Der Angriff begann laut Jesta an einem „ruhigen Donnerstag“, als die Forscher ungewöhnliche Aktivitäten entdeckten, die ihre Umgebung in einer Weise scannten, die menschlich wirkte, aber mit „übermenschlicher Geschwindigkeit“ ablief. Das Unternehmen, das sich nach eigenen Angaben noch im Stealth-Modus befindet und an einer Verteidigungsschicht gegen autonome KI-Angriffe arbeitet, schloss zunächst eine interne Ursache aus und vermutete dann ein KI-Modell als Ursprung.
Um diese Annahme zu prüfen, legte Jesta nach eigener Darstellung eine Falle. Die Forscher präparierten die Umgebung mit Elementen, „die ein Sprachmodell nicht ignorieren kann, die ein Mensch aber kaum ein zweites Mal ansehen würde“, und beobachteten die Reaktion. Über fünf Tage hinweg führte das Modell laut Bericht Aufklärung durch und versuchte, das Zielsystem über Hunderte kurzlebige SSH-Sitzungen zu profilieren.
Jesta dokumentierte dabei 871 Sitzungen, von denen die meisten weniger als zwei Sekunden dauerten. Das Muster sei auffällig gewesen: Der Agent verband sich, führte genau einen Befehl aus, trennte die Verbindung wieder und kehrte nach kurzen Pausen zum „Nachdenken“ zurück. Diese Arbeitsweise wertete das Unternehmen als Hinweis auf ein agentisches Vorgehen.
Die Auswertung der Aktivität ergab laut Jesta, dass das offensichtliche Ziel Proxyjacking war. Dazu sollten schwach abgesicherte Server kompromittiert und MicroSocks-SOCKS5-Proxys installiert werden, um ein verteiltes Netz von Relay-Infrastruktur aufzubauen. Außerdem entdeckten die Forscher eine Zielliste mit 1.283 Hosts sowie zugehörige Zugangsdaten für diese Systeme. Diese Hosts hätten anschließend als Exit-Knoten für weiteres Scanning, Intrusionen oder andere bösartige Aktivitäten dienen können.
Halfon sagte gegenüber Dark Reading, mehrere Indizien sprächen dafür, dass die Kampagne „vollständig autonom“ ablief. Zum einen sei die Größenordnung ein Hinweis: Neben Jesta seien etwa 1.000 weitere Opfer auf dieselbe Weise angegriffen worden. Zum anderen habe das Verhalten selbst typische agentische Merkmale gezeigt, darunter Halluzinationen, eine Strukturierung der Ausgaben in einer Form, die nur für ein Modell sinnvoll lesbar sei, sowie Reaktionszeiten bei kritischen Entscheidungen, die ein Mensch nicht erreichen könne.
Den entscheidenden Beleg sieht Jesta nach eigenen Angaben in einer erzwungenen Identitätsabfrage. Mit den eigenen Mitteln des Unternehmens habe man das Modell dazu gebracht, seine genaue Identität offenzulegen. Das sei „in einem Sekundenbruchteil“ geschehen und schließe einen Menschen in der Schleife aus, sagte Halfon. Identifiziert worden sei eine DeepSeek-Version-4-„Flash free“-Instanz, die von einem LLM gesteuert worden sei.
Im Zuge der weiteren Untersuchung kontaktierte Jesta nach eigenen Angaben einige der entdeckten Opfer sowie deren jeweilige Cloud-Anbieter und ließ sich die Angriffe bestätigen. Dabei habe es sich überwiegend um kleine und mittlere Unternehmen gehandelt, die Websites und Anwendungen hosten; sie wollten anonym bleiben. Als weitere Hinweise auf einen chinesischen Ursprung nennt Halfon Aktivitäten in einer Peking-Zeitzone und chinesische Schriftzeichen in den Schadlasten. Diese Faktoren deuteten auf einen chinesischen Ursprung hin.