Ein einzelner Hacker setzte ein Netzwerk aus 12 KI-Agenten auf Hunderte Organisationen an, legte vertrauliche Informationen zur Notfallversorgung in Taiwan offen und kompromittierte Universitäts- und Finanzsysteme.
Das Cybersicherheitsunternehmen Acronis entdeckte die als BOSSAI bekannte Operation und führte sie auf einen in Taiwan ansässigen Betreiber zurück, der KI-Tools koordinierte, um Netzwerke zu scannen, Schwachstellen zu identifizieren und unbefugten Zugriff zu versuchen. Die Kampagne erreichte Organisationen in 11 Ländern, obwohl nur ein Bruchteil der versuchten Angriffe zu bestätigten Kompromittierungen führte.
Die Untersuchung zeigt, wie eine einzelne Person mithilfe von KI Cyberangriffe in einem Umfang durchführen kann, der bislang eher mit größeren Operationen in Verbindung gebracht wurde. Sie legt auch die Grenzen der Technologie offen, darunter erfundene Schwachstellen, fehlgeschlagene Exploit-Versuche und kommerzielle KI-Modelle, die bösartige Anweisungen verweigern.
- BOSSAI bündelte 12 KI-Agenten zu einer einzigen Angriffsoperation
- Taiwanische Notfallsysteme legten medizinische Daten und Einsatzprotokolle offen
- Angriffe weiteten sich auf Universitäten und Finanzinstitute aus
- Kommerzielle KI-Modelle verweigerten Angriffe und erzwangen den Wechsel zu modifizierten Systemen
- KI-Agenten erfanden Schwachstellen und übersahen potenzielle Ziele
- Was Sicherheitsteams aus BOSSAI lernen sollten
BOSSAI bündelte 12 KI-Agenten zu einer einzigen Angriffsoperation
Laut der Acronis Threat Research Unit (TRU) bestand BOSSAI aus 12 KI-Agenten, von denen während der Untersuchung neun aktiv waren.
Die Agenten hatten unterschiedliche Aufgaben. Einige bauten die Angriffsinfrastruktur auf und hielten sie instand, während andere Aufklärungsarbeit leisteten, Schwachstellen analysierten, Skripte entwickelten und Exploits ausprobierten.
Hermes übernahm den Großteil der offensiven Aktivitäten, unterstützt von Tools wie HalberdStrike für Schwachstellenbewertungen, Cursor und Trae für die Codeentwicklung sowie CyberStrike für zusätzliche Sicherheitstests.
Ähnliche KI-gestützte Angriffsaktivitäten traten in Japan auf, wo CyberStrikeAI mithilfe von 44 KI-Agenten Organisationen ins Visier nahm und automatisierte Aufklärung, Exploit-Versuche und Berichterstattung durchführte. Die Forscher konnten keinen Zusammenhang zwischen den beiden Operationen feststellen.
Der Betreiber verband diese Systeme über Model-Context-Protocol-(MCP-)Server mit Tools für Penetrationstests. Dadurch konnten die Agenten Scanner, Dienstprogramme zur Schwachstellenanalyse und Exploit-Frameworks aufrufen.
Die Agenten kommunizierten jedoch nicht direkt miteinander. Acronis stellte fest, dass der Betreiber Ergebnisse häufig zwischen KI-Oberflächen kopierte, um die verschiedenen Phasen eines Angriffs zu koordinieren.
In einem Fall, der taiwanische Rettungsdienste betraf, erstellte HalberdStrike einen Schwachstellenbericht, den der Betreiber zur Analyse an Hermes weitergab. Die Ergebnisse wurden anschließend mit der Anweisung, die identifizierten Schwachstellen auszunutzen, an Cursor übertragen.
Die Konfiguration ermöglichte es einer einzelnen Person, komplexe Operationen auf spezialisierte Tools aufzuteilen, wodurch weniger technische Aufgaben manuell erledigt werden mussten.
Taiwanische Notfallsysteme legten medizinische Daten und Einsatzprotokolle offen
Taiwan war besonders stark betroffen, vor allem im Bereich der Rettungsdienste sowie bei Regierungssystemen und Finanzinstituten.
Die Ergebnisse verstärken Taiwans Sorgen über KI-gestützte Eindringversuche. Vorausgegangen war eine Untersuchung zu Cyberangriffen mit KI-Agenten auf Regierungsnetzwerke, bei denen koordinierte Tools und herkömmliche Hacking-Techniken zum Einsatz kamen. Es konnte kein Zusammenhang zwischen den Vorfällen festgestellt werden.
Acronis identifizierte eine Plattform des Feuerwehrnotdienstes von Taipeh zur Versorgung von Notfallpatienten, die medizinische Informationen ohne erforderliche Authentifizierung offenlegte.
Die zugänglichen Datensätze stammten aus dem Jahr 2018 und enthielten Elektrokardiogramm-Messungen, Videoaufnahmen von Rettungswagen sowie Vitalwerte von Patienten.
Unabhängig davon griffen BOSSAI-Agenten auf das Notruf- und Einsatzleitsystem 119 einer Stadt zu und extrahierten Falldaten aus sieben Bezirken Taipehs.
