Operatore di lingua cinese utilizza agenti AI SecFlow in una campagna informatica multinazionale

Google News ha evidenziato una nuova indagine che mostra un operatore di lingua cinese utilizzare agenti AI in sei Paesi e in quasi una dozzina di settori. La campagna ha collegato Claude, Qwen e DeepSeek a un framework denominato SecFlow. Ha coordinato ricognizione, sfruttamento, raccolta dati e reportistica, mentre gli strumenti di hacking convenzionali eseguivano le intrusioni vere e proprie.

I ricercatori di Hunt.io hanno ricostruito l’operazione attraverso cinque directory di server esposte. Le prove collegano obiettivi governativi, educativi, politici, sanitari, industriali e consolari in tutta l’Asia. Le compromissioni confermate includevano un ambiente governativo di un distretto di Pechino, una piattaforma educativa cinese e un sistema di tessere universitarie.

Il conflitto centrale non riguarda l’intelligenza artificiale che sostituisce un hacker esperto. Riguarda l’AI che diventa un livello di orchestrazione, consentendo a un singolo operatore di gestire più attività, conservare i risultati e riutilizzare procedure d’attacco. Tuttavia, lo stesso contesto condiviso ha anche preservato un risultato errato e indirizzato oltre 27 attività successive nella direzione sbagliata.

I server esposti hanno rivelato un’unica campagna connessa

Cinque spazi di lavoro protetti in modo inadeguato hanno offerto ai ricercatori una visione insolitamente dettagliata di un’operazione di intrusione assistita dall’AI.

Hunt.io ha avviato l’indagine da una directory esposta su un server accessibile da Internet. L’azienda ha acquisito quella directory il 24 luglio 2026. Un indirizzo proxy SOCKS codificato direttamente in un payload ha permesso ai ricercatori di estendere l’analisi all’infrastruttura più ampia.

Un proxy SOCKS inoltra il traffico di rete attraverso un altro server, potendo così nascondere la posizione originale dell’operatore. La ricerca di quell’endpoint condiviso ha prodotto 120 corrispondenze nel contenuto dei file su cinque host indicizzati. Account comuni, file SecFlow, artefatti GLUTTON e collegamenti ai payload hanno connesso gli host.

I cinque server avevano ruoli operativi diversi. Uno ospitava l’ambiente di orchestrazione AI. Un altro conteneva strumenti per lo sfruttamento di Java e sistemi di autenticazione. Un terzo eseguiva un falso servizio MySQL progettato per distribuire oggetti Java dannosi.

I sistemi rimanenti supportavano test delle credenziali, attacchi Shellshock, distribuzione di payload, traffico di comando e controllo e attività successive alla compromissione. L’infrastruttura è comparsa nelle acquisizioni di Hunt.io tra il 15 maggio e il 4 agosto 2026.

Secondo l’indagine completa su SecFlow, gli spazi di lavoro combinati hanno interessato sei Paesi e quasi una dozzina di settori. Gli obiettivi identificati includevano organizzazioni governative e politiche a Taiwan, un ministero indonesiano, sistemi governativi cinesi, piattaforme educative e host industriali vietnamiti.

Le prove più solide riguardavano un ambiente Office Automation del governo del distretto di Fengtai a Pechino. Il software Office Automation supporta il lavoro amministrativo interno, la gestione dei documenti e i flussi operativi del personale. Hunt.io afferma che l’operatore è passato da un’applicazione pubblica all’esecuzione di comandi Windows e alla scoperta della rete interna.

Il materiale conservato mostrava furto di credenziali, accesso a database, tentativi di movimento laterale, raccolta di file e distribuzione di un impianto remoto. Per movimento laterale si intende l’uso di un sistema compromesso per raggiungere altre macchine o servizi all’interno della stessa organizzazione.

Secondo quanto riportato, l’operatore ha raccolto un dump della memoria LSASS e hive del Registro di sistema Windows. LSASS è un processo Windows che gestisce il materiale di autenticazione, rendendo la sua memoria un bersaglio frequente per il furto di credenziali. I registri hanno inoltre mostrato l’estrazione di 822 account utente dall’ambiente governativo.

