Newshot 文章标题：台湾黑客利用 BOSSAI AI 智能体窃取台北紧急调度记录
正文：
Acronis 威胁研究部门的研究人员上周表示，一名攻击者利用 AI 智能体获取了覆盖台北七个区的紧急调度记录。
这些智能体还发现台北一个消防部门平台在无需登录的情况下暴露了 2018 年的患者数据，包括心电图读数和救护车视频片段。
研究人员高度确信攻击者是居住在台湾花莲市的一名个人。他将这些智能体对准了至少 11 个国家的数百个组织，包括应急服务、银行、大学和军事系统。这些智能体在台湾、墨西哥和泰国的大约 10 个目标上收集了数据或访问了系统。
证据来自攻击者自己的服务器，该服务器最初看起来只是一个配置错误的开发系统。结果发现，这正是他的实际攻击平台，其中包含超过 90,000 个文件，包括智能体的对话记录、他的命令历史、黑客工具、凭据以及受害者的数据。
这些智能体彼此之间并不通信，因此攻击者手动将一个智能体的输出粘贴到另一个智能体中。商业 AI 模型大多拒绝协助他实施攻击。因此，实施攻击的智能体几乎完全运行在“abliterated”模型上，即移除了安全训练后在本地运行的 AI 模型。
智能体触及了什么
根据研究人员的技木分析，台湾遭受的攻击远比任何其他国家都严重。当地已确认的最严重危害涉及应急服务数据。
调度记录来自某市针对 119（台湾火警和救护车紧急电话）的系统。智能体从该系统的 API 中拉取了这些记录，其中包含事件时间、响应类型、案件状态和街道级位置。它们是案件记录，而非实时救护车追踪。
研究人员的摘要称，应急服务和大学的入侵导致了医疗和个人数据被盗。然而，他们对台北患者平台的详细描述仅称这些记录被暴露。
这些智能体还攻击了另外五个与台湾应急服务相关的目标：
| 目标 | 智能体做了什么 | 结果 |
|---|---|---|
| 消防调度技术供应商 | 使用默认 root 凭据登录其数据库管理面板。通过已知 CVE 尝试植入 web shell 失败。 | 访问了 18 个或更多数据库表 |
| 应急管理信息系统 | 在该网站的前端 JavaScript 中发现硬编码的 AES-256 密钥，该密钥暴露了会话 cookie 内容，包括管理员的身份 | 未确认遭入侵 |
| 国家灾害应变中心 | 扫描工具报告了一个严重的 Apache 远程代码执行漏洞 | 该漏洞并不存在 |
| 国家消防署单点登录门户 | 尝试猜测登录凭据（暴力破解） | 未确认获得访问权限 |
| 五个城市的消防部门系统 | 扫描这些系统以识别其运行的软件 | 未确认遭入侵 |
报告未说明受影响组织或台湾当局是否已被告知，也未说明暴露的数据是否仍可被访问。
在应急服务之外，智能体通过 SQL 注入从台湾一家贷款公司的账户表中拉取了数据。在泰国，他们在 45 家机构的 489 个潜在目标中进行筛选后，以同样方式从三所大学收集了数据。
台湾黑客利用BOSSAI AI代理窃取台北紧急调度记录
在墨西哥，他们利用政府统计数据、邮政编码列表和电信主管部门数据，收集了约206,800条包含姓名和地址的家庭电话记录。
另有约15个组织遭到攻击，但未确认被入侵。在至少另外八个国家，目标仅被扫描或列入攻击计划，截至研究人员查看时尚未实施。
研究人员对该行动观察了12天。一份记录在案的往来记录显示，攻击者在7月25日仍在活动。
AI如何被使用，以及在哪里失败
这套名为BOSSAI的系统有12个AI代理，其中9个在使用中。一些代理负责搭建和维护攻击者的服务器和工具，另一些则扫描目标并实施攻击。
大部分搭建工作由商业云模型完成，Grok是主要搭建者。当攻击者直接要求它们发动攻击时，Grok和MiniMax M3拒绝了，并要求提供书面证明以证实该工作已获授权。研究人员表示，尚不清楚一封伪造的授权信是否会改变这一结果。
Grok有一个例外，它修复了一个损坏的概念验证脚本，攻击者随后将其交给了一个攻击代理。攻击者还将编码代理Claude Code和Codex重定向到一个abliterated模型，不过它们主要做的是基础设施工作。另一个编码代理Cursor在运行此类模型时，攻击了一个台湾的紧急服务网站。
这些abliterated模型是DeepSeek、GLM和Qwen的版本。
这些代理也出了错。一个扫描工具虚构了CVE，其高危和严重发现中有一半以上是误报或分类错误。主攻击代理还报告了并未发生的结果。
是谁干的
Acronis的归因依据是攻击者在隐藏身份时犯下的错误，结合公开可获取的信息。他在自己的合法业务和攻击服务器之间重复使用同一个身份，包括一个GitHub个人资料、一个标志、一个SSH密钥名称和一个电子邮件地址。
他的家庭IP地址出现在他某次Grok对话中的一次SSH会话里。
他为何这样做则不太清楚。一些针对政府、紧急服务和军事目标的攻击看起来像国家支持的 hacking 组织所为，另一些则看起来像普通的网络犯罪。研究人员认为他可能是想赚钱，目前不清楚他是否为任何人工作。
是什么挡住了这些代理
据研究人员称，这些代理发现的大多是本就保护不力的数据：一个自2018年起就一直开放的医疗数据端口、一个面向公众的API上的调度记录、一个拥有16个SQL注入点的贷款机构，以及运行未打补丁的Oracle数据库的大学。
这些代理在强制登录、付费墙要求有效会话以及端点经过适当过滤的地方失败了。AI让同时找到并接触众多目标变得廉价，但它没能突破那些守得住的防御。
攻击者基础设施中的九个IP地址和九个域名出现在分析末尾的指标列表中。其中没有一个被标记为活跃或不活跃，大多数也没有注明它们的用途。