SecFlow : des agents IA pour coordonner une campagne de cyberespionnage, sans la rendre autonome

Les éléments publiés par Hunt.io décrivent une opération d’espionnage assistée par IA, et non un piratage entièrement autonome. Le cadre SecFlow aurait transformé un objectif général en tâches spécialisées, maintenu un contexte partagé et coordonné des « travailleurs » associés à des modèles. Les opérateurs humains, eux, continuaient de choisir les cibles, les méthodes et les outils ; les intrusions reposaient toujours sur des techniques offensives classiques. 2

Le rôle de SecFlow : organiser et enchaîner les tâches

D’après Hunt.io, SecFlow pouvait répartir un objectif entre des étapes de reconnaissance, de validation de vulnérabilités, d’exploitation, de collecte et de production de rapports. Les travailleurs partageaient les paramètres des cibles, des fichiers, l’historique des sessions, le routage par proxy, les éléments de preuve générés et les livrables. Autrement dit, il s’agissait d’un espace de travail opérationnel persistant plutôt que d’une simple succession de requêtes isolées à un modèle. 2

La configuration récupérée permettait apparemment de basculer entre des profils étiquetés Claude, Qwen et DeepSeek sans modifier l’interface de tâche. Le trafic associé aux modèles passait à la fois par des points d’accès privés du domaine niestools.com et par des routes directes vers DeepSeek et Alibaba DashScope/Qwen. Cette architecture hybride est importante : elle ne prouve pas que chaque action transitait par un point d’accès officiel d’un fournisseur. 2

Hunt.io indique que les activités observées visaient des environnements gouvernementaux, éducatifs, consulaires et industriels à Taïwan, en Indonésie, en Chine continentale et au Vietnam. 2

L’IA n’a pas remplacé les outils d’intrusion traditionnels

SecFlow semble avoir servi de couche d’orchestration autour d’activités offensives conventionnelles, plutôt que de système inventant et exécutant seul de nouvelles attaques. Hunt.io a relevé des flux de travail s’appuyant sur des classes de vulnérabilités connues, des preuves de concept publiques, des identifiants, des scripts, des composants ASPX accessibles sur le Web, des charges utiles et des implants personnalisés. 2

Parmi les composants utilisés après compromission figure SecBox, un implant en Go identifié aux côtés de webshells et d’autres outils. Selon les éléments rapportés, ces outils classiques fournissaient l’accès et les capacités opérationnelles ; SecFlow aidait surtout à séquencer, attribuer et documenter les tâches qui les entouraient. 2

C’est une lecture plus précise que celle du « piratage autonome » : l’IA peut réduire les coûts de coordination et accélérer la recherche ou la validation répétitive, tout en laissant une campagne dépendante des décisions humaines, d’exploits existants et de savoir-faire malveillants éprouvés.

Cinq espaces de travail reliés, mais une attribution à nuancer

Hunt.io a relié cinq espaces de travail exposés à un même point d’accès SOCKS authentifié. Les liens mentionnés comprennent des contenus de fichiers identiques, des artefacts SecFlow et GLUTTON partagés, des comptes réutilisés, ainsi qu’une relation de livraison entre un environnement de faux serveur MySQL et un hôte de charge utile de second étage. L’entreprise estime que ces environnements remplissaient des rôles distincts : orchestration par IA, tests d’exploitation, désérialisation via faux MySQL, tests d’identifiants et diffusion de charges utiles. 2

Des notes et artefacts en chinois simplifié, ainsi que l’usage récurrent du pseudonyme Nie dans des comptes de services de modèles privés et de proxy, ont conduit Hunt.io à estimer que l’activité était liée à des opérateurs sinophones. Ces indices constituent des pistes d’enquête significatives, mais ils ne suffisent pas à identifier une personne, un groupe précis ou un commanditaire étatique. 2

Une erreur Apache Shiro propagée à toute la chaîne

L’affaire souligne un risque central des systèmes multi-agents : une mauvaise conclusion intermédiaire peut être traitée comme un fait par tous les travailleurs en aval.

Hunt.io rapporte qu’un agent a affirmé, sans éléments suffisants, que l’exploitation d’Apache Shiro avait réussi. Des tâches GLUTTON ultérieures ont pris cette affirmation pour acquise, ce qui a conduit à plus de 27 tests de suivi infructueux. 2

Pour les défenseurs comme pour les concepteurs de flux agentiques à fort enjeu, la leçon est claire : le routage des tâches et la mémoire partagée accélèrent le système, mais ils amplifient aussi les conclusions non vérifiées. Des contrôles de confirmation indépendants sont nécessaires avant de faire évoluer un processus de la détection vers l’exploitation, la collecte ou une décision de remédiation.

Ce qui a été confirmé dans le cas du district de Fengtai

Hunt.io présente un environnement gouvernemental du district de Fengtai comme le compromis le plus étendu confirmé dans son corpus. Les chercheurs y rapportent l’exécution de commandes, l’accès à des données gouvernementales et de santé, la collecte de mémoire LSASS et de ruches du registre Windows, ainsi que le déploiement de plusieurs implants Windows. 2

Ils décrivent également un dump LSASS d’environ 75,8 Mo, placé dans un dépôt de pièces jointes d’un système de bureautique puis récupéré via des gestionnaires ASPX en empruntant la route proxy partagée. Les gestionnaires accessibles sur le Web et les implants déployés, dont SecBox, sont étayés comme composants liés à l’accès ou à la persistance. En revanche, les éléments disponibles ne permettent pas d’établir le mécanisme exact de démarrage automatique — service, tâche planifiée ou clé de registre Run — pour chaque implant. 2

Le lien avec les précédentes campagnes impliquant l’IA

Hunt.io décrit explicitement cette activité SecFlow comme une deuxième campagne, distincte de celle documentée en juillet 2026. Cette précédente enquête portait sur des opérateurs présumés chinois utilisant Claude Code et DeepSeek contre des cibles gouvernementales et financières dans quatre pays. Les infrastructures, les outils et les cibles différaient, même si les deux cas reposaient, selon le rapport, sur l’emploi de modèles commerciaux comme composants opérationnels. 220

Le cas SecFlow rappelle aussi la divulgation d’Anthropic de novembre 2025 concernant une campagne d’espionnage orchestrée par IA, attribuée par Anthropic à un groupe soutenu par l’État chinois qu’elle désigne sous le nom de GTG-1002. Anthropic avait déclaré que cette campagne avait tenté d’infiltrer une trentaine de cibles et employé Claude Code à diverses étapes : reconnaissance, travail sur les vulnérabilités, exploitation, accès aux identifiants, analyse de données, exfiltration et documentation. 46

La ressemblance est opérationnelle, non attributionnelle. Les informations disponibles ne démontrent pas que les opérateurs de SecFlow étaient GTG-1002, ni que le service officiel Claude d’Anthropic a directement permis cette activité. L’existence de relais privés et d’une configuration mêlant plusieurs routes d’API impose précisément de préserver cette distinction. 246

À retenir

SecFlow illustre un schéma probablement appelé à se développer : des attaquants peuvent employer plusieurs modèles interchangeables pour planifier et coordonner leurs opérations, tout en conservant des infrastructures d’exploitation et de malwares traditionnelles. Mais le dossier montre aussi les limites de l’automatisation agentique : la rapidité de décomposition et d’itération des tâches peut devenir un handicap lorsqu’une hypothèse erronée se propage sans validation rigoureuse. 2