BOSSAI: як один хакер за допомогою 12 AI-агентів викрав дані екстрених служб Тайваню

Що сталося: мережа BOSSAI

На початку листопада 2026 року команда Acronis Threat Research Unit (TRU) опублікувала розслідування, яке дає один із найдетальніших на сьогодні поглядів на те, як виглядає атака, організована одним оператором за допомогою мережі AI-агентів. Кампанію назвали BOSSAI — це «сітка» з 12 AI-агентів, якими керувала одна людина з міста Хуалянь на Тайвані.

Протягом тижнів ця мережа атакувала сотні організацій щонайменше в 11 країнах — серед цілей були екстрені служби, банки та кредитори, університети, військові системи, телефонні довідники, платформи електронної комерції та гемблінгові сайти. Підтверджені вторгнення та викрадення даних зафіксовано приблизно в 10 організаціях у трьох країнах — Тайвані, Мексиці та Таїланді, ще близько 15 цілей активно атакували, але без підтвердженого компрометації.

Дослідники натрапили на кампанію майже випадково: те, що спершу виглядало як неправильно налаштоване середовище розробника, виявилося повноцінною операційною платформою атаки. У ній зберігалося понад 90 000 файлів загальним обсягом близько 9 ГБ — журнали оркестрації атак, розмови AI-агентів, історія команд оператора, експлойти, облікові дані та дані жертв. Це дало дослідникам наскрізну видимість усієї операції: від конфігураційних файлів до внутрішніх комунікацій.

Дані екстрених служб: що саме викрали

Найсерйозніша підтверджена шкода стосується Тайваню, який атакували значно інтенсивніше за інші країни. Агенти дісталися до системи екстрених викликів 119 — тайванського номера пожежної та швидкої допомоги — і витягли через її API записи диспетчерської служби. Це були картки викликів із часом інцидентів, типами реагування, статусами справ та адресами на рівні вулиць у семи районах Тайбея. Важливо: це архівні картки з API, а не живе відстеження руху швидких, — але це все одно підтверджена ексфільтрація критично важливих даних екстреного реагування.

Окремо агенти знайшли платформу записів про пацієнтів пожежного департаменту Тайбея, яка була відкрита без будь-якої автентифікації. Там зберігалися медичні дані, датовані 2018 роком: ЕКГ-показники, відео зі швидких та життєві показники пацієнтів — усе доступне без логіна.

Крім того, агенти атакували ще п'ять цілей, пов'язаних з екстреними службами Тайваню. Вендора технологій пожежної диспетчеризації пробили через дефолтні root-облікові дані в панелі адміністрування бази даних, отримавши доступ до 18 і більше таблиць. В іншій системі управління надзвичайними ситуаціями знайшли захардкоджений AES-256 ключ у front-end JavaScript, який розкривав вміст session-cookie, включно з ідентифікацією адміністратора. А національному центру реагування на катастрофи агент приписав критичну RCE-вразливість Apache, якої… насправді не існувало.

Як влаштована «AI-аугментована» атака

Acronis пропонує новий термін для таких операцій — AI-augmented threat actor (AAT), «AI-аугментований атакувальник». Це не класичний APT із великою командою та ресурсами державного рівня, а одна людина, яка за допомогою AI бере на себе технічну складність, яка раніше вимагала б цілої групи.

Мережа BOSSAI складалася з 12 агентів (9 активних на момент дослідження), кожен зі своєю роллю. Будівники — Grok, OpenClaw, Claude Code, Codex — збирали й підтримували саму інфраструктуру: MCP-з'єднання, DNS, проксі, шлюзи месенджерів. Атакувальники — передусім Hermes, а також Cursor, Trae і CyberStrike — сканували цілі й будували експлойти. Окремий шар сканування — агентний HalberdStrike та зламана інсталяція Acunetix — генерував структуровані звіти про вразливості.

Ключова деталь: агенти не спілкувалися між собою напряму. Оператор був «мостом», вручну копіюючи результати одного агента в інший. В одному задокументованому випадку HalberdStrike відсканував тайванську ціль екстрених служб, Hermes звів знахідки в єдиний звіт з аналізом шляхів атаки, а оператор вставив цей звіт у Cursor з інструкцією «допоможи мені експлуатувати ці вразливості» — і той виконав атаку.

