SecFlow samordnade AI-modeller i cyberespionage – men människor styrde angreppen

Hunt.io beskriver en spionageoperation där AI användes som ett lager för planering och samordning – inte som en helt självständig angripare. Ramverket SecFlow delade upp övergripande mål i mindre uppgifter, höll ihop gemensam operativ kontext och fördelade arbete till modellstödda arbetare. Mänskliga operatörer valde fortfarande mål och angreppsmetoder, medan välkända intrångsverktyg stod för exploatering, åtkomst och uthållighet i miljöerna. 2

SecFlow gjorde kampanjen mer samordnad

Enligt Hunt.io kunde SecFlow bryta ned ett mål till separata uppgifter för rekognosering, validering av sårbarheter, exploatering, datainsamling och rapportering. Arbetarna kunde dela målkonfiguration, filer, sessionshistorik, proxyrutter, insamlad bevisning och rapportutkast. Det skapade en återanvändbar operativ arbetsyta i stället för enskilda, fristående AI-frågor. 2

I den återställda konfigurationen kunde operatörerna växla mellan profiler märkta Claude, Qwen och DeepSeek utan att ändra uppgiftsgränssnittet. Trafiken gick dels via privata ändpunkter i domänrymden niestools.com, dels direkt till tjänster från DeepSeek och Alibaba DashScope/Qwen. Den blandade routningen är viktig: den är inte belägg för att varje åtgärd genomfördes via en officiell leverantörsendpunkt. 2

Hunt.io uppgav att verksamheten omfattade mål i Taiwan, Indonesien, Fastlandskina och Vietnam, bland annat inom offentlig sektor, utbildning, konsulär verksamhet och industri. 2

AI ersatte inte vanliga intrångsverktyg

SecFlow framstår som ett samordningslager runt traditionell offensiv verksamhet, inte som ett system som självt uppfann och genomförde nya angrepp. Hunt.io observerade arbetsflöden med välkända sårbarhetsklasser och offentligt tillgängliga proof-of-concept-exempel, inloggningsuppgifter, skript, webbtillgängliga ASPX-komponenter, payloads och specialbyggda implantat. 2

En komponent efter intrånget var SecBox, ett Go-baserat implantat som Hunt.io identifierade tillsammans med webshells och annan verktygning. Underlaget tyder på att dessa konventionella verktyg gav angriparna faktisk åtkomst och kapacitet, medan SecFlow hjälpte till att ordna arbetsordning, fördela uppgifter och dokumentera resultat. 2

Det är därför mer träffsäkert att beskriva fallet som AI-stött intrångsarbete än som ”autonom hackning”. AI kan minska samordningskostnader och snabba på upprepade analyser och kontroller, men kampanjen var fortfarande beroende av operatörsbeslut, kända exploateringar och etablerad skadlig kod.

Delad proxy knöt samman fem arbetsmiljöer

Hunt.io kopplade ihop fem exponerade arbetsmiljöer genom en gemensam autentiserad SOCKS-ändpunkt, alltså en proxy som kan förmedla nätverkstrafik. Bland de rapporterade kopplingarna fanns matchande filinnehåll, gemensamma SecFlow- och GLUTTON-artefakter, återanvända konton och ett leveranssamband mellan en falsk MySQL-miljö och en värd för payloads i ett senare angreppssteg. Företaget bedömde att miljöerna hade olika roller, exempelvis AI-samordning, exploateringstester, falsk MySQL-deserialisering, testning av inloggningsuppgifter och distribution av payloads. 2

Förenklat kinesiska anteckningar och artefakter, samt återkommande användning av namnet Nie i konton för privata modelltjänster och proxyservrar, fick Hunt.io att bedöma att aktiviteten var kopplad till kinesisktalande operatörer. Sådana indikatorer är relevanta utredningsspår, men fastställer inte på egen hand en viss person, grupp eller statlig uppdragsgivare. 2

Ett felaktigt Shiro-resultat spreds i arbetsflödet

Kampanjen visar också en central risk med system där flera AI-agenter delar minne och uppgifter: ett felaktigt delresultat kan snabbt bli en förutsättning för efterföljande arbete.

Hunt.io rapporterade att en arbetare hävdade att exploatering av Apache Shiro hade lyckats, utan tillräckligt stöd. Senare GLUTTON-uppgifter behandlade påståendet som bekräftat, vilket gav upphov till fler än 27 misslyckade uppföljande tester. 2

Lärdomen för försvarare – och för organisationer som bygger agentbaserade arbetsflöden med höga insatser – är tydlig: uppgiftsfördelning och delat minne kan göra ett system snabbare, men de kan också förstärka obekräftade slutsatser. Oberoende kontrollpunkter behövs innan ett arbetsflöde går från upptäckt till exploatering, insamling eller åtgärdsbeslut.

Vad som bekräftades i Fengtai-distriktet

Hunt.io beskrev en myndighetsmiljö i Fengtai-distriktet som det mest omfattande bekräftade intrånget i materialet. Enligt rapporten fanns kommandokörning, åtkomst till myndighets- och hälsodata, insamling av LSASS-minne och Windows-registerfiler samt utplacering av flera Windows-implantat. 2

Forskarna beskrev också en LSASS-dump på ungefär 75,8 MB som lagrades i ett arkiv för bilagor i ett OA-system och hämtades via ASPX-hanterare över den delade proxyrutten. Webbtillgängliga hanterare och utplacerade implantat, inklusive SecBox, stöds i materialet som komponenter för åtkomst eller uthållighet. Däremot fastställer rapporten inte någon exakt automatiserad startmekanism – exempelvis en specifik tjänst, schemalagd aktivitet eller register-Run-nyckel – för varje implantat. 2

Kopplingen till tidigare AI-stödda kampanjer

Hunt.io beskrev uttryckligen SecFlow-aktiviteten som en andra, separat kampanj från bolagets rapport i juli 2026 om misstänkta kinesiska operatörer som använde Claude Code och DeepSeek mot myndighets- och finansmål i fyra länder. Kampanjerna hade olika infrastruktur, verktyg och mål, även om båda enligt rapporterna använde kommersiella modeller som operativa komponenter. 220

Fallet påminner också om Anthropics redogörelse från november 2025 för en AI-orkestrerad spionagekampanj som företaget tillskrev en kinesisk statsstödd grupp med beteckningen GTG-1002. Anthropic uppgav att kampanjen använde Claude Code för försök till intrång mot omkring 30 mål och använde AI i bland annat rekognosering, sårbarhetsarbete, exploatering, åtkomst till inloggningsuppgifter, dataanalys, exfiltrering och dokumentation. 46

Likheten är operativ, inte en attribuering. Tillgänglig rapportering visar inte att SecFlow-operatörerna var GTG-1002 och fastställer inte heller att Anthropics officiella Claude-tjänst direkt möjliggjorde SecFlow-aktiviteten. De privata reläerna och den blandade API-konfigurationen är just skälet till att dessa skillnader måste hållas isär. 246

Slutsatsen: snabbare samordning, men också snabbare fel

SecFlow pekar på ett praktiskt mönster på kort sikt: angripare kan använda flera modeller som utbytbara arbetare för planering och samordning, samtidigt som de behåller traditionell infrastruktur för exploatering och skadlig kod. Fallet visar samtidigt varför AI-stödda kampanjer inte bör överdrivas som helt obemannad automatisering. Vinsten kan ligga i snabbare uppdelning av arbete och fler iterationer – men också i att svaga antaganden sprids snabbt om ingen människa eller strikt valideringsprocess fångar upp dem. 2