Palo Alto Networksの脅威インテリジェンスチームUnit 42は2026年7月30日、生成AIモデルDeepSeekとオープンソースのAIエージェントフレームワークHermes Agentを組み合わせ、人間の関与を最小限に抑えた自律的なサイバー攻撃を実行していた中国語圏の攻撃者について詳細をまとめたレポートを公開しました。攻撃者は460以上の標的に対して自律型と手動型を組み合わせた攻撃を試み、Citrix NetScalerやMarimo Notebookなど複数の脆弱性で実際にデータ窃取やコマンド実行を確認しています。あわせて、攻撃者が西側のAIツールも試したものの、提供元による安全機構によって攻撃目的での利用が制限されていたことも報告されており、AIプロバイダー側の安全対策が実際の攻撃を抑止した初めての具体的な事例として注目されています。
この記事のサマリー
- Unit 42は2026年7月30日、DeepSeekとHermes Agentを用いた自律型サイバー攻撃キャンペーンに関するレポートを公開しました。
- 攻撃者はknaithe・KnYuanの名で活動する中国語圏の人物で、中国広東省珠海市を拠点とするとみられています。
- 自律型攻撃ではLangflow（CVE-2026-33017）とn8n（CVE-2026-21858／CVE-2025-68613）への侵入が試みられましたが、いずれも標的側の設定要件により失敗しています。
- 別途行われた手動攻撃では、Citrix NetScaler（CVE-2026-3055）から3組織のデータが窃取され、うち1件はマレーシアの政府機関でした。
- Marimo Notebook（CVE-2026-39987）では11台でコマンド実行が確認され、Apache Tomcat（CVE-2026-34486）とWindowsのIKE VPN（CVE-2026-33824）ではリバースシェルの試行が確認されています。
- 攻撃者はClaude CodeやCodexといった西側のAIツールも試していますが、提供元側の安全機構により攻撃目的での実利用は限定的だったとされ、OpenAIは関連するとみられるアカウントを検知し無効化したことを確認しています。
- Unit 42は、自律型AI攻撃サイクルがすでに運用上実現可能な段階にあり、その技術的な参入障壁は低下し続けていると結論づけています。
整理表——悪用・悪用試行された脆弱性一覧
| CVE | 製品 | CVSS | 手法 | 状況 |
|---|---|---|---|---|
| CVE-2026-33017 | Langflow | 9.8 | 自律型 | 悪用試行（失敗、auto_login無効のため） |
| CVE-2026-21858／CVE-2025-68613 | n8n（ワークフロー自動化） | 10.0／9.9 | 自律型 | 悪用試行（失敗、認証必須のため） |
| CVE-2026-3055 | Citrix NetScaler ADC/Gateway | 9.8 | 手動 | 悪用成功、データ窃取確認（3組織） |
| CVE-2026-39987 | Marimoノートブック | 9.8 | 手動 | 悪用成功、コマンド実行確認（11台） |
| CVE-2026-34486 | Apache Tomcat | 7.5 | 手動 | リバースシェル試行（9台） |
| CVE-2026-33824 | Windows IKE Extensions（IKE VPN） | 9.8 | 手動 | リバースシェルコールバック試行（3台） |
| CVE-2026-0300 | PAN-OS User-IDキャプティブポータル | 9.8 | 手動（未実行） | 非機能のPoCを取得したのみ、実行の痕跡なし |
何が起きたか
Unit 42がこの活動を把握できたのは、攻撃者が使っていたAIエージェントHermes Agentが、自身のホームディレクトリからHTTPファイルサーバーを誤って起動してしまい、作業環境そのものが外部からアクセス可能な状態になっていたためです。これにより、APIキー、悪用スクリプト、標的リスト、シェル履歴、AIによる自律実行のセッションログまでもが研究者の目に触れることになりました。
攻撃者はknaithe・KnYuanの名で活動しており、GitHub上で17の情報源からRCE（リモートコード実行）関連の脆弱性情報を自動収集し、DeepSeekで悪用可能性を判定したうえでTelegram経由で配信する自作ツール1DayNewsを公開していることなどから、中国広東省珠海市を拠点とする自称バイナリセキュリティ研究者と評価されています。
攻撃者はTelegramからHermes AgentへAIツールを実行し、Hermes Agentがオーケストレーション（ターミナル操作、Telegramによるコマンド制御、独自スキルの実行）を担い、DeepSeekが推論エンジンとしてコード生成・脆弱性評価・標的選定・意思決定を行う構成でした。エージェントにはgodmode（AIの安全制限を回避するジェイルブレイク機能）、web-terminal-exploitation（未認証WebSocket悪用の自作スキル）、fofa-cyberspace-search（インターネット資産検索エンジンFOFAを用いた偵察を自動化する自作スキル）という3つの独自スキルが組み込まれていました。
