SecFlow kjørte Claude og Qwen med bypassPermissions mot asiatiske myndigheter

Fem eksponerte kataloger på åpent internett binder kampanjen sammen, skriver trusseletterretningsselskapet Hunt.io i en rapport som ble holdt tilbake til 3. september 2026 etter varsling til nasjonale CERT-er. Blant målene var Kuomintangs partiarkiv i Taiwan, Indonesias utenriksdepartement, myndighets- og utdanningssystemer på det kinesiske fastlandet og industrielle verter i Da Nang i Vietnam. Den mest omfattende kompromitteringen traff et saksbehandlingsmiljø i bydelen Fengtai, der aktøren fikk kommandokjøring, hentet ut LSASS-minne og registerfiler, leste forvaltnings- og helsedata og la igjen flere Windows-implantater.

Verktøykjeden er påfallende gjenkjennelig. Rammeverket aktøren brukte, SecFlow, delte rekognosering, utnyttelse, innsamling og rapportering mellom spesialiserte KI-arbeidere med felles filsystem. Runtime-konfigurasjonen eksponerte fem modellprofiler bygd på to helt alminnelige pakker: @agentclientprotocol/claude-agent-acp 0.27.0 og @qwen-code/qwen-code 0.14.4. Claude-profilen kjørte med bypassPermissions, mens Qwen- og DeepSeek-profilene kjørte med approval-mode=yolo. Modellnavn og API-rute ble injisert ved oppstart, så runtimen kunne veksle mellom Claude, Qwen og DeepSeek uten at oppgavegrensesnittet endret seg. Private endepunkter under domenet niestools.com proxet modelltrafikken, mens forespørslene mot målene gikk gjennom autentiserte SOCKS-releer.

Prompt-laget er bygget slik du selv ville gjort det. En «External Pentest Skill» fungerte som hovedarbeidsflyt, med en SKILL.md som førte hvert mål gjennom initialisering, rekognosering, utnyttelse, post-utnyttelse og rapportering, og som rutet hver kandidat videre til sårbarhetsspesifikke playbooks under references/vuln-types. En egen MCP-tjeneste kalt GLUTTON eksponerte execute_command, database_query, start_port_forward og generate_memshell som verktøykall mot kompromitterte verter.

Åtte CVE-er inngikk i aktive arbeidsflyter: Shellshock, Spring4Shell, Ghostcat, Shiro-deserialisering, Log4Shell, path traversal i Grafana og Nexus, og autentiseringsomgåelse i Nacos. KI-en fant altså ingen nye sårbarheter. Den organiserte arbeidet rundt kjente. Hunt.io dokumenterer også en svakhet ved oppsettet: en ubekreftet påstand om vellykket Shiro-utnyttelse fulgte med videre inn i senere oppgaver, og mer enn 27 oppfølgingstester slo feil mens arbeiderne fortsatt fikk GLUTTON-oppdrag basert på den første påstanden.

Det tekniske hoppet ligger ikke i modellene, men i orkestreringen. Aktøren fikk root-tilgang til databasen og Grafana-admin i et universitets adgangskortsystem, og hentet data fra en kinesisk KI-plattform for utdanning. Alt sammen med agentoppsett som ligger på npm.

Hva bør du gjøre?

1. Behandle bypassPermissions og approval-mode=yolo som produksjonsrisiko, ikke som en bekvemmelighet. Begge flaggene finnes i verktøy du sannsynligvis allerede har installert, og bør bare kjøres i containere uten rute til interne nett.
2. Logg utgående trafikk fra vertene der agentene dine kjører. Kampanjen sendte modelltrafikk gjennom private endepunkter og måltrafikk gjennom SOCKS-releer. Skiller du ikke de to, ser alt ut som ordinær API-bruk.
3. Lukk de åtte CVE-ene i lista. Log4Shell og Shellshock står fortsatt i aktive angrepskjeder fordi de fortsatt virker, ikke fordi angriperne mangler noe nyere.