AI-agent kiest zelf doelwitten en lekken, de mens zet de aanval op

Een AI-agent zocht zelf doelwitten en kwetsbaarheden uit in de campagne van een Chineessprekende aanvaller, maar kreeg geen enkel systeem open. Dat beschrijft dreigingsteam Unit 42 van Palo Alto Networks in een rapport van 30 juli 2026.

De doelwitten waren geen exotische systemen. De agent speurde het internet af naar Langflow en n8n, precies de zelf-gehoste automatiseringstools waar ook Nederlandse bedrijven hun processen op laten draaien. Wat de aanval tegenhield was geen beveiligingsproduct maar een instelling: op de n8n-formulieren die de agent vond stond authenticatie aan, en de Langflow-installaties misten de publieke flow-ID die het lek nodig had. Unit 42 noemt de marge tussen mislukken en slagen zelf smal, omdat de exploitatie werd geblokkeerd door configuratie-eisen aan de kant van het doelwit.

Wat de agent zelf deed

Unit 42 haalde één complete sessie terug, gedateerd 7 mei 2026. Daarin draaide DeepSeek als redenerend model binnen het open-source Hermes Agent-framework, aangestuurd via Telegram.

De agent begon bij Langflow. Hij haalde publieke exploitcode op, zocht met de Chinese zoekmachine FOFA op title="Langflow" en vond 84 installaties. Eén daarvan bleek kwetsbaar, maar de aanval mislukte: het lek vereist een ingeschakelde auto-login of een publieke flow-ID, en het doelwit had geen van beide.

Toen kwam de zet die dit rapport interessant maakt. De agent stelde in zijn eigen logboek vast dat hij vastliep en dat hij verder moest zoeken naar kwetsbaarheden op grotere schaal. Hij bracht tien productfamilies in kaart via FOFA en zocht op GitHub naar proof-of-concept-code voor CVE's uit 2026, gesorteerd op populariteit. Zijn keuze viel op n8n, in zijn eigen woorden uitermate veelbelovend: 258 sterren op de exploit-repository, een CVSS-score van 10,0, en via FOFA 647.017 installaties wereldwijd waarvan 25.209 in China.

Daarna volgde de verkenning. De agent nam een steekproef van ongeveer honderd IP-adressen, controleerde er zo'n veertig met curl op versienummer en formulier-endpoints, en vond drie installaties met een kwetsbare versie: 1.18.0, 1.117.3 en 1.108.2. Op één daarvan stonden drie formulieren open. Alle drie vroegen om een inlog. Een parallelle scan over de resterende vijftig-plus doelwitten leverde geen enkel publiek bereikbaar formulier op. Werk dat een mens honderden uren doelwitanalyse zou kosten, was in minuten klaar.

Waar een mens aan de knoppen zat

De autonomie begon pas na de opdracht. Unit 42 kon buiten die eerste taak geen verdere invoer van de operator terugvinden, maar het menselijke deel eromheen is goed zichtbaar. De aanvaller richtte de proxy-infrastructuur in die de westerse modellen bereikbaar maakte, bouwde eigen aanvalsvaardigheden voor de agent (waaronder een jailbreak-vaardigheid met de naam godmode) en zette Telegram op als aanstuurkanaal.

Naast de autonome cyclus liep een gewone handmatige campagne tegen vier andere kwetsbaarheden. Ook het werk ná een geslaagde inbraak bleef mensenwerk: het rapport beschrijft dagenlange pogingen tot sessiekaping bij een Maleisische overheidsinstantie.

De opbrengst van alles samen was mager. Van ruim 460 aangevallen doelwitten kon Unit 42 er drie bevestigen als succesvol gecompromitteerd, alle drie via CVE-2026-3055 in Citrix NetScaler, een lek waarmee een aanvaller stukken werkgeheugen kan uitlezen. Andy Piazza, senior director threat research bij Unit 42, noemde ze tegenover IT Brew over het geheel genomen niet erg succesvol: ze raakten de buitenrand van een paar organisaties en haalden wat basisgegevens binnen, maar dit is niet de doorbraak waar iedereen nu naar zoekt.

Waarom onderzoekers konden meekijken

Dat Unit 42 het gesprek tussen operator en model kon lezen, is aan een blunder te danken. De Hermes-agent startte op een Telegram-commando een HTTP-bestandsserver (python3 -m http.server 8888) in de thuismap van de aanvaller in plaats van in een afgeschermde werkmap. Daarmee stonden de configuratiebestanden, API-sleutels, exploitscripts, doelwitlijsten, bash-geschiedenis en de volledige sessielogboeken van de agent open op het internet.

In die configuraties stond ook hoe zorgvuldig de remmen eruit waren gehaald: Claude Code met de permissiecontrole uitgezet, Codex met opslag van antwoorden uitgeschakeld, Qwen Code in yolo-modus. Diezelfde keuze dook eerder op bij de open-source Hermes-agent die in YOLO-modus onbeheerd het netwerk van het Thaise ministerie van Financiën doorzocht. De autonomie zat ook daar niet in een doorbraak, maar in een vlag op de commandoregel.

Wat hiervan zichtbaar is in je logging

Het patroon in deze sessie is machinaal en daardoor herkenbaar. Binnen enkele minuten gaan tientallen versiecontroles met curl naar één productfamilie, en daarna springt de aandacht abrupt naar een compleet andere productfamilie. Een mens die handmatig scant, wisselt niet zo snel van onderwerp.

De tweede plek om te kijken is uitgaand verkeer. Een server die zelf een model-API opzoekt, api.deepseek[.]com of dashscope.aliyuncs[.]com, doet iets wat je zelden bewust hebt ingericht. In deze campagne liep het verkeer naar de westerse modellen bovendien via één proxydomein, code.newcli[.]com.

Belangrijker dan losse indicatoren is wat er vóór je eigen AI-systemen staat. Beveiligingsgereedschap hoort net zo goed vóór een AI-systeem te staan als een webapplicatiefirewall vóór een website, stelt Piazza, en je hoort te filteren welke commando's en antwoorden je van die systemen verwacht en toestaat. Dat begint bij weten hoeveel AI er eigenlijk in je organisatie draait, een overzicht dat volgens hem bij veel bedrijven ontbreekt.

De grens schuift naar voren

Drie weken geleden lag de meetlat nog anders. Sysdig moest de eerste als autonoom gepresenteerde AI-ransomware bijstellen, omdat een mens het slachtoffer koos, de aanvalsinfrastructuur opzette en de gestolen inloggegevens aanleverde. In deze campagne verschuift die grens een stap naar voren. Doelwitkeuze en kwetsbaarheidsselectie, precies de strategische stappen die bij Sysdig nog mensenwerk waren, deed het model hier zelf.

Het resultaat schuift niet mee. Unit 42 legt de betekenis dan ook in de richting en niet in de uitkomst: de aanvaller verfijnt zijn opzet, bouwt eigen vaardigheden en draait steeds nieuwe cycli, terwijl de technische drempel voor dit werk laag is en blijft dalen. Het NCSC waarschuwde deze maand al dat de tijd tussen een gepubliceerd lek en actief misbruik door AI structureel korter wordt.

Daarmee blijft over wat deze campagne het scherpst laat zien: een model dat honderden uren doelwitanalyse in minuten afwerkt, strandde op een inlogscherm en een ontbrekende configuratie. Voor wie n8n, Langflow of een vergelijkbare automatiseringsstack zelf host, zit de verdediging niet in het herkennen van de aanvaller, maar in de instelling die er al stond voordat hij langskwam.