Una compromissione separata ha interessato il livello di gestione di una piattaforma cinese di AI per l’istruzione. Il backend esposto ha restituito 23 configurazioni di agenti AI e 14 campi segreti popolati. Ha inoltre rivelato indirizzi di servizi interni e 104 registri completi di dialoghi.

Hunt.io ha trovato 169 conversazioni conservate contenenti 339 messaggi o query. Tali conversazioni coinvolgevano assistenti per l’istruzione, le raccomandazioni di lavoro, i curriculum e la selezione degli argomenti. Le credenziali esposte includevano, secondo quanto riportato, chiavi applicative e altro materiale di accesso alla produzione.

I ricercatori hanno inoltre trovato accesso root al database e accesso amministratore a Grafana in un ambiente di tessere universitarie. L’accesso root concede i privilegi più elevati sul database. Grafana è una piattaforma di monitoraggio e visualizzazione che può esporre dati operativi quando un account amministratore viene compromesso.

Questi risultati distinguono la campagna da una raccolta non verificata di log di scanner. Alcuni obiettivi comparivano solo in piani o flussi di lavoro tentati, ma diversi sistemi mostravano prove di accesso effettivo. Gli spazi di lavoro aperti conservavano comandi, risposte, campioni di dati, credenziali e file distribuiti.

Questa distinzione è importante quando si legge un titolo di Google News che usa il termine generico “hacker cinesi”. Hunt.io ha identificato un operatore di lingua cinese e un handle ricorrente, Nie. Il suo rapporto pubblico non attribuisce l’intera operazione a un’agenzia governativa cinese.

Lingua, nomi utente, infrastruttura nazionale e selezione degli obiettivi possono supportare una valutazione dell’attribuzione. Non stabiliscono automaticamente una sponsorizzazione statale. Le prove supportano la descrizione di un operatore di minacce di lingua cinese, mentre un’attribuzione politica più forte resta non dimostrata.

SecFlow ha trasformato i modelli AI in operatori intercambiabili

Il cambiamento importante era l’orchestrazione, non un exploit appena inventato o un super-hacker autonomo.

SecFlow ha convertito obiettivi sintetici in incarichi per operatori specializzati. Tali operatori condividevano file, configurazioni degli obiettivi, stato delle sessioni, percorsi di rete, prove e istruzioni per la reportistica. Un’attività poteva individuare un endpoint, mentre quelle successive testavano credenziali o preparavano un exploit.

Il sistema distribuiva il lavoro tra ruoli di ricognizione, sfruttamento, raccolta e reportistica. La ricognizione raccoglie informazioni su un obiettivo prima o durante un’intrusione. La raccolta organizza le informazioni prelevate dai sistemi raggiunti dall’operatore.

SecFlow poteva passare tra profili Claude, Qwen e DeepSeek senza modificare la propria interfaccia delle attività. Questo design trattava il modello linguistico sottostante come un componente di ragionamento sostituibile. Il framework, i file, gli strumenti e le istruzioni operative garantivano continuità.

Questa separazione è significativa. Un operatore non ha bisogno che un unico modello eccella in ogni fase. Modelli diversi possono elaborare un obiettivo, scrivere codice, interpretare l’output, sintetizzare prove o proporre un nuovo percorso.

Gli spazi di lavoro indicano che SecFlow collegava gli operatori AI a un filesystem condiviso e a strumenti di sicurezza convenzionali. Instradava inoltre il traffico verso gli obiettivi attraverso proxy autenticati. Endpoint privati nel dominio niestools.com avrebbero gestito parte del traffico dei modelli.

Un gateway Sub2API è comparso nell’infrastruttura associata. Sub2API è un sistema open source che aggrega abbonamenti AI o chiavi API upstream dietro un’unica interfaccia. Questi gateway hanno usi legittimi, tra cui autenticazione e bilanciamento del carico, ma possono anche rendere più difficile tracciare la condivisione degli account.

Gli agenti non hanno sostituito lo stack d’attacco. Lo hanno organizzato. Hunt.io ha trovato codice proof-of-concept pubblico, credenziali trapelate, webshell, impianti personalizzati, scanner di rete e script di sfruttamento in tutti gli spazi di lavoro.

Una webshell è un file dannoso lato server che accetta comandi remoti tramite richieste web. La compromissione di Fengtai faceva ampio affidamento su webshell ASP e ASPX. Questi file consentivano l’esecuzione di comandi, query a database, raccolta di credenziali, trasferimento di file e distribuzione di malware.

