Hunt.io披露的这起行动，值得关注之处不在于“AI已经能独立黑进系统”，而在于攻击者似乎把AI模型做成了一套可替换、可分工、可共享上下文的任务调度层。SecFlow负责把目标拆成小任务、分派给不同工作单元并汇总结果；但目标选择、攻击路径以及实际入侵能力，仍由人类操作者和常见攻击工具共同完成。2

SecFlow到底做了什么？

据Hunt.io描述，SecFlow能够将一项高层目标拆解为侦察、漏洞验证、利用、数据收集和报告等细分任务。不同工作单元可共享目标配置、文件、会话记录、代理路由、生成的证据及报告结果。换言之，它提供的并非一次次彼此割裂的提示词交互，而是可复用的攻击行动工作区。2

研究人员恢复的配置显示，操作者可在标记为Claude、Qwen（通义千问）和DeepSeek的配置文件之间切换，任务接口无需随之改变。模型流量既包括niestools.com命名空间下的私有端点，也包括直连DeepSeek及阿里云DashScope／通义千问服务的路径。2

这一点需要谨慎解读：混合路由并不能证明每一次操作都通过官方服务端点完成，更不能据此断言特定官方模型服务直接参与了所有攻击活动。2

Hunt.io称，发现的活动涉及中国台湾、印度尼西亚、中国大陆和越南的目标，包括政府、教育、领事及工业环境。2

AI是“协调员”，不是取代攻击工具的“自动黑客”

从现有证据看，SecFlow更像套在传统攻击活动外的一层编排系统，而非能够自行发明并执行新型攻击的自主系统。研究人员观察到的流程仍包含已知漏洞类型、公开概念验证材料、凭据使用、脚本、可通过网页访问的ASPX组件、载荷及定制植入程序。2

其中，SecBox是一种以Go语言编写的植入程序。Hunt.io称，它与WebShell及其他工具一同出现在入侵后的环境中。现有材料显示，这些传统工具才是获取访问权限和执行操作的基础；SecFlow的作用主要是安排步骤、分派工作并记录结果。2

因此，将此案概括为“自主黑客攻击”并不准确。AI确实可能降低协调成本、加速重复性研究和验证工作，但行动仍依赖操作者判断、既有漏洞利用方式以及成熟的恶意软件技术链。

五个工作区如何被关联？归属证据又有哪些边界？

Hunt.io通过一个共享的、需认证的SOCKS代理端点，将5个暴露的攻击者工作区关联起来。其依据包括相同文件内容、共享的SecFlow和GLUTTON痕迹、复用账号，以及一个伪MySQL环境与二阶段载荷主机之间的投递关系。研究人员认为，这些环境分别承担了AI编排、利用测试、伪MySQL反序列化、凭据测试和载荷分发等不同角色。2

简体中文笔记和其他痕迹，以及私有模型服务和代理账号中反复出现的“N​​ie”标识，使Hunt.io评估该活动与中文使用者有关。2

但这类线索的证明力也有明确边界：它们可以支撑“中文使用者操作者”的研判，却不能单独确认具体个人、组织，更不能直接证明某个政府背景。2

一次Shiro误判，如何被多智能体工作流放大

这起事件还暴露了多智能体系统的一项典型风险：一个未经验证的中间结论，可能迅速成为后续所有任务的默认前提。

Hunt.io称，有工作单元宣称Apache Shiro漏洞利用已经成功，但缺乏足够证据。后续GLUTTON任务把这一判断当作既成事实，最终产生了超过27次失败的后续测试。2

对防守团队和构建高风险智能体流程的开发者而言，教训很直接：任务路由和共享记忆能提升速度，也会同步放大错误。在把发现结果升级为利用、收集或处置决策前，需要设置独立的验证关卡。

丰台区政府环境：哪些情况得到确认？

Hunt.io将一处丰台区政府环境描述为其材料中确认最充分的入侵案例。报告称，攻击者实现了命令执行，接触到政府及健康记录，收集了LSASS内存和Windows注册表配置单元，并部署了多个Windows植入程序。2