Unit 42が回収した2026年5月のセッション記録では、攻撃者が最初のタスクを与えた後は、それ以降の操作をエージェントが自律的に実行していたことが確認されています。まずLangflowの脆弱性（CVE-2026-33017、CVSS9.8）に対し、GitHub上の公開PoCをダウンロードし、FOFAで84件の露出インスタンスを特定、スキャンの結果1件の脆弱な標的を発見しましたが、悪用にはauto_loginの有効化または公開flow IDが必要であり、いずれの条件も満たさなかったため失敗しています。DeepSeekはこの製品全体を低価値な標的と判断し、より大規模に展開されている脆弱性の探索へと自律的に方針を転換しました。
続いてDeepSeekは10の製品群にわたる導入件数をFOFAで調査し、GitHub上でスター数の多い2026年のCVE関連PoCリポジトリを検索したうえで、深刻度・導入規模・悪用可能性を比較し、n8n（ワークフロー自動化ツール、CVSS10.0）を有望な標的として選定しました。FOFAでは全世界で64万7017件、うち中国国内だけで2万5209件のn8nインスタンスが確認されています。DeepSeekはCVE-2026-21858（任意ファイル読み取り、CVSS10.0）とCVE-2025-68613（サンドボックス回避によるRCE、CVSS9.9）を連鎖させる公開PoCを取得し、パッチ未適用のバージョン範囲を特定したうえで、中国国内のn8nインスタンスに対しFOFAクエリを実行しました。3件のインスタンスで脆弱なバージョンが確認されたものの、悪用に必要な未認証のフォームエンドポイントはすべて認証が有効化されており、50以上の残りの標的を並行してスキャンしても悪用には至らず、記録されたセッションはここで終了しています。
手動攻撃による実害の発生
自律型AIによる攻撃とは別に、攻撃者はFOFAでの偵察や独自のPythonスキャナーを用いた手動の攻撃活動も行っており、こちらでは実際の被害が確認されています。Citrix NetScalerの脆弱性（CVE-2026-3055）を通じて3組織からデータが窃取され、攻撃者は窃取したメモリデータの中から認証クッキーを検索しており、セッションハイジャックを狙っていたとみられています。このうち1件はマレーシアの政府機関で、攻撃者は複数日にわたり執拗に標的にし、後の試行ではプロキシによる匿名化も行っていました。
このほか、Marimoノートブックの脆弱性（CVE-2026-39987）では11台でコマンド実行が確認され、Apache Tomcatの脆弱性（CVE-2026-34486）では9台のサーバーに対しJavaデシリアライゼーションを用いたリバースシェルの試行が、WindowsのIKE VPN（CVE-2026-33824）では3つのエンドポイントに対しリバースシェルコールバックの試行が確認されています。なお、PAN-OSのキャプティブポータルに関する脆弱性（CVE-2026-0300）についても公開PoCのクローンが確認されていますが、こちらはプレースホルダーの値のままで機能しておらず、実行された痕跡もありませんでした。
Unit 42によると、自律型・手動型を合わせて攻撃者が悪用を試みた標的は460件以上にのぼる一方、実際に悪用が成功したと確認できたのは3件にとどまっています。ただし、攻撃者が分析前に削除していたファイルの中に、より多くのホストを対象としたバッチ処理の形跡も確認されており、実際の影響範囲はさらに広い可能性があります。
攻撃者が使用したAIツールの内訳
| ツール | モデル | 設定変更 | アクセス方法 |
|---|---|---|---|
| Hermes Agent | DeepSeek | フレームワーク自体に安全機構がなく、ジェイルブレイク用のgodmodeスキルを利用可能な状態 | 直接API（api.deepseek） |
| Codex | GPT-5.4（プロキシ経由） | network_accessを有効化 | プロキシ経由（code.newcli.com/codex/v1） |
| Claude Code | Opus（プロキシ経由） | dangerously-skip-permissionsを有効化、Bashやファイル操作、Web要求、エージェント生成など12のツールを許可リスト化 | プロキシ経由（code.newcli.com/ultra） |
| Qwen Code | GLM-5／Qwen／Kimi／MiniMax | approvalModeをyolo（無条件承認）に設定 | 直接API（dashscope.aliyuncs） |
西側AIツールの安全機構が果たした役割
Unit 42の分析によると、攻撃者はDeepSeekを主軸とする一方で、Qwen・GLM・Kimi・MiniMaxといった中国系の複数のAIモデルもあわせて設定しており、これはAI市場の評価を兼ねた動きとみられています。さらに、Claude CodeやCodexといった西側のAIツールについても限定的な利用や検証の痕跡が確認されています。
Claude Codeについては、接続確認とプロキシ検証の目的でのみ利用されており、3つのセッションにわたる10件の履歴には、モデル確認・接続テスト・npmインストール要求が1件含まれるのみでした。Codexについては悪用コード開発用のディレクトリでの利用の痕跡があったものの、攻撃者が応答保存を無効化する設定にしていたため、会話ログ自体は残されておらず、実際の利用を裏づけることはできなかったとされています。
