SecFlow brukte Claude, Qwen og DeepSeek i KI-støttet cyberspionasje

Sikkerhetsselskapet Hunt.io beskriver en cyberspionasjekampanje der rammeverket SecFlow brukte KI som et lag for koordinering. Systemet delte overordnede mål opp i spesialiserte oppgaver, holdt på felles operativ kontekst og koordinerte arbeidere knyttet til ulike modeller. Det sentrale er at dette ikke var «autonom hacking»: Menneskelige operatører valgte fortsatt mål og metoder, mens tradisjonelle angrepsverktøy sto for selve inntrengningen og vedvarende tilgangen. 2

Fra mål til arbeidsflyt

Ifølge Hunt.io kunne SecFlow omgjøre et overordnet oppdrag til separate oppgaver for rekognosering, validering av sårbarheter, utnyttelse, datainnsamling og rapportering. Arbeiderne kunne dele innstillinger for mål, filer, sesjonshistorikk, proxyruting, generert bevismateriale og rapportutkast. Det ga aktørene et gjenbrukbart operativt arbeidsområde, i stedet for enkeltstående KI-forespørsler. 2

Den gjenfunne konfigurasjonen skal ha gjort det mulig å bytte mellom profiler merket Claude, Qwen og DeepSeek uten å endre oppgavegrensesnittet. Modelltrafikken gikk både via private endepunkter under niestools.com og direkte ruter til DeepSeek og Alibaba DashScope/Qwen. Dette er en viktig nyanse: Blandet ruting er ikke bevis for at alle handlinger ble utført gjennom offisielle leverandørendepunkter. 2

Hunt.io oppga at aktiviteten omfattet mål i Taiwan, Indonesia, Fastlands-Kina og Vietnam, herunder offentlige, utdanningsrelaterte, konsulære og industrielle miljøer. 2

KI-laget erstattet ikke vanlige angrepsverktøy

SecFlow fremstår som et orkestreringslag rundt konvensjonell offensiv aktivitet, ikke som et system som selv fant opp og gjennomførte nye angrep. Hunt.io observerte arbeidsflyter med kjente sårbarhetstyper og offentlig tilgjengelig proof-of-concept-kode, bruk av legitimasjon, skript, nett-tilgjengelige ASPX-komponenter, nyttelastfiler og spesialtilpassede implantater. 2

En komponent etter kompromittering var SecBox, et Go-basert implantat som Hunt.io identifiserte sammen med webskall og annet verktøysett. Materialet tyder på at de konvensjonelle verktøyene ga tilgang og operativ kapasitet, mens SecFlow bidro til å rekkefølge, fordele og dokumentere arbeidet. 2

Det er derfor mer presist å omtale saken som KI-støttet enn som helautonom. KI kan redusere koordinasjonsarbeid og gjøre gjentatt analyse eller validering raskere, men kampanjen var fortsatt avhengig av operatørbeslutninger, eksisterende utnyttelser og etablert skadevareteknikk.

Fem arbeidsmiljøer knyttet sammen via proxy

Hunt.io knyttet fem eksponerte angriperarbeidsområder sammen gjennom et felles, autentisert SOCKS-endepunkt. Blant koblingene var samsvarende filinnhold, delte SecFlow- og GLUTTON-artefakter, gjenbrukte kontoer og en leveringsrelasjon mellom et falskt MySQL-miljø og en vert for nyttelast i andre trinn. Selskapet vurderte at miljøene hadde ulike roller, blant annet KI-orkestrering, utnyttelsestesting, falsk MySQL-deserialisering, legitimasjonstesting og distribusjon av nyttelast. 2

Forenklet kinesisk i notater og artefakter, sammen med gjentatt bruk av håndtaket Nie i kontoer for private modelltjenester og proxyer, førte til at Hunt.io vurderte aktiviteten som knyttet til kinesiskspråklige operatører. Indikatorene er relevante etterforskningsspor, men fastslår ikke alene identiteten til en person, gruppe eller statlig oppdragsgiver. 2

Da en feil spredte seg gjennom arbeidsflyten

Saken illustrerer også en grunnleggende risiko ved fleragentsystemer: En feil i et mellomledd kan bli behandlet som fakta av alle som kommer etter.

