SecFlow zette Claude, Qwen en DeepSeek in voor AI-gestuurde cyberspionage

Volgens onderzoek van Hunt.io draaide de campagne rond SecFlow, een framework dat een breed spionagedoel kon opsplitsen in kleinere taken voor gespecialiseerde AI-workers. Die workers konden onder meer verkenning, validatie van kwetsbaarheden, exploitatie, dataverzameling en rapportage afhandelen. De AI-laag coördineerde het werk, maar verving de aanvallers niet: menselijke operators kozen nog altijd de doelwitten en aanvalsmethoden, terwijl bekende offensieve tools voor toegang en persistentie zorgden. 2

Een gedeelde werkruimte voor meerdere modellen

SecFlow hield gedeelde operationele context bij, waaronder instellingen van doelwitten, bestanden, sessiegeschiedenis, proxy-routes, verzameld bewijs en rapportuitvoer. Daardoor werkten de afzonderlijke AI-workers niet met losse prompts, maar vanuit een herbruikbare gedeelde omgeving. 2

In de teruggevonden configuratie konden operators wisselen tussen profielen met de labels Claude, Qwen en DeepSeek zonder de taakinterface aan te passen. Het modelverkeer liep deels via private endpoints onder het domein niestools.com en deels rechtstreeks naar diensten van DeepSeek en Alibaba DashScope/Qwen. Dat gemengde verkeer is een belangrijk voorbehoud: het bewijst niet dat elke handeling via een officiële endpoint van een modelaanbieder liep. 2

Hunt.io meldde doelwitten in Taiwan, Indonesië, China en Vietnam, waaronder omgevingen bij overheden, onderwijsinstellingen, consulaten en industriële organisaties. 2

Geen autonome inbraakmachine

De meest nauwkeurige omschrijving is niet dat SecFlow zelfstandig nieuwe aanvallen bedacht en uitvoerde. Het framework fungeerde vooral als orkestratielaag rond bestaande aanvalstechnieken. Onderzoekers zagen workflows met bekende kwetsbaarheidsklassen, publiek beschikbare proof-of-conceptcode, gestolen of geteste inloggegevens, scripts, via het web bereikbare ASPX-componenten, payloads en eigen implants. 2

Een daarvan was SecBox, een implant in Go dat Hunt.io aantrof naast webshells en andere tooling. De beschikbare aanwijzingen wijzen erop dat zulke traditionele middelen de feitelijke toegang en operationele mogelijkheden boden; SecFlow hielp vooral om taken te plannen, toe te wijzen en te documenteren. 2

Dat onderscheid is essentieel. AI kan het coördineren van herhaald onderzoek en validatie versnellen, maar een campagne kan tegelijk afhankelijk blijven van menselijke keuzes, bestaande exploits en gevestigde malwaretechnieken.

Vijf werkruimtes gekoppeld via één proxy

Hunt.io koppelde vijf blootgestelde aanvallersomgevingen aan elkaar via een gedeeld, geauthenticeerd SOCKS-proxyendpoint. De onderzoekers noemden onder meer overeenkomende bestandsinhoud, gedeelde SecFlow- en GLUTTON-artifacten, hergebruikte accounts en een relatie tussen een nep-MySQL-omgeving en een host voor een tweede payloadfase. De omgevingen hadden volgens de analyse verschillende rollen, zoals AI-orkestratie, exploit-tests, nep-MySQL-deserialisatie, credentialtesting en payloadverspreiding. 2

Notities en artefacten in vereenvoudigd Chinees, samen met terugkerend gebruik van de naam Nie in accounts voor private modeldiensten en proxy's, brachten Hunt.io tot de beoordeling dat de activiteit verband hield met Chineestalige operators. Dat zijn relevante onderzoeksindicatoren, maar ze identificeren op zichzelf geen specifieke persoon, groep of overheidsopdrachtgever. 2

Eén fout werd tientallen keren herhaald

De campagne legt ook een fundamenteel probleem bloot bij systemen met meerdere AI-agents: een onjuiste tussenconclusie kan zich snel door de hele workflow verspreiden.

