Más de 460 objetivos en una sola campaña, ocho vulnerabilidades y casi ninguna intervención humana: así describieron los investigadores de Palo Alto Networks una operación en la que el modelo DeepSeek no fue el asistente de un hacker, sino el propio hacker.
Unit 42 vincula al operador, identificado con los alias knaithe y KnYuan, con la ciudad china de Zhuhai. Se autodenomina "investigador de seguridad binaria" y todo indica que trabajó solo. En lugar de buscar objetivos a mano, conectó DeepSeek al framework de código abierto Hermes Agent y le dio órdenes por Telegram. A partir de ahí, el modelo tomó el control: buscaba servidores expuestos con el motor de rastreo FOFA, elegía el exploit adecuado e intentaba asentarse en el sistema, sin instrucciones humanas paso a paso.
En una sesión recuperada fechada el 7 de mayo, el operador solo dio la tarea inicial y DeepSeek ejecutó todo lo demás por su cuenta. A lo largo de la campaña, el agente probó más de 460 objetivos en siete líneas de ataque y ocho CVE, afectando a Citrix NetScaler, Langflow, la plataforma de automatización n8n, los cuadernos Marimo, Apache Tomcat y un módulo VPN IKE. Las brechas confirmadas fueron pocas pero reales: se robaron datos de tres organizaciones a través de una falla en Citrix NetScaler, y el agente logró ejecutar código en 11 instancias de Marimo.
La operación salió a la luz casi por casualidad. El propio Hermes Agent cometió un error de seguridad operativa: levantó un servidor HTTP desde el directorio personal del operador y dejó expuesto todo lo que había dentro —claves de API, scripts de exploits, listas de objetivos y los registros completos de sesión con la IA—. Esa filtración permitió a Unit 42 reconstruir la campaña con detalle, incluyendo qué otros modelos había probado el hacker: además de DeepSeek, los chinos Qwen, GLM, Kimi y MiniMax, y pruebas limitadas con Claude Code y Codex.
Lo más relevante aquí es el cambio de escala. Vulnerar infraestructura como Citrix NetScaler solía exigir un equipo con experiencia. Ahora una sola persona con acceso a un modelo público y un framework de agentes gratuito puede lanzar —y apenas supervisar— una campaña contra cientos de objetivos a la vez. Ninguna de las herramientas usadas es secreta ni difícil de conseguir, y eso es justo lo preocupante.