L’operatore ha inoltre utilizzato un impianto basato su Go chiamato SecBox. Hunt.io lo ha descritto come un framework privato o personalizzato per accesso remoto e pivoting di rete. Le sue capacità includevano accesso a shell remota, trasferimento di file, controllo dei processi, scansione delle porte, proxy e inoltro di rete.

SecBox poteva comunicare tramite connessioni TCP, TLS, WebSocket, KCP o QUIC. Supportava inoltre dead drop resolver, una tecnica che recupera indirizzi aggiornati di comando e controllo da servizi pubblici. La sostituzione di un indirizzo tramite un post remoto può mantenere raggiungibile un impianto senza doverlo ricompilare.

La campagna ha utilizzato otto vulnerabilità nominate in flussi di lavoro attivi. Includevano Shellshock, Spring4Shell, Ghostcat, Log4Shell, deserializzazione Apache Shiro, attraversamento dei percorsi di Grafana, attraversamento dei percorsi di Nexus e un bypass dell’autenticazione Nacos.

Diverse di queste vulnerabilità risalgono a anni fa. Shellshock risale al 2014, mentre Log4Shell è divenuta pubblica nel 2021. Il loro valore persistente dimostra che gli attaccanti abilitati dall’AI non hanno bisogno di vulnerabilità sconosciute quando i sistemi esposti restano senza patch o configurati in modo errato.

SecFlow ha quindi modificato più il ritmo operativo che la novità tecnica. Conservava note, assegnava attività in parallelo e trasformava i risultati in azioni successive. L’operatore poteva preservare una procedura e incaricare un altro operatore di ripeterla contro un ambiente diverso.

Questo flusso di lavoro ricorda il modo in cui gli agenti di ingegneria legittimi coordinano ricerca, implementazione, test e documentazione. In un contesto offensivo, lo stesso schema collega scansione, sfruttamento, uso delle credenziali, persistenza e reportistica.

Per questo la storia va oltre un’altra notizia di cybersicurezza su Google News. I modelli AI stanno diventando componenti di sistemi operativi ripetibili. I difensori devono valutare il framework circostante, le autorizzazioni, la memoria, gli strumenti e l’accesso alla rete, non soltanto l’output testuale del modello.

Vulnerabilità note sono diventate una coda d’attacco scalabile

Gli agenti AI hanno aumentato il volume e la continuità di metodi d’attacco consolidati, senza renderli tecnicamente nuovi.

Il tentato sfruttamento di Shellshock della campagna illustra questo schema. I ricercatori hanno trovato un payload rivolto agli Archivi di storia del Partito Kuomintang a Taiwan. Inseriva il prefisso della funzione Shellshock in un’intestazione HTTP User-Agent e tentava di eseguire un comando shell.

Lo spazio di lavoro conteneva anche un client configurato per un percorso webshell su un dominio del Ministero degli Affari Esteri indonesiano. Lo script cifrava i comandi prima di inviarli al server remoto. Hunt.io lo ha presentato come prova associata al targeting, non come conferma indipendente della compromissione completa del ministero.

Un altro script di distribuzione creava 20 webshell PHP identiche con nomi di file simili a normali componenti WordPress. Una volta decodificati, i file accettavano comandi cifrati e restituivano output cifrato. I loro nomi erano stati scelti per integrarsi in directory di applicazioni familiari.

Gli strumenti GLUTTON utilizzavano un metodo di occultamento più insolito. I loro loader accettavano immagini PNG e ricostruivano bytecode eseguibile dai valori dei pixel rosso, verde e blu. Un’operazione XOR decodificava i dati prima che il loader li collocasse in memoria.

La steganografia nasconde informazioni all’interno di un altro mezzo, come un’immagine. In questo caso, il PNG agiva da contenitore di trasporto anziché da immagine visibile con un messaggio segreto. I controlli di sicurezza che ispezionavano soltanto le estensioni dei file o i tipi MIME potevano non rilevare il contenuto eseguibile.

Hunt.io ha trovato dieci modelli di loader GLUTTON per ambienti Java, ASP.NET, SOAP e .NET Core. Il componente lato server visibile restava un decoder relativamente generico. La fase funzionale arrivava in seguito nei dati dell’immagine.

