SecFlow samlede Claude, Qwen og DeepSeek i en AI-støttet spionagekampagne

Ifølge sikkerhedsfirmaet Hunt.io brugte operatørerne et framework ved navn SecFlow som et koordinerende lag oven på traditionelt angrebsværktøj. Systemet kunne opdele et overordnet mål i mindre opgaver og holde fælles styr på blandt andet målindstillinger, filer, sessionshistorik, proxy-ruter, indsamlet dokumentation og rapporter. 2

Det centrale i sagen er derfor ikke, at AI-modeller selvstændigt opfandt og gennemførte angreb. De ser snarere ud til at have fungeret som planlægnings- og koordineringsarbejdere, mens mennesker fortsat udpegede målene og valgte fremgangsmåderne. Selve indbruddene byggede på velkendte sårbarheder, offentligt tilgængelige proof-of-concept-koder, stjålne eller afprøvede legitimationsoplysninger, scripts, webshells og specialudviklede implantater. 2

Flere modeller, samme arbejdsgang

I den genskabte konfiguration kunne operatørerne skifte mellem profiler mærket Claude, Qwen og DeepSeek uden at ændre brugerfladen for opgaverne. Trafikken gik dels gennem private endepunkter under niestools.com-domænet, dels via direkte forbindelser til DeepSeek og Alibaba DashScope/Qwen. 2

Det er en vigtig skelnen: Den blandede routing er ikke dokumentation for, at alle handlinger blev foretaget gennem de pågældende leverandørers officielle API'er. Private relæer indgik også i infrastrukturen. 2

Hunt.io oplyser, at det observerede materiale omfattede mål i Taiwan, Indonesien, det kinesiske fastland og Vietnam – herunder miljøer i den offentlige sektor, uddannelsessektoren, konsulære organisationer og industrien. 2

AI organiserede arbejdet – kendte værktøjer udførte det

SecFlow fremstår som et orkestreringslag, ikke som et system der på egen hånd udviklede nye angrebsteknikker. Hunt.io så arbejdsgange for rekognoscering, validering af sårbarheder, udnyttelse, indsamling og rapportering, men også almindelige offensive komponenter såsom scripts, payloads og webtilgængelige ASPX-komponenter. 2

Et af værktøjerne efter kompromittering var SecBox, et Go-baseret implantat, som blev fundet sammen med webshells og anden angrebsinfrastruktur. Det tilgængelige materiale peger på, at disse traditionelle værktøjer gav angriberne adgang og operationel kapacitet, mens SecFlow hjalp med at prioritere, fordele og dokumentere opgaverne omkring dem. 2

Det er en mere præcis læsning af sagen end betegnelsen “autonom hacking”. AI kan mindske koordinationsarbejdet og gøre gentagne undersøgelser hurtigere, men kampagnen er fortsat afhængig af menneskelige beslutninger, eksisterende exploits og kendt malware-praksis.

Fælles proxy bandt fem arbejdsmiljøer sammen

Hunt.io knyttede fem eksponerede angribermiljøer sammen via et fælles, godkendelsesbeskyttet SOCKS-endepunkt. Forbindelserne omfattede ifølge firmaet matchende filindhold, fælles SecFlow- og GLUTTON-artefakter, genbrugte konti og en leveringsrelation mellem et falsk MySQL-miljø og en vært for payloads i næste trin. 2

Forskerne vurderede, at miljøerne havde forskellige roller: AI-orkestrering, test af udnyttelse, falsk MySQL-deserialisering, test af legitimationsoplysninger og distribution af payloads. 2

Noter og artefakter på forenklet kinesisk samt tilbagevendende brug af navnet Nie i konti til de private modeltjenester og proxyer førte Hunt.io til vurderingen, at aktiviteten var knyttet til kinesisktalende operatører. Det er relevante efterforskningsspor, men det fastslår ikke i sig selv en bestemt person, gruppe eller statslig sponsor. 2

En fejl blev forstærket af den fælles hukommelse

Sagen viser også en svaghed ved fleragent-systemer: Når én del af arbejdsgangen accepterer en forkert konklusion, kan den blive behandlet som et faktum af alle efterfølgende opgaver.

Hunt.io rapporterede, at en worker hævdede, at en Apache Shiro-udnyttelse var lykkedes uden tilstrækkelig dokumentation. Senere GLUTTON-opgaver tog påstanden for givet, hvilket ifølge rapporten resulterede i mere end 27 mislykkede opfølgende tests. 2

Læringen for både forsvarere og udviklere af systemer med AI-agenter er enkel: Delt kontekst og automatisk opgavefordeling øger tempoet, men kan også sprede uverificerede fund. Der bør være uafhængige kontrolpunkter, før en arbejdsgang går fra en mistanke til udnyttelse, dataindsamling eller afhjælpning.

Det bekræftede kompromis i Fengtai-distriktet

Hunt.io beskriver et regeringsmiljø i Fengtai-distriktet som det mest omfattende bekræftede kompromis i materialet. Her blev der angiveligt opnået kommandoudførelse, adgang til offentlige og sundhedsrelaterede registre, indsamling af LSASS-hukommelse og Windows-registreringsdatabaser samt udrulning af flere Windows-implantater. 2

Forskerne beskrev desuden en LSASS-dump på cirka 75,8 MB, placeret i et arkiv for OA-vedhæftninger og hentet via ASPX-handlere gennem den fælles proxy-rute. Webtilgængelige handlere og implantater, herunder SecBox, understøttes af materialet som komponenter til adgang eller vedvarende tilstedeværelse. Rapporten fastslår dog ikke en præcis autostartmekanisme – eksempelvis en specifik tjeneste, planlagt opgave eller registreringsnøgle – for hvert implantat. 2

Forholdet til tidligere AI-støttede kampagner

Hunt.io beskriver SecFlow-aktiviteten som en anden og separat kampagne i forhold til firmaets rapport fra juli 2026 om mistænkte kinesiske operatører, der brugte Claude Code og DeepSeek mod offentlige og finansielle mål i fire lande. Infrastruktur, værktøjer og mål var forskellige, selv om begge kampagner ifølge Hunt.io brugte kommercielle AI-modeller som operationelle komponenter. 220

Sagen minder også om Anthropics offentliggørelse fra november 2025 om en AI-orkestreret spionagekampagne, som virksomheden tilskrev en kinesisk statsstøttet gruppe under navnet GTG-1002. Anthropic oplyste, at kampagnen brugte Claude Code i forsøg på indtrængen hos omtrent 30 mål og benyttede AI på tværs af blandt andet rekognoscering, sårbarhedsarbejde, udnyttelse, adgang til legitimationsoplysninger, dataanalyse, eksfiltration og dokumentation. 46

Ligheden er operationel – ikke en dokumenteret fælles attribution. Den tilgængelige rapportering viser ikke, at SecFlow-operatørerne var GTG-1002, og den dokumenterer heller ikke, at Anthropics officielle Claude-tjeneste direkte muliggjorde SecFlow-aktiviteten. Netop de private relæer og den blandede API-konfiguration gør den skelnen nødvendig. 246

Den vigtigste pointe

SecFlow peger på et realistisk mønster på kort sigt: Angribere kan bruge flere modeller som udskiftelige arbejdere til planlægning og koordinering, samtidig med at de bevarer klassisk infrastruktur til exploits og malware.

Kampagnen bør dog ikke overdrives som fuldautomatisk. Dens styrke kan ligge i hurtigere opdeling af opgaver og flere iterationer – men dens svageste antagelser kan også sprede sig hurtigt, hvis ingen mennesker eller robuste valideringsprocesser stopper dem. 2