Un pirate informatique a utilisé 12 agents IA pour cibler les services d’urgence de Taïwan

Un seul pirate informatique a utilisé un réseau de 12 agents IA pour cibler des centaines d’organisations, exposant des informations sensibles sur les interventions d’urgence à Taïwan et compromettant des systèmes universitaires et financiers.

L’entreprise de cybersécurité Acronis a découvert cette opération, baptisée BOSSAI, et l’a attribuée à un opérateur basé à Taïwan qui coordonnait des outils d’IA pour analyser les réseaux, identifier les vulnérabilités et tenter d’obtenir un accès non autorisé. La campagne a touché des organisations dans 11 pays, même si seule une fraction des attaques tentées a abouti à des compromissions confirmées.

L’enquête montre comment une seule personne peut utiliser l’IA pour mener des cyberattaques à une échelle jusqu’ici associée à des opérations de plus grande ampleur. Elle met également en évidence les limites de cette technologie, notamment les vulnérabilités fabriquées, les tentatives d’exploitation infructueuses et le refus des modèles d’IA commerciaux d’exécuter des instructions malveillantes.

BOSSAI a combiné 12 agents IA au sein d’une même opération d’attaque

Selon l’Acronis Threat Research Unit (TRU), BOSSAI se composait de 12 agents IA, dont neuf étaient actifs au moment de l’enquête.

Les agents avaient des responsabilités différentes. Certains construisaient et entretenaient l’infrastructure d’attaque, tandis que d’autres effectuaient la reconnaissance, analysaient les vulnérabilités, développaient des scripts et tentaient de les exploiter.

Hermes prenait en charge l’essentiel des activités offensives, avec l’aide d’outils tels que HalberdStrike pour évaluer les vulnérabilités, Cursor et Trae pour développer du code, et CyberStrike pour effectuer des tests de sécurité supplémentaires.

Une activité d’attaque similaire assistée par l’IA est apparue au Japon, où CyberStrikeAI a utilisé 44 agents IA pour cibler des organisationsau moyen d’opérations de reconnaissance automatisées, de tentatives d’exploitation et de rapports. Les chercheurs n’ont pas établi de lien entre les deux opérations.

L’opérateur a connecté ces systèmes à des outils de test d’intrusion par l’intermédiaire de serveurs Model Context Protocol (MCP), permettant aux agents d’appeler des scanners, des utilitaires d’analyse des vulnérabilités et des frameworks d’exploitation.

Cependant, les agents ne communiquaient pas directement entre eux. Acronis a découvertque l’opérateur copiait fréquemment les résultats d’une interface d’IA à l’autre afin de coordonner les différentes étapes d’une attaque.

Dans un cas concernant les services d’urgence taïwanais, HalberdStrike a généré un rapport de vulnérabilité que l’opérateur a transmis à Hermes pour analyse. Les résultats ont ensuite été transférés à Cursor, avec pour instruction d’exploiter les faiblesses identifiées.

Cette configuration permettait à une seule personne de répartir des opérations complexes entre des outils spécialisés, réduisant la nécessité d’effectuer manuellement chaque tâche technique.

Les systèmes d’urgence taïwanais ont exposé des dossiers médicaux et des données de dispatching

Taïwan a été la cible la plus importante, en particulier dans les services d’urgence, les systèmes gouvernementaux et les institutions financières.

Ces résultats alimentent les inquiétudes de Taïwan concernant les intrusions assistées par l’IA, après une enquête précédente sur des cyberattaques menées par des agents IA contre des réseaux gouvernementauxqui impliquaient des outils coordonnés et des techniques de piratage traditionnelles. Il n’a pas été établi que ces incidents étaient liés.

Acronis a identifié une plateforme de prise en charge des patients en urgence d’un service d’incendie de Taipei qui exposait des informations médicales sans exiger d’authentification.

Les dossiers accessibles dataient de 2018 et comprenaient des relevés d’électrocardiogrammes, des images vidéo d’ambulances et les signes vitaux des patients.

Par ailleurs, des agents de BOSSAI ont accédé au système de dispatching d’urgence 119 d’une ville et extrait des dossiers couvrant sept districts de Taipei.

Les informations dérobées comprenaient l’heure des incidents, les catégories d’intervention, l’état des dossiers et les emplacements au niveau des rues.