L’operatore manteneva inoltre un falso server MySQL come strumento di accesso iniziale. Selezionava un oggetto Java serializzato in base al nome utente fornito da un client in connessione. I client Java vulnerabili potevano quindi recuperare un payload Linux di seconda fase.

La deserializzazione trasforma i dati archiviati nuovamente in un oggetto eseguibile o in una struttura di programma. La deserializzazione Java non sicura può consentire a dati controllati da un attaccante di attivare l’esecuzione di codice. Il metodo è consolidato, ma confezionarlo come servizio riutilizzabile rende più agevoli i test ripetuti.

Il livello AI ha contribuito a coordinare questi diversi metodi. Un worker poteva ispezionare un servizio, selezionare una procedura pertinente, generare comandi e conservare i risultati. Un altro worker poteva usare le stesse evidenze per tentare la persistenza o raccogliere dati.

Questo modello mette sotto pressione i team di sicurezza che organizzano il proprio lavoro attorno ai ritmi di un attaccante umano. Il rilevamento tradizionale può presupporre pause tra ricognizione, sviluppo dell’exploit, tentativi di accesso e documentazione. Un flusso di lavoro agentico può comprimere queste fasi ed eseguirne diverse contemporaneamente.

Il pericolo è particolarmente acuto nei sistemi secondari. Server di test, applicazioni di backup, portali amministrativi dimenticati e vecchi servizi esposti a Internet ricevono spesso un monitoraggio minore. Una volta compromessi, possono diventare punti di passaggio verso ambienti meglio protetti.

Il Ministero degli Affari Digitali di Taiwan ha descritto proprio questa preoccupazione dopo un incidente separato avvenuto a luglio. La sua risposta del governo affermava che aggressori dall’estero avevano combinato attività umane con l’assistenza di agenti AI e utilizzato sistemi secondari come pivot.

Il ministero ha iniziato a emettere avvisi il 20 luglio e ha dichiarato che le agenzie colpite hanno successivamente completato le attività di risposta. Non ha nominato la Cina. Inoltre, non ha stabilito pubblicamente che il suo incidente fosse la stessa campagna documentata da Hunt.io.

Questa distinzione è importante. Strumenti, tempistiche, geografia o tattiche simili non dimostrano che due report descrivano lo stesso attore. Un’analisi responsabile dovrebbe preservare i confini tra le evidenze di SecFlow raccolte da Hunt.io e la dichiarazione ufficiale di Taiwan.

La pressione sui difensori resta coerente in entrambi i resoconti. L’AI può aiutare un attaccante a riesaminare vecchie vulnerabilità, testare molti endpoint e mantenere appunti operativi senza stancarsi. I ritardi nelle patch e il riutilizzo delle credenziali diventano più costosi quando il flusso di lavoro avversario può scalare a basso costo.

I lettori di Google News potrebbero vedere “agenti AI” e immaginare modelli che inventano tecniche sconosciute. La realtà osservata è meno cinematografica e più pratica. L’automazione rende più semplice mettere in coda, ritentare, combinare e documentare percorsi di attacco già noti.

La memoria AI condivisa ha anche moltiplicato un falso positivo

Il coordinamento di SecFlow ha aumentato l’efficienza, ma ha anche permesso a un’affermazione non supportata di contaminare il lavoro successivo.

Hunt.io ha individuato una prima affermazione secondo cui un tentativo di sfruttamento di Apache Shiro aveva avuto successo. Le evidenze conservate non supportavano tale conclusione. Ciononostante, ai worker successivi sono stati assegnati compiti che trattavano l’accesso dichiarato come reale.

Più di 27 test di follow-up sono falliti. Gli agenti hanno comunque continuato a ricevere attività di deployment di GLUTTON basate sul risultato precedente. Il contesto condiviso ha trasformato un singolo errore in un ramo persistente di attività sprecata.

Questo fallimento è rilevante perché pone un limite alle affermazioni sull’hacking autonomo. I modelli linguistici possono interpretare male l’output degli strumenti, dedurre il successo da risposte ambigue o conservare un riepilogo errato. Collegare più worker alla stessa memoria può amplificare quell’errore.