研究人员还提到，一个约75.8 MB的LSASS转储文件被放入OA附件仓库，并经由ASPX处理程序、通过共享代理路径被取回。网页可访问的处理程序以及已部署的植入程序（包括SecBox），可被视为访问或与驻留相关的组件。2

不过，现有报告并未为每一个植入程序确认精确的开机自启动方式，例如具体的Windows服务、计划任务或注册表Run键。将“已部署植入程序”直接等同于“已证实某种固定持久化机制”，并不严谨。2

与此前AI辅助攻击披露有何关系？

Hunt.io明确表示，SecFlow是一起与其2026年7月报告不同、彼此独立的行动：此前报告涉及疑似中文使用者借助Claude Code和DeepSeek，对4个国家的政府及金融目标发动攻击。两起行动的基础设施、工具和目标不同，但都呈现出将商用模型作为行动组件的模式。220

SecFlow案在操作方式上，也与Anthropic于2025年11月披露的一起AI编排网络间谍活动有相似之处。Anthropic当时称，其命名为GTG-1002、并评估为具有中国国家支持背景的团体，曾借助Claude Code尝试入侵约30个目标；AI被用于侦察、漏洞工作、利用、凭据访问、数据分析、外传和文档整理等阶段。46

不过，这只是操作模式上的相似，并非归属结论。现有报道没有表明SecFlow操作者就是GTG-1002，也没有证明Anthropic的官方Claude服务直接支撑了SecFlow行动。私有中转端点和混合API配置，正是必须保留这一区分的原因。246

更值得警惕的趋势

SecFlow指向了一种更现实的短期风险：攻击者可将多种模型作为可互换的规划与协调“工作人员”，同时保留传统漏洞利用、WebShell和恶意软件基础设施。

这也提醒我们，不应把AI辅助行动夸大成完全无需人类参与的自动化攻击。其效率提升，很可能来自更快的任务拆解与迭代；而一旦关键假设出错，错误同样会沿着共享上下文和任务链条快速扩散。真正的防线，仍是人工复核与严格、独立的验证机制。2

Hunt.io披露的这起行动，值得关注之处不在于“AI已经能独立黑进系统”，而在于攻击者似乎把AI模型做成了一套可替换、可分工、可共享上下文的任务调度层。SecFlow负责把目标拆成小任务、分派给不同工作单元并汇总结果；但目标选择、攻击路径以及实际入侵能力，仍由人类操作者和常见攻击工具共同完成。2

SecFlow到底做了什么？

据Hunt.io描述，SecFlow能够将一项高层目标拆解为侦察、漏洞验证、利用、数据收集和报告等细分任务。不同工作单元可共享目标配置、文件、会话记录、代理路由、生成的证据及报告结果。换言之，它提供的并非一次次彼此割裂的提示词交互，而是可复用的攻击行动工作区。2

研究人员恢复的配置显示，操作者可在标记为Claude、Qwen（通义千问）和DeepSeek的配置文件之间切换，任务接口无需随之改变。模型流量既包括niestools.com命名空间下的私有端点，也包括直连DeepSeek及阿里云DashScope／通义千问服务的路径。2

这一点需要谨慎解读：混合路由并不能证明每一次操作都通过官方服务端点完成，更不能据此断言特定官方模型服务直接参与了所有攻击活动。2

Hunt.io称，发现的活动涉及中国台湾、印度尼西亚、中国大陆和越南的目标，包括政府、教育、领事及工业环境。2

AI是“协调员”，不是取代攻击工具的“自动黑客”

从现有证据看，SecFlow更像套在传统攻击活动外的一层编排系统，而非能够自行发明并执行新型攻击的自主系统。研究人员观察到的流程仍包含已知漏洞类型、公开概念验证材料、凭据使用、脚本、可通过网页访问的ASPX组件、载荷及定制植入程序。2

其中，SecBox是一种以Go语言编写的植入程序。Hunt.io称，它与WebShell及其他工具一同出现在入侵后的环境中。现有材料显示，这些传统工具才是获取访问权限和执行操作的基础；SecFlow的作用主要是安排步骤、分派工作并记录结果。2