Les chercheurs ont précisé que les dossiers ne permettaient pas de suivre en temps réel les ambulances par GPS. Ils contenaient néanmoins des informations opérationnelles sensibles sur les interventions d’urgence.

D’autres attaques contre les infrastructures d’urgence taïwanaises ont produit des résultats contrastés.

Un système de gestion des urgences contenait une clé de chiffrement AES-256 codée en dur dans du JavaScript côté frontend, exposant le contenu de cookies de session qui comprenait l’identité d’un administrateur. Acronis a également identifié une voie partielle de falsification de requête côté serveur, sans toutefois confirmer une compromission complète.

Entre-temps, une analyse d’une organisation nationale d’intervention en cas de catastrophe a signalé à tort une vulnérabilité critique d’exécution de code à distance dans Apache. Un examen plus approfondi n’a trouvé aucun élément corroborant cette conclusion.

Les expositions confirmées mettent en évidence des faiblesses de sécurité bien connues, notamment des contrôles d’accès insuffisants aux API, des informations sensibles exposées, ainsi que des configurations d’applications non sécurisées.

Les attaques se sont étendues aux universités et aux institutions financières

Selon Acronis, les activités de BOSSAI se sont étendues à 11 pays, même si l’intensité du ciblage variait considérablement.

Pendant une période d’observation de 12 jours, les chercheurs ont identifié un accès non autorisé ou une extraction de données confirmés sur environ 10 cibles dans trois pays. Environ 15 autres cibles ont fait l’objet d’attaques actives sans compromission confirmée.

La Thaïlande a également constitué un axe majeur.

Les agents ont identifié 489 cibles potentielles réparties entre 45 universités et mené des tests automatisés d’injection SQL. Acronis a confirmé l’extraction de données dans trois établissements, tandis que deux autres présentaient des vulnérabilités d’injection vérifiées, sans vol de données confirmé.

Dans une université, un agent a accédé à une table de base de données d’administrateur contenant 2 563 lignes et a tenté d’extraire des dossiers étudiants.

À Taïwan, des agents ont exploité une injection SQL contre la base de données d’une société de services de prêt et en ont extrait des informations de compte. Ils ont également accédé à l’interface d’administration de la base de données d’un fournisseur de technologies de dispatching des pompiers en utilisant les identifiants root par défaut.

Au Mexique, l’opérateur poursuivait un objectif différent : il demandait aux agents de collecter des informations résidentielles. Une opération a produit environ 206 800 enregistrements téléphoniques associés à des noms, des adresses et des codes postaux, tandis qu’une autre opération de récupération de données dans des annuaires a collecté environ 124 000 enregistrements.

Les opérations mexicaines consistaient à collecter et à récupérer des données, plutôt qu’à confirmer des compromissions des systèmes sous-jacents.

Acronis a également identifié des opérations de reconnaissance visant des systèmes et des organisations liés au secteur militaire dans d’autres pays, mais nombre de ces opérations n’ont jamais abouti à une exploitation confirmée.

Ces résultats illustrent la portée du ciblage automatisé, sans établir que toutes les organisations étudiées ont été compromises.

Les modèles d’IA commerciaux ont refusé les attaques, obligeant l’opérateur à se tourner vers des systèmes modifiés

Acronis a également documenté des tentatives répétées visant à convaincre des modèles d’IA commerciaux de participer à des cyberattaques non autorisées.

Les chercheurs ont observé que Grok et MiniMax M3 refusaient les demandes offensives, exigeant souvent une preuve d’autorisation avant d’aider à des tests d’intrusion.

L’opérateur s’est donc appuyé, pour une grande partie de l’exploitation directe, sur des modèles hébergés localement et modifiés pour supprimer les restrictions de sécurité, communément appelés modèles « abliterated »,

Il s’agissait notamment de variantes modifiées de DeepSeek, GLM et Qwen.

Les modèles commerciaux ont néanmoins aidé au développement de l’infrastructure et au dépannage. Cependant, les chercheurs ont constaté que les modèles observés refusaient généralement d’exécuter directement des demandes visant à mener des attaques non autorisées.

Les modèles locaux modifiés se montraient plus disposés à suivre ces instructions, mais leurs résultats étaient souvent peu fiables et nécessitaient un dépannage supplémentaire.

