SecFlowが示したAI支援型サイバー諜報の実態

Hunt.ioの報告で明らかになったSecFlowは、AIが単独で侵入を完遂する「自律型ハッキング」の事例というより、攻撃作戦の段取り、分担、記録を効率化するオーケストレーション層として捉えるのが適切です。人間のオペレーターが標的と手法を選び、既知のエクスプロイト、認証情報、スクリプト、Webシェル、マルウェアが実際の侵入・維持を担ったと報告されています。2

SecFlowはAIをどう使ったのか

報告によると、SecFlowは大まかな作戦目標を、偵察、脆弱性の検証、悪用、情報収集、報告作成といった個別タスクに分解できました。各作業者は、標的設定、ファイル、セッション履歴、プロキシ経路、生成済みの証拠、レポート出力を共有可能でした。単発のプロンプトを並べるのではなく、再利用できる共通の作戦環境を構成していた点が特徴です。2

復元された設定では、タスク画面を変えずにClaude、Qwen、DeepSeekと表示されたプロファイルを切り替えられたとされます。モデル向け通信には、niestools.com 名前空間のプライベートエンドポイントのほか、DeepSeekおよびAlibaba DashScope/Qwenのサービスへの直接経路も含まれていました。この混在は、すべての処理が各社の公式エンドポイント経由だったことを意味しない点で重要です。2

Hunt.ioは、台湾、インドネシア、中国本土、ベトナムの標的を確認したとし、政府、教育、領事、産業関連の環境が含まれていたと報告しています。2

AIは侵入ツールを置き換えたわけではない

SecFlowは、攻撃を自力で新規に考案・実行する仕組みというより、従来型の攻撃活動を取りまとめる層だったとみられます。Hunt.ioが観測したワークフローには、既知の脆弱性クラスや公開済みPoC（概念実証コード）、認証情報の利用、スクリプト、Web経由で操作できるASPXコンポーネント、ペイロード、カスタムのインプラントが含まれていました。2

侵害後の構成要素の一つとして、Goで作られたインプラント「SecBox」も確認されています。Webシェルなどと併せて発見され、従来型ツール群がアクセスと作戦実行能力を提供し、SecFlowがその周辺の手順化、割り当て、文書化を支援したという構図です。2

つまり、AI支援型の作戦で効率化されるのは、タスク分解や反復的な調査・検証の部分です。一方で作戦は依然として、オペレーターの判断、既存のエクスプロイト、確立されたマルウェア運用に依存していました。

5つの作業環境を結んだインフラと、帰属の限界

Hunt.ioは、認証付きの共通SOCKSエンドポイントを手掛かりに、露出していた5つの攻撃者用ワークスペースを関連付けました。ファイル内容の一致、SecFlowおよびGLUTTONのアーティファクト、アカウントの再利用、偽MySQL環境と第2段階ペイロード配布ホストの配信上のつながりが報告されています。各環境は、AIオーケストレーション、悪用テスト、偽MySQLを利用したデシリアライゼーション、認証情報テスト、ペイロード配布など、異なる役割を持つと評価されました。2

簡体字中国語のメモやアーティファクトに加え、プライベートなモデルサービスとプロキシ用アカウントで「Nie」というハンドルが繰り返し使われていたことから、Hunt.ioは中国語話者のオペレーターとの関連を評価しています。ただし、これらは調査上の有力な手掛かりではあっても、特定の個人・集団・政府機関を単独で断定する根拠ではありません。2

Apache Shiroの誤判定が示す、エージェント連携の弱点

この作戦は、マルチエージェント型システムにおける重要なリスクも浮き彫りにしました。中間段階の誤った結論が、後続の作業者全員にとっての前提事実になり得ることです。

Hunt.ioによれば、ある作業者がApache Shiroの悪用に成功したと主張したものの、十分な裏付けがありませんでした。その後のGLUTTON関連タスクでは、この主張が事実として扱われ、27件を超えるフォローアップテストが失敗したとされます。2

防御側、そして高リスクなエージェント型ワークフローを設計する側にとっての教訓は明確です。タスクの自動振り分けと共有メモリは速度を上げる一方、未検証の判断も速く増幅します。検知から悪用、情報収集、修復判断へ進む前に、独立した確認手順を設ける必要があります。

豊台区の政府環境で確認された侵害

Hunt.ioは、中国・北京市豊台区の政府環境を、同社が確認した範囲で最も広範な侵害事例と位置付けています。コマンド実行、政府・医療記録へのアクセス、LSASSメモリとWindowsレジストリハイブの収集、複数のWindowsインプラントの配置が報告されました。2

また、約75.8MBのLSASSダンプがOA（オフィスオートメーション）添付ファイル用リポジトリに置かれ、共有プロキシ経路を介してASPXハンドラーから取得されたとされています。Webから到達可能なハンドラーと、SecBoxを含む配置済みインプラントは、アクセスまたは永続化に関係する要素として裏付けられています。ただし、個々のインプラントについて、特定のサービス、タスクスケジューラ、レジストリのRunキーといった正確な自動起動機構までは、報告資料から確定できません。2

先行するAI利用キャンペーンとの関係

Hunt.ioはSecFlowの活動を、2026年7月に報告した別のキャンペーンとは異なる、2件目の作戦だと明示しています。7月の報告では、政府・金融分野の標的に対し、Claude CodeとDeepSeekが使われた疑いがあるとされました。両者はインフラ、ツール、標的が異なる一方、商用AIモデルを作戦の構成要素として利用する点は共通します。220

また、SecFlowの事例は、Anthropicが2025年11月に公表したAIオーケストレーション型サイバー諜報活動とも、運用面で似ています。Anthropicは、中国国家支援のグループと高い確信度で評価した「GTG-1002」が、約30の標的への侵入を試みるためClaude Codeを使い、偵察、脆弱性作業、悪用、認証情報アクセス、データ分析、持ち出し、文書化までAIを利用したと説明しました。46

ただし、類似しているのは運用パターンであり、帰属ではありません。入手可能な報告からは、SecFlowのオペレーターがGTG-1002だったとは示されておらず、Anthropicの公式ClaudeサービスがSecFlow活動を直接支えたことも確認されていません。プライベートリレーと混在するAPI設定が報告されているからこそ、この区別は維持すべきです。246

注目すべきポイント

SecFlowが示すのは、攻撃者が複数のモデルを交換可能な「計画・調整役」として使いつつ、従来のエクスプロイト基盤やマルウェア基盤を保持する、現実的な近未来の運用パターンです。

AI支援の作戦を、完全な無人自動化として過大評価すべきではありません。効果の中心は、タスク分解と試行錯誤の高速化にあります。同時に、誤った前提が共有されれば、その誤りもまた高速に広がります。人間による確認、または厳格な検証プロセスが不可欠です。2