TeamT5 nennt als Beispiele Grimfengxi, Huapi und Teleboyi und begründet die Wahl von DeepSeek mit geringen Cyber-Leitplanken. Die Verdopplung stammt aus einem Bloomberg-Bericht vom 24. August, den die zugänglichen Quellen nur referieren. TeamT5 veröffentlicht dazu weder Ausgangswert noch Endwert oder Zeitraum.
Unit 42 beschreibt dagegen eine konkrete Kampagne: DeepSeek lief über das Hermes-Agent-Framework, der Akteur mit den Aliasen knaithe und KnYuan griff mehr als 460 Ziele an. Dokumentiert sind Datenabfluss bei drei Organisationen über CVE-2026-3055, Befehlsausführung auf elf Marimo-Instanzen, Reverse-Shell-Versuche gegen neun Apache-Tomcat-Server und Rückrufe gegen drei IKE-VPN-Endpunkte.
Parallel waren Qwen, GLM, Kimi und MiniMax eingerichtet; Claude Code und Codex wurden begrenzt getestet. Unit 42 nennt den Akteur einen opportunistischen Exploit-Betreiber und ordnet ihn nicht staatlich zu. Diese Kampagne belegt daher den Mechanismus, nicht TeamT5s Zuschreibung an staatsnahe Gruppen.