Palo Alto NetworksのUnit 42研究者は、HermesエージェントがホームディレクトリからWebサーバーを作成したことで、中国の脅威アクターの環境を発見した。この環境にはAPIキー、エクスプロイトスクリプト、ターゲットリスト、シェル履歴、AI攻撃ログが含まれていた。攻撃者は「knaithe」と「KnYuan」という偽名を使い、「二重のセキュリティ研究者」として自身を紹介している。Unit 42は観察した自動攻撃がターゲットサーバーを成功裏に侵害できなかったと指摘したが、このキャンペーンは脆弱なシステムを探索し、評価し、攻撃する能力を持つAIワークフローを確認したと説明した。

HermesエージェントはDeepSeek AIモデルを論理エンジンとして使用し、オペレーティングシステムのターミナルと相互作用し、コマンドを実行し、インターネットに接続できる。エージェントは「Yolo」モードで動作し、オペレーターの承認を待たずにリスクの高いコマンドも実行できる。HermesはTelegramチャンネルから指示を受け取り、特殊な攻撃的セキュリティスキルを使用し、FOFAインターネット資産検索エンジンと統合されている。Unit 42は2026年5月のセッションで、オペレーターが初期タスクのみを提供し、エージェントが残りの活動を人的フィードバックなしで自動的に実行したことを確認した。