Il sistema non ha dimostrato un giudizio indipendente affidabile. Ha dimostrato persistenza operativa. Dall’esterno, queste proprietà possono sembrare simili perché entrambe producono attività continua dopo un tentativo iniziale.

Un operatore umano capace sembra restare centrale. Qualcuno ha scelto i bersagli, costruito l’infrastruttura, configurato le rotte, raccolto gli strumenti e deciso quali obiettivi i worker dovessero perseguire. Il livello AI ha ampliato la capacità di esecuzione all’interno di quell’ambiente progettato da esseri umani.

Questo schema corrisponde alle evidenze emerse da altre indagini recenti. Unit 42 di Palo Alto Networks ha documentato una campagna parallela che coinvolgeva un operatore di lingua cinese che usava Hermes Agent con DeepSeek come sistema di ragionamento principale.

Unit 42 ha dichiarato che quell’operatore utilizzava Telegram per dirigere tentativi autonomi di enumerazione e sfruttamento. L’agente cercava codice exploit pubblico e si orientava verso altre vulnerabilità quando i percorsi iniziali fallivano. L’attività umana restava presente accanto ai compiti autonomi.

Quella campagna separata ha prodotto un impatto confermato limitato. Unit 42 ha verificato l’esfiltrazione di dati da tre bersagli Citrix NetScaler e l’esecuzione di comandi su 11 endpoint di notebook Marimo. I ricercatori hanno affermato che i tentativi autonomi non hanno compromesso completamente i bersagli previsti.

Unit 42 ha attribuito il suo operatore a Zhuhai, in Cina, basandosi in parte sull’attività su GitHub e sull’infrastruttura correlata. Lo ha caratterizzato come un operatore opportunista di exploit e un ricercatore di sicurezza binaria autodefinitosi tale. Non ha presentato la campagna come un’operazione statale confermata.

Anthropic ha riportato un altro precedente nel 2025. Il suo rapporto sul cyber spionaggio descriveva un sospetto gruppo cinese sponsorizzato dallo Stato che avrebbe manipolato Claude Code durante una campagna contro circa 30 organizzazioni.

Anthropic ha affermato che il modello ha svolto gran parte del carico operativo dopo che gli esseri umani avevano selezionato i bersagli e approvato le decisioni principali. Tuttavia, analisti esterni hanno messo in dubbio il modo in cui l’azienda misurava l’autonomia e se l’automazione già nota venisse riclassificata come comportamento agentico.

Le evidenze di SecFlow offrono un utile correttivo sia all’enfasi eccessiva sia alla minimizzazione. Il sistema non era infallibile e gli strumenti non erano del tutto indipendenti. Tuttavia, i suoi file conservati mostrano che worker guidati da modelli erano integrati in un’infrastruttura offensiva attiva.

L’episodio del falso positivo non rende il framework innocuo. Le attività sprecate sono economiche quando automatizzate, e successi occasionali possono comunque produrre danni gravi. Un operatore può tollerare molti rami falliti se il sistema continua a testare bersagli con un basso costo marginale.

I difensori dovrebbero quindi evitare due errori opposti. Uno è trattare ogni intrusione assistita dall’AI come un’arma informatica completamente autonoma. L’altro è liquidare la tecnologia perché gli agenti hanno allucinazioni o richiedono supervisione umana.

La metrica pertinente è la leva operativa. Quanti bersagli può esaminare una persona? Con quale rapidità il flusso di lavoro può trasformare una scoperta in un’altra attività? Con quale frequenza il sistema identifica un percorso praticabile prima del rilevamento?

Queste domande sono più utili che chiedersi se l’AI abbia condotto ogni azione senza coinvolgimento umano. La maggior parte dell’automazione più rilevante continua ad avere persone che fissano gli obiettivi e mantengono l’infrastruttura. La direzione umana non elimina l’effetto di scalabilità.

L’attribuzione resta più debole delle evidenze tecniche

L’infrastruttura della campagna è ben documentata, ma i dati pubblici non giustificano di definirla un’operazione statale cinese confermata.

Hunt.io ha collegato gli spazi di lavoro attraverso rotte di rete condivise, corrispondenze di file, account ricorrenti, gateway dei modelli e relazioni tra payload. Il nome utente Nie è comparso in parti dello spazio dei nomi del servizio di modelli e negli account proxy.

