BOSSAI, uma plataforma de ataques baseada em agentes de IA e operada por uma única pessoa, expôs dados médicos e de despacho de emergência em Taipei.
A campanha atingiu centenas de organizações em onze países, incluindo serviços de emergência, bancos, universidades, sistemas militares e sites de comércio eletrônico. Invasões confirmadas atingiram universidades e prestadores de serviços de emergência, com dados médicos e informações de identificação pessoal (PII, na sigla em inglês) extraídos sem autorização.
Uma plataforma de registros de atendimento a pacientes do corpo de bombeiros de Taipei expôs leituras de eletrocardiograma (ECG), vídeos de ambulâncias e sinais vitais de pacientes, sem exigir credenciais.
Os dados datavam de 2018. Os agentes também obtiveram registros de casos do sistema de despacho 119 da cidade, com horários de ocorrências, tipos de resposta, campos de status e localizações em nível de rua em sete distritos de Taipei.
A Acronis ressalta que se tratava de registros de casos de API (interface de programação de aplicações), e não de rastreamento em tempo real de ambulâncias. Outras reportagens afirmam que a campanha também levou dados de estudantes de universidades tailandesas e mais de 200 mil registros telefônicos residenciais mexicanos.
Os atacantes, como Hermes, Cursor, Trae e CyberStrike, varreram alvos e desenvolveram explorações (exploits). No auge, a malha carregou 13 servidores do Model Context Protocol (MCP, protocolo de contexto de modelos), que expunham ferramentas como nmap, sqlmap e Metasploit, por meio do Kali, além do Ghidra e de consultas de CVE (Common Vulnerabilities and Exposures, catálogo de vulnerabilidades conhecidas).
O operador ficava no centro da malha e colava manualmente os resultados entre os agentes. Em uma cadeia documentada, o HalberdStrike varreu um alvo de serviços de emergência, o Hermes consolidou as descobertas e o Cursor executou a exploração seguindo instruções do operador. O Hermes rodou cerca de 95 sessões e gerou 18.311 mensagens.
A Unidade de Pesquisa de Ameaças da Acronis (TRU) identificou que a BOSSAI é uma malha de 12 agentes de IA, sendo nove ativos e três configurados, mas não utilizados. Ferramentas de construção, como Grok, OpenClaw, Claude Code e Codex, mantinham a infraestrutura.
Ataques da BOSSAI com IA
Em um caso, a plataforma enumerou mais de 50 subdomínios de uma universidade tailandesa, confirmou uma injeção de SQL cega (SQL, linguagem de consulta a bancos de dados) em um host Oracle 9.2.0.4.0 e começou a extrair registros de estudantes.
Modelos comerciais recusaram repetidamente tarefas ofensivas. Alguns exigiram prova de autorização legal e citaram a lei de crimes informáticos.
Por isso, o operador usou modelos “abliterados”, que são modelos de pesos abertos com o alinhamento de segurança removido.
Eram variantes de DeepSeek, GLM e Qwen hospedadas em placas de vídeo RTX 4090 locais (GPUs). O Hermes alternou entre pelo menos nove modelos em 19 dias, antes de se fixar em uma variante do DeepSeek-V4 que o operador chamava de DS4.
O prompt de sistema também concedia autonomia total e rodava em modo de aprovação automática.
A abordagem teve custos. Mais da metade dos achados de alta e crítica gravidade do HalberdStrike eram falsos positivos ou classificações incorretas, e alguns modelos inventaram CVEs.
Agentes com autonomia excessiva também ignoraram um host militar hondurenho, por considerarem que ele estava fora do escopo.
A TRU encontrou a plataforma por meio do que parecia ser um ambiente de desenvolvimento mal configurado. Ele tinha mais de 90 mil arquivos, totalizando 9 GB, incluindo conversas entre agentes, históricos de comandos e dados de vítimas.
A TRU avalia com alta confiança que um único indivíduo em Hualien, Taiwan, operava a infraestrutura. A unidade classifica a atividade como uma “ameaça aumentada por IA”, ou seja, um ator isolado com alcance semelhante ao de grupos APT (ameaças persistentes avançadas), mas sem objetivo político ou financeiro claro.
Um aplicativo em C# para Windows Forms dava suporte a todo o ciclo de exploração de câmeras de vigilância Hikvision, incluindo acesso não autorizado a dispositivos e execução remota de código (RCE) por meio de funções como keepAlive, applyCT e applyAutoLoginTicket.
A BOSSAI não é o primeiro caso de intrusão com IA em Taiwan. Em agosto, o Ministério de Assuntos Digitais de Taiwan afirmou ter detectado ataques assistidos por IA contra órgãos governamentais desde 20 de julho.
Segundo o órgão, tratava-se de uma combinação de operações manuais e agentes de IA, como o OpenClaw. A empresa israelense Dream atribuiu uma campanha separada a atores suspeitos de ligação com a China.
O ministério informou que os agentes obtiveram 85 credenciais e extraíram mais de 2.564 registros de pessoal. Desde então, Taiwan criou uma força-tarefa para enfrentar ameaças cibernéticas com IA.
A Acronis observa que os sistemas expostos já eram fracamente protegidos antes de qualquer envolvimento de IA.
Eles incluíam uma porta de dados médicos deixada aberta desde 2018, registros de despacho em uma API pública, um banco com 16 pontos de injeção de SQL e bancos de dados Oracle sem correções de segurança aplicadas.
Os agentes não criaram essas falhas, mas as encontraram e coletaram de forma mais rápida e sistemática do que um atacante manual conseguiria.
Equipes de defesa devem fechar exposições de sistemas legados, autenticar APIs públicas e monitorar varreduras automatizadas e rápidas.
Indicadores de comprometimento (IOCs)
Observação: endereços IP e domínios foram intencionalmente desfigurados (ex.: [.]) para evitar resolução ou hiperlink acidental. A conversão deve ser refeita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de informações e eventos de segurança).