Volgens Hunt.io beweerde een worker zonder voldoende bewijs dat exploitatie van Apache Shiro was geslaagd. Latere GLUTTON-opdrachten namen die claim vervolgens als vaststaand feit over. Het resultaat was meer dan 27 mislukte vervolgtests. 2

De les voor verdedigers én ontwikkelaars van agentische workflows is duidelijk: gedeeld geheugen en geautomatiseerde taakroutering maken processen sneller, maar kunnen onbevestigde bevindingen ook opschalen. Onafhankelijke controlepunten zijn nodig voordat een systeem van detectie doorgaat naar exploitatie, dataverzameling of herstelbeslissingen.

Wat in Fengtai daadwerkelijk is bevestigd

Een overheidsomgeving in het district Fengtai was volgens Hunt.io de omvangrijkste bevestigde inbraak in het onderzochte materiaal. De aanvallers zouden commando's hebben uitgevoerd, toegang hebben gehad tot overheids- en gezondheidsgegevens, LSASS-geheugen en Windows-registerhives hebben verzameld en meerdere Windows-implants hebben geplaatst. 2

De onderzoekers beschreven ook een LSASS-dump van circa 75,8 MB die in een repository voor OA-bijlagen was geplaatst en via ASPX-handlers over de gedeelde proxyroute werd opgehaald. Webtoegankelijke handlers en geplaatste implants, waaronder SecBox, worden door het beschikbare bewijs ondersteund als componenten voor toegang of persistentie. Het materiaal stelt echter niet vast welk exact automatisch startmechanisme — bijvoorbeeld een specifieke service, geplande taak of registerwaarde — voor iedere implant werd gebruikt. 2

Verband met eerdere AI-gestuurde campagnes

Hunt.io omschreef SecFlow nadrukkelijk als een tweede, afzonderlijke campagne naast zijn rapport uit juli 2026. Die eerdere campagne betrof vermoedelijke Chinese operators die Claude Code en DeepSeek gebruikten tegen overheids- en financiële doelwitten in vier landen. Infrastructuur, tooling en doelwitten verschilden, al hadden beide zaken volgens de onderzoekers hetzelfde bredere patroon: commerciële modellen als operationeel onderdeel van een aanvalscampagne. 220

De werkwijze vertoont ook overeenkomsten met Anthropic's publicatie uit november 2025 over een AI-georkestreerde spionagecampagne. Anthropic schreef die activiteit toe aan een Chinese, door de staat gesteunde groep die het GTG-1002 noemde. Volgens Anthropic werd Claude Code ingezet bij pogingen om ongeveer dertig doelwitten binnen te dringen, in fases van verkenning en kwetsbaarhedenonderzoek tot exploitatie, toegang tot inloggegevens, data-analyse, exfiltratie en documentatie. 46

Die overeenkomst is operationeel, niet attributief. De beschikbare rapportage toont niet aan dat de SecFlow-operators GTG-1002 waren. Evenmin bewijst zij dat Anthropic's officiële Claude-dienst rechtstreeks bij de SecFlow-activiteit betrokken was. Juist de private relays en gemengde API-configuratie maken dat onderscheid noodzakelijk. 246

De bredere conclusie

SecFlow wijst op een praktisch patroon dat waarschijnlijk belangrijker wordt: aanvallers kunnen meerdere AI-modellen als onderling uitwisselbare planners en coördinatoren inzetten, terwijl zij klassieke exploitatie-infrastructuur en malware behouden. Tegelijk is dit geen bewijs voor volledig onbemande hacking. De kracht zit vooral in snellere taakverdeling en iteratie — en de zwakte in het feit dat een slechte aanname zich net zo snel door het systeem kan verspreiden als een juiste.