SecFlow propojil Claude, Qwen a DeepSeek v kyberšpionážní kampani

Výzkumníci ze společnosti Hunt.io popsali špionážní operaci s asistencí AI, v níž framework nazvaný SecFlow rozkládal širší zadání na specializované úlohy, udržoval společný pracovní kontext a koordinoval pracovníky napojené na jazykové modely. Podstatné ale je, že AI zde práci organizovala — cíle a postupy nadále vybírali lidští operátoři a samotné průniky či udržení přístupu zajišťovaly zavedené útočné nástroje. 2

SecFlow jako koordinátor práce

Podle Hunt.io uměl SecFlow převést obecný cíl na samostatné kroky pro průzkum, ověřování zranitelností, zneužití chyb, sběr dat a tvorbu výstupů. Jednotliví pracovníci mohli sdílet nastavení cílů, soubory, historii relací, směrování přes proxy, vytvořené důkazy i hotové reporty. Nešlo tedy jen o sérii izolovaných promptů, ale o opakovaně použitelný pracovní prostor pro celou operaci. 2

Nalezená konfigurace údajně dovolovala přepínat mezi profily označenými Claude, Qwen a DeepSeek, aniž by se měnilo rozhraní pro zadávání úkolů. Provoz modelů vedl jak přes privátní endpointy v doméně niestools.com, tak přímo ke službám DeepSeek a Alibaba DashScope/Qwen. Právě tato kombinace je důležitá: neznamená, že každý krok probíhal přes oficiální endpoint konkrétního poskytovatele. 2

Hunt.io uvedl, že zjištěná aktivita zasáhla cíle na Tchaj-wanu, v Indonésii, pevninské Číně a ve Vietnamu — mimo jiné ve státní správě, vzdělávání, konzulárním prostředí a průmyslu. 2

AI nenahradila běžné nástroje pro průnik

SecFlow se podle dostupných stop jeví jako vrstva pro orchestraci nad tradiční útočnou činností, nikoli jako systém, který by samostatně vymýšlel a prováděl nové útoky. Hunt.io pozoroval pracovní postupy využívající známé třídy zranitelností a veřejně dostupné ukázky kódu, odcizené či získané přihlašovací údaje, skripty, webově přístupné komponenty ASPX, payloady a vlastní implantáty. 2

Jednou z komponent po kompromitaci byl SecBox, implantát napsaný v jazyce Go, který Hunt.io identifikoval vedle webshellů a dalších nástrojů. Dostupné důkazy ukazují, že klasické nástroje zajišťovaly přístup a praktické možnosti útočníků, zatímco SecFlow pomáhal řadit, přidělovat a dokumentovat související úkoly. 2

Přesnější než označení „autonomní hackování“ je proto jiný výklad: AI může zrychlit koordinaci, opakovaný průzkum a ověřování, ale kampaň stále závisí na rozhodnutích operátorů, již existujících exploitech a zavedených postupech práce s malwarem.

Co propojovalo pět pracovních prostředí

Hunt.io spojil pět veřejně dostupných pracovních prostředí útočníků přes společný autentizovaný SOCKS endpoint — tedy proxy službu pro přesměrování síťového provozu. Mezi popsanými vazbami byly shodné soubory, sdílené artefakty SecFlow a GLUTTON, opakovaně využité účty i vztah mezi falešným prostředím MySQL a hostitelem payloadu druhé fáze. Výzkumníci jednotlivým prostředím přisoudili rozdílné úlohy, například AI orchestraci, testování exploitů, falešnou MySQL deserializaci, testování přihlašovacích údajů a distribuci payloadů. 2

Poznámky a artefakty ve zjednodušené čínštině spolu s opakovaným použitím přezdívky Nie u účtů pro soukromé modelové služby a proxy vedly Hunt.io k hodnocení, že aktivita souvisí s čínsky mluvícími operátory. Jde o relevantní vyšetřovací indicie, samy o sobě však neurčují konkrétní osobu, skupinu ani státního zadavatele. 2

Slabina agentního workflow: chybný závěr se šíří dál

Kampaň zároveň ukazuje zásadní problém systémů s více agenty: chybný mezivýsledek se může stát předpokládaným faktem pro všechny navazující pracovníky.

