DeepSeek y Hermes automatizan ataques contra servidores expuestos con mínima intervención humana

Unit 42 identificó a un actor de habla china que utilizó DeepSeek como motor de razonamiento y Hermes Agent como operador con terminal, internet y habilidades ofensivas. La infraestructura recibía tareas por Telegram, enumeraba objetivos con FOFA, descargaba pruebas de concepto y cambiaba de vulnerabilidad según despliegue y explotabilidad.

Una sesión recuperada mostró al agente pasar de Langflow a n8n sin nuevas instrucciones humanas. Enumeró instancias, evaluó versiones vulnerables y lanzó intentos en paralelo; la explotación autónoma no tuvo éxito porque los objetivos no cumplían configuraciones necesarias o exigían autenticación.

El mismo actor mantuvo operaciones manuales que sí exfiltraron datos de tres objetivos Citrix NetScaler y ejecutaron comandos en once instancias Marimo. La investigación fue posible porque Hermes abrió accidentalmente un servidor HTTP desde el directorio personal del atacante y expuso claves, scripts, listas y registros.