Unit 42は、攻撃者が西側モデルの利用を試みたものの、提供元側の安全機構によって自律攻撃における実効性が制限されていた可能性が高く、その結果、安全制御が最も緩いDeepSeekを主軸のモデルとして選んだとみています。あわせて、OpenAIが自社の安全機構によって、ポリシーに違反する要求を拒否していたこと、また継続的な違反の試みを受けて、この攻撃キャンペーンに関連するとみられるアカウントを、Unit 42への情報共有に先立って検知・無効化していたことを確認したとしています。
Unit 42が指摘する4つの含意
- 自律型のAI攻撃サイクルはすでに運用上実現可能な段階にあり、今回は標的側の設定要件（Langflowのauto_login無効化、n8nフォームの認証必須化）によって被害が防がれたにすぎず、デフォルト設定がより緩い標的であれば被害に至っていた可能性があります。
- 攻撃者は独自の自動化スキル、MCPサーバーとの統合、プロキシによる匿名化、Telegramによるコマンド制御を組み合わせ、セッションをまたいで再利用可能な持続的なAI攻撃基盤を構築しつつあります。
- 攻撃者は抵抗の少ない経路を選ぶ傾向があり、今回のケースでもクライアント側の制限がないオープンソースフレームワークを通じて、安全機構が最も緩いモデルが選択されています。
- 自律的なAI実行は、攻撃者自身にとっても新たな運用上のリスクとなり得ます。今回の事案でも、攻撃に用いた自律実行の仕組みそのものが、手動実行では残らなかったはずの痕跡を生み、結果として攻撃者自身の環境の露呈につながっています。
情報システム部門が確認すべき対策ポイント
- Langflow、n8n、Citrix NetScaler ADC/Gateway、Marimoノートブック、Apache Tomcat、PAN-OSキャプティブポータル、Windows IKE Extensionsについて、自社での利用有無とバージョンを確認し、各ベンダーの修正版へのアップデート状況を点検してください。n8nについては、任意ファイル読み取りの脆弱性が1.121.0で、サンドボックス回避によるRCEの脆弱性が1.120.4でそれぞれ修正されています。
- アタックサーフェス管理の観点から、これらの製品がインターネットに露出していないか、FOFAのような internet asset search engine で自社ドメインやIPレンジを検索し、想定外の公開状態がないかを確認してください。
- 自律的に動作するAIエージェントフレームワーク（ターミナル操作や無条件承認モードを備えるもの）を社内で試験導入・評価している場合、実行権限の範囲や外部接続の可否について、通常のツール導入と同様のセキュリティレビューの対象とすることをおすすめします。
- 偵察から脆弱性選定、PoC取得、悪用試行までが人手を介さず数分単位で完結し得るという前提に立ち、インシデント対応やログ監視の体制が、こうした攻撃速度を想定したものになっているか見直す価値があります。
- 脆弱性管理そのものの体系的な進め方については、脆弱性診断の必要性――「気づいていない」だけで100万件の個人情報が漏洩した事例と、CISA・INCDが診断を義務化した根拠もあわせてご参照ください。
今後注目すべき点
Unit 42は、今回の事案の重要性は個々のキャンペーンの成否そのものよりも、攻撃者が設定の改良やカスタムスキルの開発、プロキシ基盤の構築、自律攻撃サイクルの実行を継続的に重ねている、その延長線上にあると指摘しています。AI活用型の攻撃基盤への技術的な参入障壁は低下を続けており、今後は以下の点が焦点になると考えられます。
- 同種の自律型攻撃ワークフローが、DeepSeek以外のAIモデルや、他の攻撃者グループに広がるかどうか
- 悪用対象となった各製品のパッチ適用状況と、追加の脆弱性の発見有無
- AIプロバイダー各社の安全機構が、実際の攻撃抑止においてどの程度の実効性を持ち続けるか。
出典
n8n Security Advisory GHSA-v4pr-fm98-w9pg（CVE-2026-21858）
n8n Security Advisory GHSA-v98v-ff95-f3cp（CVE-2025-68613）
関連記事
n8nに重大な脆弱性(CVE-2026-44789・CVE-2026-44790・CVE-2026-44791)
n8nで複数の重大な脆弱性、大規模スキャンも観測(CVE-2026-25049,CVE-2026-21858)
新たなCitrix Bleed 系 脆弱性、公開から24時間以内に悪用開始-CVE-2026-8451
n8nの脆弱性のPoCが公開(CVE-2025-68613)
Microsoft、2026年4月の定例パッチを公開-CVE-2026-33824とCVE-2026-33827などの脆弱性を修正
Apache Tomcatに深刻な脆弱性、DoS攻撃やセキュリティルール回避のリスク- 迅速なアップデートを推奨(CVE-2025-31650)
Palo Alto NetworksのPAN-OSの脆弱性が認証バイパスに悪用される(CVE-2025-0108)
Apache Tomcat、URL書き換え回避など3件の脆弱性を修正-CVE-2025-55752は条件次第でRCEの恐れ
Apache ActiveMQ、危険度の高い脆弱性など4件を修正-CVE-2026-42588-CVE-2026-45505