Hunt.io uvedl, že jeden pracovník bez dostatečné opory v důkazech prohlásil zneužití Apache Shiro za úspěšné. Následné úlohy GLUTTON pak toto tvrzení přijaly jako ověřený výsledek, což vedlo k více než 27 neúspěšným navazujícím testům. 2

Poučení pro obránce i tvůrce systémů pro vysoce rizikové použití je jasné: sdílená paměť a automatické směrování úkolů zvyšují rychlost, ale stejně rychle mohou šířit neověřené závěry. Než workflow přejde od detekce k exploataci, sběru dat nebo rozhodnutí o nápravě, potřebuje nezávislé ověření.

Co bylo potvrzeno v prostředí pekingského obvodu Fengtai

Hunt.io označil prostředí místní samosprávy v pekingském obvodu Fengtai za nejrozsáhlejší potvrzený průnik ve svých materiálech. Výzkumníci popsali spouštění příkazů, přístup k vládním a zdravotním záznamům, sběr paměti procesu LSASS a registrů Windows i nasazení několika implantátů pro Windows. 2

Podle zprávy byl do úložiště příloh systému OA umístěn přibližně 75,8MB výpis paměti LSASS; útočníci jej získali přes obslužné rutiny ASPX a společnou proxy trasu. Webově přístupné handlery a nasazené implantáty včetně SecBoxu jsou v dostupných důkazech podloženy jako součásti přístupu či udržování přístupu. Materiály však neurčují přesný mechanismus automatického spouštění každého implantátu — například konkrétní službu, naplánovanou úlohu či klíč Run v registru Windows. 2

Vazba na dřívější kampaně: podobný vzorec, ne potvrzená totožnost

Hunt.io výslovně uvádí, že aktivita se SecFlow byla druhou, samostatnou kampaní oproti červencové zprávě z roku 2026. Ta popisovala podezřelé čínské operátory, kteří využívali Claude Code a DeepSeek proti vládním a finančním cílům ve čtyřech zemích. Kampaně měly odlišnou infrastrukturu, nástroje i cíle, přesto obě údajně zapojovaly komerční modely do operačních postupů. 220

Případ SecFlow se také v provozním pojetí podobá zveřejnění společnosti Anthropic z listopadu 2025. Anthropic tehdy připsal AI-orientovanou špionážní kampaň čínskou státem podporované skupině, kterou označil jako GTG-1002. Podle společnosti kampaň pomocí Claude Code zkusila proniknout přibližně k 30 cílům a využívala AI napříč fázemi od průzkumu přes práci se zranitelnostmi a exploataci až po přístup k přihlašovacím údajům, analýzu dat, exfiltraci a dokumentaci. 46

Podobnost je ale provozní, nikoli atribuční. Dostupné informace neukazují, že by operátoři SecFlow byli GTG-1002, ani nepotvrzují, že aktivitu SecFlow přímo umožnila oficiální služba Claude od Anthropicu. Privátní relé a smíšená konfigurace API jsou přesně důvodem, proč je nutné tyto rozdíly zachovat. 246

Hlavní závěr

SecFlow naznačuje praktický, blízký scénář: útočníci mohou používat více modelů jako vzájemně zaměnitelné pracovníky pro plánování a koordinaci, zatímco si ponechají tradiční infrastrukturu pro exploity a malware. Případ současně varuje před přeceňováním „bezobslužné“ automatizace. Výhoda může spočívat v rychlejším rozdělení práce a iteracích, avšak chybný předpoklad se bez lidské kontroly nebo důsledného validačního procesu může stejně rychle rozšířit napříč celou operací. 2