Ces résultats suggèrent que les protections des IA commerciales ont créé des obstacles pour l’opérateur, même si l’accès à des modèles modifiés et à des outils de sécurité existants a permis à l’opération de se poursuivre dans son ensemble.

Les agents IA ont fabriqué des vulnérabilités et manqué des cibles potentielles

L’automatisation de BOSSAI a également créé des problèmes pour son opérateur.

Selon Acronis, plus de la moitié des vulnérabilités à gravité élevée ou critique détectées par HalberdStrike étaient des faux positifs ou des erreurs de classification.

Certains agents ont considéré à tort des tentatives de connexion échouées comme la preuve de failles de sécurité graves, produisant des rapports détaillés qui semblaient crédibles malgré l’absence de fondement technique.

Les agents ont également pris des décisions qui allaient à l’encontre des objectifs de l’attaquant.

Lors d’une opération de reconnaissance portant sur des annuaires téléphoniques mexicains, Hermes a découvert un système de personnel militaire hondurien, mais a abandonné toute exploitation ultérieure après avoir déterminé que la cible ne relevait pas de son périmètre.

L’opérateur avait demandé à l’agent de prendre ses décisions de manière autonome, sans solliciter d’approbation répétée.

Si cela réduisait les interventions manuelles, l’attaquant risquait aussi de passer à côté de découvertes potentiellement utiles ou de perdre du temps à examiner des vulnérabilités inexistantes.

Acronis a indiqué que les agents généraient d’importants volumes d’informations, ce qui compliquait la surveillance de chaque action et l’évaluation des résultats par un seul opérateur.

L’enquête montre que l’IA autonome peut accroître la portée d’un attaquant sans garantir la précision de l’analyse ni la réussite de l’exploitation.

Ce que les équipes de sécurité doivent retenir de BOSSAI

Les compromissions confirmées de BOSSAI reposaient en grande partie sur des faiblesses de sécurité existantes plutôt que sur des vulnérabilités jusqu’alors inconnues.

Les dossiers d’urgence exposés, les failles d’injection SQL et les identifiants par défaut ont fourni aux agents des occasions d’accéder à des informations qui auraient dû être protégées.

Pour les organisations responsables d’infrastructures critiques et de données sensibles, ces résultats renforcent plusieurs priorités défensives :

• Sécuriser les API exposées au public.Exiger une authentification et appliquer des contrôles d’autorisation afin d’empêcher l’accès aux dossiers sensibles.
• Examiner les systèmes obsolètes.Identifier les bases de données anciennes, les services exposés et les applications qui peuvent rester accessibles sans protections suffisantes.
• Supprimer les identifiants par défaut.Restreindre les interfaces d’administration et appliquer une authentification renforcée sur les systèmes de gestion.
• Surveiller la reconnaissance automatisée.Examiner les activités d’analyse inhabituelles, les tentatives de connexion répétées et les requêtes suspectes visant les infrastructures exposées au public.
• Valider les résultats de l’analyse des vulnérabilités.Confirmer les failles suspectées à l’aide d’éléments techniques probants plutôt que de s’en remettre entièrement aux évaluations automatisées.

Les organisations qui déploient leurs propres agents IA devraient également limiter les autorisations des outils, surveiller leur exécution et exiger une validation humaine pour les opérations sensibles.

BOSSAI montre comment un seul opérateur peut combiner des agents IA et des outils de sécurité existants pour attaquer des organisations dans plusieurs pays. Mais l’enquête montre également que de nombreuses tentatives ont échoué, les agents fabriquant des résultats ou abandonnant certaines cibles.

Pour les défenseurs, le problème immédiat n’est pas que l’IA aurait rendu tous les systèmes vulnérables. C’est que les attaquants peuvent désormais rechercher les faiblesses existantes sur un plus grand nombre de cibles avec moins d’efforts manuels, ce qui rend d’autant plus importants des contrôles d’accès solides, une surveillance continue et une remédiation rapide.

Autres actualités : des pirates informatiques exploitant une vulnérabilité critique de Node-RED (CVE-2026-58115)pour déployer des flux d’automatisation malveillants et des portes dérobées persistantes, incitant Siemens à demander aux utilisateurs concernés de SIMATIC IoT2050 de mettre à jour leurs systèmes et de renforcer les contrôles d’accès.