因此，将此案概括为“自主黑客攻击”并不准确。AI确实可能降低协调成本、加速重复性研究和验证工作，但行动仍依赖操作者判断、既有漏洞利用方式以及成熟的恶意软件技术链。

五个工作区如何被关联？归属证据又有哪些边界？

Hunt.io通过一个共享的、需认证的SOCKS代理端点，将5个暴露的攻击者工作区关联起来。其依据包括相同文件内容、共享的SecFlow和GLUTTON痕迹、复用账号，以及一个伪MySQL环境与二阶段载荷主机之间的投递关系。研究人员认为，这些环境分别承担了AI编排、利用测试、伪MySQL反序列化、凭据测试和载荷分发等不同角色。2

简体中文笔记和其他痕迹，以及私有模型服务和代理账号中反复出现的“N​​ie”标识，使Hunt.io评估该活动与中文使用者有关。2

但这类线索的证明力也有明确边界：它们可以支撑“中文使用者操作者”的研判，却不能单独确认具体个人、组织，更不能直接证明某个政府背景。2

一次Shiro误判，如何被多智能体工作流放大

这起事件还暴露了多智能体系统的一项典型风险：一个未经验证的中间结论，可能迅速成为后续所有任务的默认前提。

Hunt.io称，有工作单元宣称Apache Shiro漏洞利用已经成功，但缺乏足够证据。后续GLUTTON任务把这一判断当作既成事实，最终产生了超过27次失败的后续测试。2

对防守团队和构建高风险智能体流程的开发者而言，教训很直接：任务路由和共享记忆能提升速度，也会同步放大错误。在把发现结果升级为利用、收集或处置决策前，需要设置独立的验证关卡。

丰台区政府环境：哪些情况得到确认？

Hunt.io将一处丰台区政府环境描述为其材料中确认最充分的入侵案例。报告称，攻击者实现了命令执行，接触到政府及健康记录，收集了LSASS内存和Windows注册表配置单元，并部署了多个Windows植入程序。2

研究人员还提到，一个约75.8 MB的LSASS转储文件被放入OA附件仓库，并经由ASPX处理程序、通过共享代理路径被取回。网页可访问的处理程序以及已部署的植入程序（包括SecBox），可被视为访问或与驻留相关的组件。2

不过，现有报告并未为每一个植入程序确认精确的开机自启动方式，例如具体的Windows服务、计划任务或注册表Run键。将“已部署植入程序”直接等同于“已证实某种固定持久化机制”，并不严谨。2

与此前AI辅助攻击披露有何关系？

Hunt.io明确表示，SecFlow是一起与其2026年7月报告不同、彼此独立的行动：此前报告涉及疑似中文使用者借助Claude Code和DeepSeek，对4个国家的政府及金融目标发动攻击。两起行动的基础设施、工具和目标不同，但都呈现出将商用模型作为行动组件的模式。220

SecFlow案在操作方式上，也与Anthropic于2025年11月披露的一起AI编排网络间谍活动有相似之处。Anthropic当时称，其命名为GTG-1002、并评估为具有中国国家支持背景的团体，曾借助Claude Code尝试入侵约30个目标；AI被用于侦察、漏洞工作、利用、凭据访问、数据分析、外传和文档整理等阶段。46

不过，这只是操作模式上的相似，并非归属结论。现有报道没有表明SecFlow操作者就是GTG-1002，也没有证明Anthropic的官方Claude服务直接支撑了SecFlow行动。私有中转端点和混合API配置，正是必须保留这一区分的原因。246

更值得警惕的趋势

SecFlow指向了一种更现实的短期风险：攻击者可将多种模型作为可互换的规划与协调“工作人员”，同时保留传统漏洞利用、WebShell和恶意软件基础设施。

这也提醒我们，不应把AI辅助行动夸大成完全无需人类参与的自动化攻击。其效率提升，很可能来自更快的任务拆解与迭代；而一旦关键假设出错，错误同样会沿着共享上下文和任务链条快速扩散。真正的防线，仍是人工复核与严格、独立的验证机制。2