Zu den gestohlenen Informationen gehörten Einsatzzeiten, Reaktionskategorien, Fallstatus und straßengenaue Ortsangaben.
Die Forscher stellten klar, dass die Datensätze keine GPS-Echtzeitverfolgung von Rettungswagen ermöglichten. Dennoch enthielten sie vertrauliche operative Informationen über Rettungseinsätze.
Andere Angriffe auf Taiwans Notfallinfrastruktur führten zu gemischten Ergebnissen.
Ein Notfallmanagementsystem enthielt einen fest im clientseitigen JavaScript hinterlegten AES-256-Schlüssel und legte dadurch den Inhalt von Sitzungscookies offen, darunter die Identität eines Administrators. Acronis identifizierte außerdem einen unvollständigen Pfad für serverseitige Request Forgery, bestätigte jedoch keine vollständige Kompromittierung.
Unterdessen meldete ein Scan einer nationalen Organisation für Katastrophenhilfe fälschlicherweise eine kritische Apache-Schwachstelle zur Remotecodeausführung. Eine weitere Prüfung ergab keine Belege für diesen Befund.
Die bestätigten Offenlegungen zeigen bekannte Sicherheitslücken auf, insbesondere unzureichende Zugriffskontrollen für APIs, offengelegte vertrauliche Informationen und unsichere Anwendungskonfigurationen.
Angriffe weiteten sich auf Universitäten und Finanzinstitute aus
Laut Acronis erstreckten sich die Aktivitäten von BOSSAI über 11 Länder, wobei das Ausmaß der Angriffe erheblich variierte.
Während eines zwölf Tage langen Beobachtungszeitraums identifizierten die Forscher in drei Ländern bei etwa 10 Zielen bestätigte unbefugte Zugriffe oder Datenextraktionen. Bei rund 15 weiteren Zielen fanden aktive Angriffe statt, ohne dass eine Kompromittierung bestätigt werden konnte.
Thailand war ein weiterer Schwerpunkt.
Die Agenten identifizierten 489 potenzielle Ziele an 45 Universitäten und führten automatisierte SQL-Injection-Tests durch. Acronis bestätigte Datenextraktionen bei drei Einrichtungen, während bei zwei weiteren verifizierte Injection-Schwachstellen vorlagen, ohne dass ein Datendiebstahl bestätigt werden konnte.
An einer Universität griff ein Agent auf eine Datenbanktabelle mit Administratorrechten zu, die 2.563 Zeilen enthielt, und versuchte, Studentendaten zu extrahieren.
In Taiwan nutzten Agenten SQL-Injection gegen die Datenbank eines Unternehmens für Kreditdienstleistungen aus und extrahierten Kontoinformationen. Außerdem griffen sie mit standardmäßigen Root-Zugangsdaten auf die Datenbankadministrationsoberfläche eines Anbieters von Feuerwehr-Leittechnik zu.
In Mexiko verfolgte der Betreiber ein anderes Ziel und wies die Agenten an, Wohninformationen zu sammeln. Eine Operation lieferte etwa 206.800 Telefondatensätze mit Namen, Adressen und Postleitzahlen, während eine separate Aktion zum Auslesen eines Verzeichnisses rund 124.000 Datensätze erfasste.
Bei den mexikanischen Operationen ging es um Datensammlung und das Auslesen von Verzeichnissen, nicht um bestätigte Einbrüche in die zugrunde liegenden Systeme.
Acronis identifizierte außerdem Aufklärungsaktivitäten gegen militärbezogene Systeme und Organisationen in anderen Ländern, doch viele dieser Operationen gelangten nie bis zu einer bestätigten Ausnutzung.
Die Ergebnisse verdeutlichen die Reichweite automatisierter Zielsuche, ohne zu belegen, dass jede untersuchte Organisation kompromittiert wurde.
Kommerzielle KI-Modelle verweigerten Angriffe und erzwangen den Wechsel zu modifizierten Systemen
Acronis dokumentierte außerdem wiederholte Versuche, kommerzielle KI-Modelle zur Beteiligung an unbefugten Cyberangriffen zu bewegen.
Die Forscher beobachteten, wie Grok und MiniMax M3 offensive Anfragen ablehnten und häufig einen Autorisierungsnachweis verlangten, bevor sie bei Penetrationstests halfen.
Der Betreiber setzte daher für einen Großteil der direkten Ausnutzung auf lokal gehostete, zur Entfernung von Sicherheitsbeschränkungen modifizierte Modelle, die allgemein als „abliterierte Modelle“ bezeichnet werden.
Dazu gehörten modifizierte Varianten von DeepSeek, GLM und Qwen.
Kommerzielle Modelle halfen weiterhin bei der Entwicklung der Infrastruktur und bei der Fehlerbehebung. Die Forscher stellten jedoch fest, dass die von ihnen beobachteten Modelle Anfragen zur direkten Durchführung unbefugter Angriffe im Allgemeinen ablehnten.
Die modifizierten lokalen Modelle folgten diesen Anweisungen bereitwilliger, doch ihre Ausgaben waren häufig unzuverlässig und erforderten zusätzliche Fehlerbehebung.