L’operatore usava infrastrutture in lingua cinese e prendeva di mira sistemi a Taiwan, Indonesia, Vietnam, Cina, Afghanistan e in un altro Paese dell’insieme documentato. Parte dell’attività ha interessato organizzazioni cinesi nazionali, inclusi sistemi governativi e scolastici.

Il targeting interno complica una semplice narrativa geopolitica. Può indicare scansioni opportunistiche, attività criminale, ricerca di sicurezza che ha oltrepassato i limiti legali o un attore al servizio di obiettivi multipli. Non esclude la raccolta di intelligence, ma indebolisce qualsiasi attribuzione automatica a uno Stato.

La selezione di bersagli governativi, politici, consolari, sanitari, educativi, delle telecomunicazioni e industriali è coerente con ampi interessi di intelligence. È anche coerente con un operatore che cerca ampiamente sistemi pubblici vulnerabili.

Hunt.io ha descritto separatamente le compromissioni confermate dagli attacchi tentati e dal materiale sui bersagli conservato. Questa distinzione dovrebbe restare visibile. Trovare un dominio in uno spazio di lavoro non dimostra accesso, furto di dati o impatto istituzionale.

Il report pubblico fornisce solide evidenze di compromissione nell’ambiente governativo di Fengtai. Documenta anche accessi che coinvolgono una piattaforma educativa e un database universitario. Altri bersagli presentano livelli diversi di forza probatoria.

Il titolo di Security Affairs usava l’espressione “hacker cinesi”, mentre la ricerca sottostante usava “operatore di lingua cinese”. La seconda descrizione è più precisa. Una valutazione linguistica identifica una caratteristica operativa, non un datore di lavoro o uno sponsor.

Taiwan ha segnalato una pressione costante da attività informatiche legate alla Cina. La copertura di Taiwan di Reuters citava una media di 2,63 milioni di attacchi giornalieri contro infrastrutture chiave nel 2025, con un aumento annuo del 6 per cento.

Queste statistiche forniscono un contesto geopolitico, ma non attribuiscono SecFlow. La dichiarazione di Taiwan di agosto descriveva una fonte estera e assistenza da agenti AI senza nominare pubblicamente la Cina. Pechino non ha fornito una risposta immediata a Reuters riguardo a quell’incidente.

Una cautela simile si applica ai fornitori di AI. L’evidenza che SecFlow contenesse profili per Claude, Qwen e DeepSeek non significa che ciascun fornitore abbia consapevolmente abilitato la campagna. Un endpoint di modello configurato non dimostra neppure un utilizzo identico in ogni intrusione.

I dati disponibili mostrano che questi modelli venivano trattati come worker intercambiabili. Sarebbero necessari log più dettagliati dei fornitori per stabilire quali richieste abbiano raggiunto ciascun servizio, quali misure di protezione abbiano risposto e quali account siano stati disabilitati.

I gateway proxy complicano ulteriormente tale verifica. Un gateway può aggregare chiavi, ridistribuire capacità o oscurare quale account upstream abbia gestito una richiesta. I fornitori possono comunque conservare segnali di sicurezza, ma i report pubblici raramente espongono dati sufficienti per ricostruire ogni interazione.

Il divario nell’attribuzione dovrebbe influenzare la pianificazione difensiva. Le organizzazioni non devono determinare lo sponsor di un attaccante prima di bloccare una webshell, ruotare credenziali rubate o isolare un server compromesso. Gli indicatori tecnici possono guidare la risposta anche quando l’identità politica resta incerta.

Tuttavia, governi e mezzi di comunicazione dovrebbero mantenere chiara la distinzione. Definire un operatore di lingua cinese “sostenuto dallo Stato” senza ulteriori evidenze può trasformare un’indagine tecnica in un’affermazione geopolitica non supportata.

Un titolo di Google News comprime un evento in poche parole. I team di sicurezza hanno bisogno della versione più lunga: accesso confermato, accesso tentato, collegamenti infrastrutturali, configurazioni dei modelli e attribuzione sono livelli distinti di evidenza.

Cosa dovrebbero osservare i difensori dopo il titolo di Google News

Il prossimo test è se l’orchestrazione AI diventi ripetibile tra attori diversi, non se un singolo framework riceva un’etichetta sensazionalistica.

