог входа для злоумышленника стремится к нулю.
• C2 через массовую мессенджерию. Использование Telegram как канала для начальных команд усложняет сетевое обнаружение: трафик зашифрован, очень распространён и исходит к IP-адресам Cloudflare/AWS, которые делят миллионы легитимных пользователей.

Также стоит отметить, что не указано в отчёте Unit 42 (исходя из предоставленного фрагмента): реальная эффективность атаки — сколько целей было скомпрометировано, какие эксплойты сработали — не приводится. Публикация демонстрирует операционную выполнимость, а не масштаб.

Что делать сейчас

• Отслеживать шаблоны сканирования, исходящие от IP-адресов, на которых развёрнуты известные рантаймы LLM (публичные инференс-эндпоинты DeepSeek, облачные узлы).
• Инструментировать внутренние фреймворки агентов (Hermes, LangChain, AutoGen…) с логированием исходящих сетевых действий — любой HTTP-запрос от агента должен быть обоснован тикетом.
• Добавить Telegram в список каналов для корреляции при охоте на C2, если рабочая станция или сервер демонстрирует необычное сканирование портов.

Краткое резюме

Команда выделяет три ключевых момента: (1) одной инструкции в Telegram достаточно, чтобы запустить полноценную автономную атаку; (2) стек на 100% состоит из открытых и бесплатных инструментов (DeepSeek + Hermes Agent); (3) злоумышленник отслеживается под псевдонимами knaithe / KnYuan в Unit 42. Порог входа для развёртывания атакующего агента резко снизился.