Хакер од Тајван користел BOSSAI AI-агенти за кражба на податоци од итните служби во Тајпеј

Еден напаѓач, користејќи AI-агенти, успеал да извлече податоци за итни повици кои опфаќаат седум области во Тајпеј, соопштија минатата недела истражувачите од Единицата за истражување на закани при компанијата Acronis.

Агентите откриле и платформа на противпожарната служба во Тајпеј која без потреба од најава изложувала податоци за пациенти од 2018 година, вклучувајќи резултати од ЕКГ-снимања и видео-снимки од амбулантни возила.

Истражувачите со голема сигурност веруваат дека напаѓачот е едно лице кое живее во градот Хуалиен, Тајван. Тој ги насочил AI-агентите кон стотици организации во најмалку 11 земји, вклучувајќи служби за итни случаи, банки, универзитети и воени системи. Агентите собирале податоци или пристапувале до системите на околу 10 организации во Тајван, Мексико и Тајланд.

Доказите потекнуваат од сопствениот сервер на напаѓачот, кој првично изгледал како погрешно конфигуриран развоен систем. Сепак, се покажало дека станува збор за неговата оперативна платформа за напади, која содржела повеќе од 90.000 датотеки, вклучувајќи ги разговорите на AI-агентите, историјата на извршените команди, алатките за хакирање, украдените податоци за пристап и податоците на жртвите.

Агентите не комуницирале меѓусебно, па затоа напаѓачот рачно ги копирал резултатите од еден агент и ги внесувал во друг. Комерцијалните AI-модели во најголем дел одбивале да му помогнат во извршувањето на нападите. Поради тоа, агентите за напади речиси целосно користеле таканаречени „обезбедносно деактивирани“ (abliterated) модели, односно AI-модели кои работат локално, со отстранети безбедносни механизми и ограничувања поставени за време на нивното обучување.

До кои системи пристапиле AI-агентите

Според истражувачите, Тајван бил значително почесто цел на нападите во споредба со која било друга земја, покажува нивната техничка анализа. Најсериозните потврдени последици таму се однесуваат на податоците на службите за итни случаи.

Податоците за итните повици биле извлечени од системот на еден град за бројот 119, кој во Тајван се користи како број за итни повици до противпожарните служби и амбулантните возила. Агентите ги презеле податоците преку API-интерфејсот на системот. Тие содржеле информации за времето на инцидентите, видот на интервенцијата, статусот на случајот и точните локации на ниво на улица. Станува збор за евиденција на пријавени случаи, а не за следење на движењето на амбулантните возила во реално време.

Во резимето на истражувачите се наведува дека упадите во системите на службите за итни случаи и универзитетите довеле до кражба на медицински и лични податоци. Сепак, во деталниот опис на платформата за пациенти во Тајпеј се наведува само дека податоците биле изложени и достапни без соодветна заштита.

AI-агентите нападнале и пет други цели поврзани со службите за итни случаи во Тајван:

Цел	Активности на AI-агентите	Резултат
Добавувач на технологија за противпожарни диспечерски служби	Се најавиле во административниот панел на базата на податоци користејќи стандардни root-податоци за пристап. Обидот за поставување веб-школка (web shell) преку позната CVE-ранливост бил неуспешен.	Пристап до најмалку 18 табели во базата на податоци
Информациски систем за управување со итни случаи	Откриле хардкодирана AES-256 клучна вредност во JavaScript-кодот на веб-страницата, која овозможувала откривање на содржината на сесиските колачиња (session cookies), вклучувајќи го и идентитетот на администратор.	Нема потврда за компромитирање на системот
Национален центар за одговор при катастрофи	Алатка за скенирање пријавила критична Apache-ранливост за далечинско извршување код (RCE).	Пријавената ранливост не постоела
Портал за единствена најава (SSO) на националната противпожарна агенција	Се обиделе да ги погодат податоците за најава преку напад со брутална сила (brute-force).	Нема потврден пристап
Системи на противпожарните служби во пет градови	Ги скенирале системите со цел да го идентификуваат софтверот што го користат.	Нема потврда за компромитирање

Во извештајот не се наведува дали засегнатите организации или тајванските власти биле известени за инцидентите, ниту дали изложените податоци сè уште се достапни.

Надвор од системите на службите за итни случаи, AI-агентите извлекле податоци од табела со кориснички сметки во една тајванска кредитна компанија, користејќи SQL injection напад.

