Ein Hacker aus der chinesischen Stadt Zhuhai hat das KI-Modell DeepSeek eingesetzt, um automatisiert Schwachstellen in mehr als 460 internetzugänglichen Systemen aufzuspüren und anzugreifen. Das zeigt eine Analyse der Sicherheitsfirma Palo Alto Networks. Bei drei Citrix-NetScaler-Servern und elf Marimo-Notebook-Instanzen gelang tatsächlich ein Einbruch, die vollautomatisierten KI-Angriffsversuche selbst blieben dagegen ohne bestätigten Erfolg.
Hermes-Framework steuert DeepSeek per Telegram-Fernzugriff
Der Angreifer bezeichnet sich online als „knaithe” beziehungsweise „KnYuan” und beschreibt sich selbst als binären Sicherheitsforscher. Für die Angriffe nutzte er das quelloffene Framework Hermes Agent als Schaltzentrale. Hermes verschafft dem angebundenen KI-Modell Terminalzugriff auf ein System, eine Fernsteuerung über den Messenger Telegram und eine Bibliothek wiederverwendbarer Angriffsfähigkeiten. DeepSeek übernahm dabei die eigentliche Angriffslogik: Es wählte Ziele aus, bewertete Schwachstellen und leitete passende Exploit-Schritte ein, während Hermes die Ausführung steuerte.
Zusätzlich betrieb der Akteur unter dem Namen 1DayNews eine eigene Pipeline, die neu veröffentlichte Schwachstellen aus 17 Quellen automatisiert sammelt. Daraus leitete er laufend neue Angriffsziele ab. Unit 42 verortet den Angreifer in der Stadt Zhuhai in der chinesischen Provinz Guangdong. Ein öffentlich einsehbares GitHub-Profil und ein persönlicher Blog des Akteurs stützen diese Einschätzung – unabhängig verifiziert ist die genaue Herkunft damit aber nicht. Neben DeepSeek habe der Akteur eigenen Spuren zufolge auch die chinesischen Modelle Qwen, GLM, Kimi und MiniMax für einen möglichen Praxiseinsatz getestet, im dokumentierten Angriff aber nicht produktiv genutzt.
Bekannte Citrix-Lücke bleibt trotz Update ein Einfallstor
Die vollständig autonom von Hermes und DeepSeek gesteuerten Angriffsversuche scheiterten durchweg an Konfigurationshürden. Sie richteten sich unter anderem gegen die Automatisierungsplattform Langflow über die Schwachstelle CVE-2026-33017. Auch zwei Versuche gegen die Workflow-Software n8n über weitere kritische Lücken blieben ohne bestätigte Kompromittierung.
Erfolgreich war der Akteur dagegen bei manuellen beziehungsweise KI-gestützten Operationen außerhalb des vollautomatischen Modus. Bei drei Systemen mit der Fernzugriffs-Software Citrix NetScaler griff er über die Schwachstelle CVE-2026-3055 Arbeitsspeicherinhalte und darin enthaltene Anmelde-Cookies ab. Citrix hatte diese Lücke bereits im März 2026 in einem eigenen Sicherheitsbulletin offengelegt und geschlossen, dennoch blieb sie bei ungepatchten Systemen ausnutzbar. Bei elf Instanzen des Datenanalyse-Werkzeugs Marimo, das Datenteams für interaktive Python-Notebooks nutzen, führte der Angreifer über die Schwachstelle CVE-2026-39987 eigenen Code aus. Ein kompromittiertes NetScaler-Gateway kann weitreichende Folgen haben, weil Unternehmen darüber typischerweise den gesicherten Fernzugriff ihrer Mitarbeitenden auf interne Netzwerke abwickeln. Insgesamt prüfte der Akteur automatisiert und manuell mehr als 460 internetzugängliche Systeme auf verwundbare Konfigurationen.
Offener Webserver verrät die eigene Angriffsinfrastruktur
Aufgedeckt wurde die Kampagne, weil Hermes Agent versehentlich einen eigenen HTTP-Server im Arbeitsverzeichnis des Angreifers startete, statt ihn wie vorgesehen in einer isolierten Umgebung zu betreiben. Dadurch lagen API-Schlüssel, Exploit-Skripte, Listen der Angriffsziele, die Kommandozeilen-Historie und vollständige Protokolle der autonomen KI-Sitzungen offen im Netz. Unit 42 wertete diese Daten aus und rekonstruierte daraus eine Sitzung vom 7. Mai 2026, die den gesamten Ablauf eines automatisierten Angriffs dokumentiert.
Der Akteur testete auch kommerzielle US-Modelle für seine Zwecke. Zehn Testsitzungen mit Anthropics Claude Code dienten lediglich der Verbindungsprüfung. Bei OpenAIs Codex auf Basis von GPT-5.4 griffen dagegen die Schutzmechanismen des Anbieters: Anfragen, die gegen die Nutzungsrichtlinien verstießen, seien blockiert und das genutzte Konto anschließend gesperrt worden. DeepSeek habe die Mitwirkung an den Angriffen den vorliegenden Erkenntnissen zufolge dagegen nicht verweigert. Es ist nicht der erste dokumentierte Fall eines KI-Systems in einem realen Angriff. Im Juli 2026 hatten laut OpenAI zwei eigene Modelle im Rahmen eines internen Sicherheitstests eigenständig in die Infrastruktur von Hugging Face eingegriffen. Dort ging der Angriff allerdings von einem kontrollierten Test aus, nicht von einem externen Akteur.
Entscheidend wird, ob Unternehmen ihre Patch-Zyklen beschleunigen. Die erfolgreichen Einbrüche trafen ausschließlich Systeme mit einer seit Monaten bekannten und bereits behobenen Schwachstelle, nicht mit einer neu entdeckten Lücke. KI-Agenten wie Hermes senken vor allem den Aufwand, um genau solche ungepatchten Systeme in großer Zahl automatisiert aufzuspüren – die eigentliche Schutzmaßnahme bleibt trotzdem das rechtzeitige Einspielen vorhandener Updates.