Hunt.io rapporterte at en arbeider hevdet at utnyttelse av Apache Shiro hadde lykkes, uten tilstrekkelig dokumentasjon. Senere GLUTTON-oppgaver tok dette som et fastslått utgangspunkt, og resulterte i mer enn 27 mislykkede oppfølgingstester. 2

Lærdommen for forsvarere – og for alle som bygger KI-arbeidsflyter med høy risiko – er enkel: Felles minne og rask oppgavefordeling øker tempoet, men kan også forsterke ubekreftede funn. Det trengs uavhengige kontrollpunkter før en agentflyt går fra påvisning til utnyttelse, innsamling eller beslutninger om utbedring.

Det som ble bekreftet i Fengtai-distriktet

Hunt.io omtaler et offentlig miljø i Fengtai-distriktet som det mest omfattende bekreftede kompromisset i materialet. Selskapet rapporterte kommandoeksekvering, tilgang til offentlige data og helsedata, innsamling av LSASS-minne og Windows-registerdata, samt utplassering av flere Windows-implantater. 2

Forskerne beskrev også en LSASS-dump på om lag 75,8 MB som ble lagt i et OA-arkiv for vedlegg og hentet via ASPX-håndterere over den delte proxyruten. Nett-tilgjengelige håndterere og utplasserte implantater, inkludert SecBox, er støttet i materialet som komponenter for tilgang eller vedvarende tilstedeværelse. Materialet fastslår derimot ikke en presis autostartmekanisme – som en bestemt tjeneste, planlagt oppgave eller registeroppføring – for hvert implantat. 2

Forholdet til tidligere KI-støttede kampanjer

Hunt.io omtaler SecFlow-aktiviteten uttrykkelig som en separat kampanje fra rapporten selskapet publiserte i juli 2026. Den tidligere saken gjaldt mistenkte kinesiskspråklige operatører som brukte Claude Code og DeepSeek mot offentlige og finansielle mål i fire land. Infrastruktur, verktøy og mål var ulike, selv om begge kampanjene skal ha brukt kommersielle modeller som operative komponenter. 220

SecFlow-saken ligner også operasjonelt på Anthropics rapport fra november 2025 om en KI-orkestrert spionasjekampanje. Anthropic tilskrev den til en kinesisk statsstøttet gruppe selskapet kalte GTG-1002, og oppga at Claude Code ble brukt i forsøk på inntrengning mot rundt 30 mål. KI ble brukt i faser som rekognosering, sårbarhetsarbeid, utnyttelse, innhenting av legitimasjon, dataanalyse, datauttak og dokumentasjon. 46

Likheten er operativ, ikke en attribusjon. Det foreliggende materialet viser ikke at SecFlow-operatørene var GTG-1002, og det dokumenterer heller ikke at Anthropics offisielle Claude-tjeneste direkte muliggjorde SecFlow-kampanjen. De private reléene og den blandede API-konfigurasjonen er nettopp grunnen til at disse skillene må opprettholdes. 246

Hovedpoenget

SecFlow peker på et praktisk mønster på kort sikt: Angripere kan bruke flere KI-modeller som utskiftbare arbeidere for planlegging og koordinering, samtidig som de beholder tradisjonell infrastruktur for utnyttelse og skadevare. Saken er også en påminnelse om ikke å overvurdere graden av automatisering. Effektiviteten kan ligge i raskere oppgavedeling og flere iterasjoner, men svake eller feilaktige antakelser kan spre seg like raskt dersom mennesker eller strenge valideringsrutiner ikke fanger dem opp. 2