Die Ergebnisse legen nahe, dass die Schutzmechanismen kommerzieller KI den Betreiber behinderten, obwohl der Zugriff auf modifizierte Modelle und vorhandene Sicherheitstools die Fortsetzung der umfassenderen Operation ermöglichte.
KI-Agenten erfanden Schwachstellen und übersahen potenzielle Ziele
Die Automatisierung von BOSSAI verursachte auch Probleme für den Betreiber.
Laut Acronis waren mehr als die Hälfte der von HalberdStrike gemeldeten Schwachstellen mit hohem oder kritischem Schweregrad Fehlalarme oder Fehlklassifizierungen.
Einige Agenten werteten fehlgeschlagene Verbindungsversuche fälschlicherweise als Beleg für gravierende Sicherheitslücken und erstellten detaillierte Berichte, die trotz fehlender technischer Grundlage glaubwürdig wirkten.
Die Agenten trafen außerdem Entscheidungen, die den Zielen des Angreifers zuwiderliefen.
Während der Aufklärung mexikanischer Telefonverzeichnisse stieß Hermes auf ein System für honduranisches Militärpersonal, brach die weitere Ausnutzung jedoch ab, nachdem der Agent festgestellt hatte, dass das Ziel außerhalb seines zugewiesenen Aufgabenbereichs lag.
Der Betreiber hatte den Agenten angewiesen, Entscheidungen unabhängig zu treffen, ohne wiederholt eine Genehmigung einzuholen.
Das verringerte zwar den manuellen Eingriff, bedeutete aber auch, dass der Angreifer potenziell wertvolle Erkenntnisse übersehen oder Zeit mit der Untersuchung nicht vorhandener Schwachstellen verschwenden konnte.
Acronis berichtete, dass die Agenten erhebliche Informationsmengen erzeugten, was es einem einzelnen Betreiber erschwerte, jede Aktion zu überwachen und die Ergebnisse zu bewerten.
Die Untersuchung zeigt, dass autonome KI die Reichweite eines Angreifers vergrößern kann, ohne eine korrekte Analyse oder erfolgreiche Ausnutzung zu garantieren.
Was Sicherheitsteams aus BOSSAI lernen sollten
Die bestätigten Kompromittierungen durch BOSSAI betrafen größtenteils bereits bestehende Sicherheitslücken und nicht zuvor unbekannte Schwachstellen.
Offengelegte Notfalldaten, SQL-Injection-Schwachstellen und Standardzugangsdaten boten den Agenten Möglichkeiten, auf Informationen zuzugreifen, die hätten geschützt sein müssen.
Für Organisationen, die für kritische Infrastrukturen und vertrauliche Daten verantwortlich sind, unterstreichen die Ergebnisse mehrere defensive Prioritäten:
- Öffentlich erreichbare APIs absichern. Eine Authentifizierung verlangen und Autorisierungsprüfungen durchsetzen, um den Zugriff auf vertrauliche Datensätze zu verhindern.
- Altsysteme überprüfen. Veraltete Datenbanken, offengelegte Dienste und Anwendungen identifizieren, die möglicherweise weiterhin ohne ausreichenden Schutz zugänglich sind.
- Standardzugangsdaten entfernen. Administrationsoberflächen beschränken und eine starke Authentifizierung für alle Managementsysteme durchsetzen.
- Automatisierte Aufklärung überwachen. Ungewöhnliche Scanaktivitäten, wiederholte Anmeldeversuche und verdächtige Anfragen an öffentlich erreichbare Infrastrukturen untersuchen.
- Schwachstellenbefunde überprüfen. Vermutete Fehler mit technischen Belegen bestätigen, statt sich vollständig auf automatisierte Bewertungen zu verlassen.
Organisationen, die eigene KI-Agenten einsetzen, sollten außerdem Tool-Berechtigungen beschränken, die Ausführung überwachen und für sensible Vorgänge eine menschliche Genehmigung verlangen.
BOSSAI zeigt, wie ein einzelner Betreiber KI-Agenten und vorhandene Sicherheitstools kombinieren kann, um Organisationen in mehreren Ländern anzugreifen. Die Untersuchung zeigt jedoch auch, dass viele Versuche scheiterten, weil Agenten Befunde erfanden oder Ziele aufgaben.
Für Verteidiger besteht die unmittelbare Gefahr nicht darin, dass KI jedes System verwundbar gemacht hat. Vielmehr können Angreifer nun mit weniger manuellem Aufwand bei mehr Zielen nach bestehenden Schwachstellen suchen, wodurch starke Zugriffskontrollen, kontinuierliche Überwachung und zeitnahe Behebung immer wichtiger werden.
Weitere Meldung: Hacker nutzen eine kritische Node-RED-Schwachstelle (CVE-2026-58115)zum Einsatz bösartiger Automatisierungsabläufe und dauerhafter Hintertüren. Das veranlasste Siemens, betroffene SIMATIC-IoT2050-Nutzer zum Aktualisieren ihrer Systeme und zur Verstärkung der Zugriffskontrollen aufzufordern.