Во Тајланд, на истиот начин собрале податоци од три универзитети, откако претходно избрале 489 потенцијални цели меѓу вкупно 45 институции.

Во Мексико, напаѓачите собрале околу 206.800 записи за фиксни телефонски линии во домаќинствата, кои содржеле имиња и адреси. За собирање на овие податоци користеле владини статистички податоци, списоци со поштенски броеви и податоци од телекомуникациските регулаторни органи.

Уште околу 15 организации биле цел на напади, но нема потврда дека нивните системи биле компромитирани. Во најмалку осум други земји, целите биле само скенирани или подготвени за напади кои сè уште не биле извршени во моментот кога истражувачите ја спровеле анализата.

Истражувачите ја следеле операцијата во период од 12 дена. Една од забележаните комуникации го прикажува напаѓачот во акција на 25 јули.

Како била користена вештачката интелигенција и каде потфрлила

Системот, наречен BOSSAI, располагал со 12 AI-агенти, од кои 9 биле активни. Некои од нив биле задолжени за изградба и одржување на серверите и алатките на напаѓачот, додека останатите скенирале цели и извршувале напади.

Комерцијалните cloud-модели биле главно задолжени за изградбата на инфраструктурата, при што Grok бил главниот модел за оваа задача. Кога напаѓачот директно побарал од нив да извршат напади, Grok и MiniMax M3 одбиле, барајќи писмен доказ дека активностите се овластени. Истражувачите наведуваат дека не е јасно дали доставувањето лажно писмо за овластување би го променило нивниот одговор.

Grok направил еден исклучок, поправајќи неисправна proof-of-concept скрипта, која напаѓачот потоа му ја предал на еден од агентите задолжени за нападите. Напаѓачот ги пренасочил и агентите за програмирање Claude Code и Codex кон модел со отстранети безбедносни механизми, иако тие главно работеле на инфраструктурни задачи. Друг агент за програмирање, Cursor, нападнал веб-страница на тајванска служба за итни случаи додека користел ваков модел.

Моделите со отстранети безбедносни механизми биле верзии на DeepSeek, GLM и Qwen.

Агентите правеле и грешки. Една од алатките за скенирање измислувала CVE-идентификатори за ранливости, а повеќе од половина од нејзините наоди означени како високо или критично ризични биле лажно позитивни или погрешно класифицирани. Главниот агент за напади исто така пријавувал резултати од активности кои всушност не биле извршени.

Кој стоел зад нападите

Атрибуцијата на компанијата Acronis се заснова на грешките што ги направил напаѓачот при обидите да го сокрие својот идентитет, во комбинација со јавно достапни информации. Тој користел ист идентитет за своите легални деловни активности и серверите за напади, вклучувајќи профил на GitHub, лого, име на SSH-клуч и адреса на е-пошта.

Неговата домашна IP-адреса била забележана за време на SSH-сесија во еден од неговите разговори со Grok.

Мотивите за нападите се помалку јасни. Дел од нападите врз владините институции, службите за итни случаи и воените системи наликувале на активности на хакерски групи поддржани од држави, додека други имале карактеристики на вообичаен компјутерски криминал. Истражувачите сметаат дека напаѓачот најверојатно сакал да заработи пари, но не е познато дали работел за некого.

Што ги спречило AI-агентите

Според истражувачите, податоците до кои дошле AI-агентите главно биле резултат на веќе постоечка недоволна заштита: медицински портал за податоци кој бил оставен отворен од 2018 година, евиденција за итни повици достапна преку јавно изложен API-интерфејс, кредитна компанија со 16 точки ранливи на SQL injection напади и универзитети кои користеле незакрпени Oracle-бази на податоци.

Агентите не успеале таму каде што била задолжителна автентикација, каде што пристапот до содржините бил ограничен со платен пристап и барал валидна сесија, како и кај API-крајните точки (endpoints) со соодветно поставени филтри.

Вештачката интелигенција овозможила пронаоѓање и пристапување до голем број потенцијални цели со значително помали трошоци, но не успеала да ги заобиколи безбедносните механизми кои функционирале правилно.

Девет IP-адреси и девет домени од инфраструктурата на напаѓачот се наведени во листата на индикатори на компромитирање (IoC) на крајот од анализата. Ниту една од нив не е означена како активна или неактивна, а за повеќето не е наведено за каква намена биле користени.

Извори:

• The Hacker News – Taiwan-Based Hacker Used BOSSAI AI Agents to Steal Taipei Emergency Dispatch Records The Hacker News