Un actor de amenazas de habla china utilizó un agente impulsado por IA para buscar servidores vulnerables expuestos a Internet y comenzar ataques con muy poca intervención humana directa.

La campaña demuestra cómo las herramientas automatizadas pueden ahora pasar de la búsqueda de objetivos a la prueba de exploits públicos en un solo flujo de trabajo.

La actividad se centró en sistemas Langflow y n8n expuestos, antes de que el operador también utilizara herramientas tradicionales contra dispositivos Citrix NetScaler, cuadernos Marimo, servidores Apache Tomcat y puntos finales de VPN.

Aunque los ataques dirigidos por IA no comprometieron totalmente sus objetivos previstos, la operación general causó el robo confirmado de datos y la ejecución de comandos.

Investigadores de Unit42 identificaron la campaña después de que el Agente Hermes expusiera por error su propio entorno de trabajo a través de un servidor de archivos accesible desde Internet.

Ese error permitió a los analistas tener visibilidad de los scripts de ataque, listas de objetivos, configuraciones de API, historial de comandos y registros de sesiones autónomas.

Palo Alto Networks afirmó en un informe que el caso es importante porque documenta un proceso ofensivo real en lugar de un riesgo teórico.

La IA ayudó al operador a comparar vulnerabilidades, localizar código de prueba de concepto público, reducir un gran grupo de objetivos y lanzar intentos de exploit a un ritmo que normalmente requeriría mucho más esfuerzo manual.

Agente Hermes impulsado por DeepSeek

El actor utilizó el Agente Hermes como marco operativo y DeepSeek como motor de razonamiento.

Hermes proporcionó acceso a la terminal, un sistema de habilidades y el control de comandos basado en Telegram, mientras que el modelo evaluaba los objetivos, generaba comandos, recopilaba herramientas de exploit y decidía dónde centrarse a continuación.

La configuración incluyó habilidades de "red-team" personalizadas para eludir las restricciones del modelo, explotar servicios web no autenticados y buscar activos conectados a Internet.

Esto hace que la actividad sea más preocupante que un simple script asistido por IA, ya que el sistema estaba configurado para llevar a cabo un ciclo repetible de escaneo, investigación y ataque.

La sesión autónoma examinó primero un fallo de Langflow y buscó implementaciones accesibles. Encontró un sistema potencialmente vulnerable, pero el exploit requería condiciones que no estaban presentes, por lo que el agente juzgó que esa familia de objetivos tenía un valor bajo y continuó.

Luego comparó el número de implementaciones y la disponibilidad de exploits públicos en 10 familias de productos antes de seleccionar n8n.

Esa elección reflejó la capacidad del agente para sopesar la gravedad, el alcance probable y los prerrequisitos del exploit, riesgos también destacados en los informes sobre el fallo crítico de toma de control de servidores n8n que afecta a sistemas de automatización expuestos.

El agente comprobó unas 100 direcciones de n8n de un grupo mucho mayor, examinó aproximadamente 40 sistemas distintos e identificó tres que ejecutaban versiones afectadas.

Los intentos de explotación finalmente fallaron porque los puntos finales de formulario expuestos requerían autenticación, pero el estrecho margen de fallo es la preocupación clave para los defensores.

Unit42 señaló que el modelo cambió la dirección de forma independiente después de que su esfuerzo inicial fallara, en lugar de esperar a que un operador proporcionara un nuevo objetivo.

Este flujo de ataque ilustra la progresión completa desde el esfuerzo inicial con Langflow hasta la posterior focalización en n8n.

La infraestructura expuesta aumenta el riesgo

El mismo actor ejecutó por separado campañas manuales con impacto confirmado. Unit42 confirmó la explotación exitosa de tres objetivos a través de una vulnerabilidad de lectura de memoria de Citrix NetScaler, donde la memoria robada fue analizada en busca de material de cookies de autenticación que pudiera facilitar el secuestro de sesiones.

Esa actividad coincide con las advertencias activas de explotación de NetScaler que instaban a las organizaciones a priorizar la remediación de esa debilidad activamente explotada.

El actor también logró la ejecución de comandos en instancias de cuadernos Marimo e intentó el acceso mediante shell inversa contra objetivos de Tomcat y VPN.

La campaña de IA expuso una debilidad operativa por parte del atacante. Hermes inició un servidor de archivos web desde el directorio principal del operador en lugar de una ubicación de pruebas aislada, revelando involuntariamente datos que, de otro modo, podrían haber sido borrados después de un ataque.

Los ciclos de ataque autónomos con IA son operativamente viables, incluso si los intentos automatizados de esta campaña no produjeron un compromiso total.

Los hallazgos refuerzan las preocupaciones sobre los riesgos de los agentes de IA expuestos que poseen un acceso amplio a sistemas y credenciales.

Las organizaciones deben parchear rápidamente las aplicaciones vulnerables expuestas a Internet, exigir autenticación en los formularios de flujo de trabajo públicos y reducir la exposición directa de las plataformas de automatización.

Los equipos de seguridad también deberían revisar los registros en busca de escaneos inusuales, cambios inesperados en los flujos de trabajo y conexiones salientes desde sistemas que no deberían iniciarlas.

Debes revisar los inventarios de activos en busca de implementaciones de Langflow, n8n y NetScaler accesibles externamente, mientras que los servicios expuestos deben segmentarse siempre que sea posible.

Los administradores también pueden utilizar las brechas de seguridad recientes en la automatización de flujos de trabajo para revisar los controles de acceso, los permisos de los nodos y las prácticas de gestión de parches.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.