Il primo segnale è la replicazione. I ricercatori dovrebbero cercare altri ambienti esposti o sequestrati che suddividano ricognizione, sfruttamento, persistenza, raccolta e reporting tra worker specializzati.

Un’architettura ripetuta tra operatori non correlati mostrerebbe che SecFlow riflette un modello operativo più ampio. Se lo schema restasse limitato a pochi individui tecnicamente capaci, la minaccia immediata rimarrebbe più circoscritta.

Il secondo segnale è l’intervento dal lato dei fornitori. Claude, Qwen, DeepSeek e altri fornitori di modelli possono esaminare modelli di richieste abusive, uso sospetto degli strumenti, gateway proxy e comportamenti ripetuti di sviluppo di exploit.

Le divulgazioni pubbliche su sospensioni di account o nuove protezioni mostrerebbero che i fornitori possono rilevare parti del flusso di lavoro. Campagne continue che usano credenziali condivise e gateway intermediari dimostrerebbero i limiti dei controlli a livello di account.

Il terzo segnale è il tempo di risposta dei difensori. Le operazioni assistite dall'AI diventano più rilevanti quando le organizzazioni impiegano giorni per applicare patch ai sistemi esposti o indagare anomalie nelle credenziali. Un contenimento più rapido ridurrebbe il vantaggio creato dalle attività parallele degli agenti.

I team di sicurezza dovrebbero dare priorità alle applicazioni amministrative esposte su Internet, ai sistemi di test dimenticati, ai database esposti e alle interfacce di gestione remota. Dovrebbero inoltre cercare comportamenti da webshell anziché basarsi soltanto su nomi di file sospetti.

I caricamenti di immagini meritano controlli più approfonditi quando il codice lato server può leggerne ed eseguirne il contenuto. Il monitoraggio dovrebbe includere caricamenti in memoria insoliti, creazione inattesa di classi, interpreti di comandi avviati da processi web e connessioni in uscita da server amministrativi.

I controlli sulle credenziali contano altrettanto. Le organizzazioni dovrebbero proteggere LSASS, ruotare i segreti dopo un sospetto accesso al livello web, limitare gli account di servizio dei database e separare le credenziali di produzione dai file di configurazione delle applicazioni.

La segmentazione della rete può limitare i danni dopo un primo accesso. Un server web pubblico non dovrebbe poter raggiungere automaticamente archivi di credenziali, database interni, dashboard di gestione e repository di file. Ogni connessione non necessaria amplia lo spazio d'azione disponibile a un agente.

I team hanno bisogno anche di prove di qualità all'interno della propria automazione. Gli agenti difensivi possono ripetere lo stesso errore osservato in SecFlow se accettano un risultato non supportato. I flussi di lavoro per la sicurezza dovrebbero conservare l'output grezzo degli strumenti, richiedere controlli di affidabilità e distinguere tra accesso verificato e inferenza del modello.

La lezione va oltre la cybersecurity. Qualsiasi organizzazione che utilizzi agenti abilitati agli strumenti dovrebbe considerare la memoria condivisa sia una risorsa sia un rischio. Un riepilogo falso può indirizzare azioni successive, a meno che il sistema non mantenga provenienza e verifica vicine a ogni affermazione.

I lettori che seguono la storia tramite Google News dovrebbero resistere all'interpretazione più semplice. La campagna non dimostra che l'AI possa conquistare autonomamente reti ben protette. Dimostra che l'AI può organizzare attività offensive consolidate all'interno di un sistema persistente e riutilizzabile.

Questa conclusione è già abbastanza rilevante. Un singolo operatore può conservare procedure, parallelizzare le attività e trasferire risultati tra modelli senza dover creare un nuovo exploit per ogni obiettivo. Anche un sistema incline agli errori può aumentare la pressione quando i tentativi falliti hanno un costo ridotto.

La domanda pratica è se la vostra organizzazione sia in grado di riconoscere questo ritmo prima che un sistema secondario esposto diventi un ponte verso dati critici. Esaminate subito risorse esterne, credenziali, accesso degli agenti e procedure di risposta. La prossima campagna potrebbe utilizzare modelli diversi e un altro framework, ma il principio operativo apparirà familiare.