新聞

資安公司Palo Alto Networks揭露自稱為knaithe和KnYuan的中國駭客活動，其中最引人注意的是使用AI代理Hermes與大型語言模型DeepSeek的AI自主攻擊，不過有別於先前其他AI自主攻擊事故，這些駭客也結合手動操作，來擴大影響範圍，至少有406個企業組織被鎖定。

研究人員指出，駭客不僅利用AI自主攻擊Langflow與n8n，嘗試利用資安漏洞CVE-2026-33017、CVE-2026-21858，以及CVE-2025-68613，然而他們也透過一般的手動攻擊流程，藉由物聯網搜尋引擎FOFA尋找目標，然後使用自製的Python掃描工具並利用漏洞，對其他應用系統發動攻擊。

其中，駭客利用Citrix NetScaler漏洞CVE-2026-3055，從3家受害組織竊取資料，並在11臺Marimo執行個體（instance）觸發CVE-2026-39987，以執行特定命令；他們也在9臺Apache Tomcat伺服器上，藉由CVE-2026-34486嘗試植入反序列化的Java反向Shell，以及針對3臺IKE VPN端點，使用CVE-2026-33824並執行反向Shell。

這些駭客也嘗試鎖定Palo Alto Networks防火牆作業系統PAN-OS弱點CVE-2026-0300，攻擊User-ID身分驗證入口網站（Captive Portal），不過他們找到的概念驗證程式（PoC）為研究性質，未具備實際漏洞利用功能而無法運作。Palo Alto Networks強調，目前未有入口網站遭竄改或程式碼執行的跡象。

Palo Alto Networks提及，無論是AI自主或是手動操作攻擊，駭客都利用DeepSeek尋找目標，但疑似為了節省AI算力資源，他們允許DeepSeek縮小尋找的範圍，以n8n為例，DeepSeek原本使用FOFA，在25,209個位於中國的系統找到約100個IP位址曝露的n8n執行個體，後續該模型只有對其中40個IP位址使用curl命令檢查n8n的版本。