Unit 42: DeepSeek-agent fant og angrep n8n-servere på egen hånd

Palo Alto Networks-enheten Unit 42 publiserte 30. juli en gjennomgang av en kinesisktalende angriper som brukte DeepSeek gjennom agentrammeverket Hermes Agent som selvgående angrepsoperatør. Innsynet kom av en tabbe agenten gjorde selv: den startet en filserver med python3 -m http.server 8888 i angriperens hjemmekatalog og la hele arbeidsmiljøet åpent på nett. API-nøkler, exploit-skript, mållister, bash-historikk og agentens egne sesjonslogger lå der.

Sesjonen Unit 42 rekonstruerte er fra 7. mai 2026, og operatøren ga bare den første oppgaven. Agenten startet på Langflow-sårbarheten CVE-2026-33017, fant 84 eksponerte instanser via søketjenesten FOFA, og konkluderte selv med at produktet var for lite utbredt til å være verdt innsatsen. Deretter sammenlignet den ti produktfamilier på hvor mange instanser som lå åpne, søkte GitHub etter exploit-kode for 2026-CVE-er sortert på stjerner, og valgte n8n. Begrunnelsen står i loggen: PoC-en hadde 258 stjerner og CVSS 10.0.

«Selv om kampanjen vi observerte hadde begrenset effekt, bekrefter arbeidsflyten en fungerende, ende-til-ende autonom offensiv kapasitet.» — Unit 42, Palo Alto Networks

Det som stoppet angrepet var konfigurasjon, ikke deteksjon. Langflow-exploiten krevde enten auto_login eller en offentlig flow-ID, og målet hadde ingen av delene. n8n-kjeden krevde et skjema-endepunkt uten innlogging, og alle skjemaene agenten fant krevde autentisering. Unit 42 er tydelige på at marginen var tynn: mål med svakere standardoppsett ville vært utsatt.

Verktøyene i denne kjeden er nøyaktig de norske byggere selvhoster. Hermes Agent er en åpen selvhostet agent Pulsen har omtalt flere ganger, n8n og Langflow er standardvalg for automatisering og KI-flyt. Angriperen kjørte Hermes i en modus uten tillatelsesspørsmål og la til tre egne ferdigheter, blant dem en jailbreak-ferdighet og en FOFA-integrasjon via en MCP-server. Kommando og kontroll gikk over Telegram.

Modellvalget var heller ikke tilfeldig. Unit 42 skriver at angriperen også hadde satt opp Claude Code og Codex gjennom en tredjeparts proxy, men brukte dem knapt. OpenAI har overfor Unit 42 bekreftet at sikringstiltakene på tjenestesiden avviste forespørslene og at kontoen ble deaktivert. DeepSeek ble kjørt direkte mot eget API. Angriperen fulgte den minste motstands vei og landet på den mest tillatende kombinasjonen.

Den manuelle delen av kampanjen var den som faktisk traff. Over 460 mål ble angrepet totalt, og Unit 42 bekrefter datauttrekk fra tre Citrix NetScaler-servere gjennom CVE-2026-3055 og kjøring av kommandoer på 11 Marimo-notatbøker. Det autonome sporet ga null kompromitteringer, men gjorde på minutter det som ellers tar hundrevis av timer med manuell målanalyse.

Hva bør du gjøre?

1. Oppgrader n8n til 1.121.0 eller nyere. CVE-2026-21858 er tettet i 1.121.0 og CVE-2025-68613 i 1.120.4, og angrepskjeden trenger begge.
2. Sjekk om skjema-endepunktene dine krever innlogging. Det var autentisering, ikke patchenivå, som reddet de tre sårbare serverne.
3. Regn med at eksponering i FOFA eller Shodan er nok til å bli plukket ut automatisk. Legg selvhostet automatisering bak VPN eller en autentiserende proxy heller enn rett på åpent nett.