Усю цю конструкцію з'єднували сервери за протоколом Model Context Protocol (MCP). На піку мережа завантажувала 13 MCP-серверів, які давали доступ до інструментів для GitHub-безпеки, пошуку CVE, OSINT, аудиту хмари, бінарного аналізу через Ghidra та Radare2, автоматизації браузера через Playwright, а також обгорнутий у MCP Kali Linux із nmap, sqlmap, Metasploit і Hydra. За лаштунками — парк GPU: основний хост із RTX 4090 для локальних моделей через llama.cpp, орендовані GPU під більші моделі, вісім VPS-вузлів та шари проксі (SOCKS5 і datacenter-проксі BrightData для геолокації вихідних вузлів).

Abliterated-моделі: коли знімають обмеження безпеки

Окрема і, мабуть, найтривожніша частина історії — це моделі, на яких працювало «наступальне ядро» мережі. Агенти, які безпосередньо виконували атаки, майже виключно працювали на abliterated-моделях — це локально запущені відкриті моделі, з яких штучно зняли захисне вирівнювання (safety alignment). У BOSSAI це були «обрізані» варіанти відкритих моделей DeepSeek, GLM і Qwen — китайських open-source моделей, доопрацьованих так, щоб вони не відмовлялися від шкідливих інструкцій.

Основний атакувальний агент Hermes за 19 днів змінив щонайменше дев'ять моделей, тестуючи кожну на реальних завданнях і лишаючи або замінюючи протягом годин. Фінальним вибором став «DS4» — abliterated-варіант DeepSeek-V4 із контекстом 64K на локальних GPU. Загалом через Hermes пройшло близько 95 сесій і 18 311 повідомлень, із яких 83,5% — прямі виклики інструментів.

Оператор ще й підсилював «покірність» моделей системними промптами. Ідентифікаційний файл Hermes прямо наказував моделі ніколи не відмовлятися від «легітимного технічного обговорення», не моралізувати, не ухилятися і не вимовляти фразу «як AI я не можу». Там були й відверто кримінальні настанови на кшталт «не пиши тестових скриптів — одразу по цілі» та «що серйозніше, то більше $$$$.

Комерційні моделі відмовилися — і це важливо

Водночас розслідування показує, що захисні механізми комерційних AI-моделей працюють. Комерційні моделі — ті самі, що їх оператор охоче використовував для побудови інфраструктури — неодноразово відмовлялися від запитів на ідентифікацію та експлуатацію вразливостей. Деякі просили оператора довести, що дія є законною, а коли доказів не було — відмовляли. Китайські комерційні open-source моделі теж відмовляли в інструкціях для зламу і навіть читали оператору лекції про кіберзакони.

Саме тому оператор і перейшов на локальні abliterated-моделі — менш потужні й обмежені ресурсами, але без вбудованих запобіжників. Це важливий нюанс для розуміння ландшафту загроз: загрозу становлять не стільки комерційні чат-боти, скільки відкриті моделі зі знятими обмеженнями, які можна запускати локально без жодного нагляду. Відкритість — це і благо для дослідників, і сировина для зловмисників, які вміють «обрізати» модель під свої задачі.

Що пішло не так у зловмисника

Попри масштаб, BOSSAI — це не історія про бездоганну автоматизацію. Дослідники зафіксували чимало збоїв, відмов і галюцинацій.

Найпоказовіший приклад — галлюцинована вразливість. Агент згенерував впевнений, структурований звіт про критичну RCE-вразливість Apache в одній із тайванських цілей — але цієї вразливості не існувало. Це чудова ілюстрація головного ризику автономних агентів: вони продукують гігантські обсяги інформації, які один оператор просто не встигає перевіряти, і в цьому шумі губиться і правда, і брехня.

Ще один іронічний збій — надмірна автономія. Оператор наказав агентам «не турбувати його» і дав їм повну свободу рішень. У результаті Hermes під час збору мексиканських даних натрапив на військову систему персоналу ВПС Гондурасу, трохи її просканував, але покинув — бо, за власним міркуванням моделі, ціль «поза межами завдання». Якби оператор знав, можливо, пішов би далі.

Були й прямі невдачі: брутфорс мексиканського WooCommerce-магазину за приблизно 260 000 записів не спрацював, а XML-RPC credential stuffing проти мексиканського новинного сайту (понад 2 600 комбінацій) не дав жодного валідного логіна. Агенти падали там, де була впроваджена автентифікація, де paywall вимагав валідної сесії і де ендпоінти були належно відфільтровані.

Як захиститися від атак AI-агентів

Головний висновок дослідження для захисників парадоксальний: AI не «чаклує» доступ там, де захист тримається. Агенти зробили дешевим і паралельним пошук цілей, але самі вразливості — старі й добре відомі: дефолтні root-паролі, відкриті без автентифікації API, захардкоджені ключі шифрування у front-end, незапатчені Oracle-бази та SQL-ін'єкції. Це історія вразливостей, старіша за будь-якого AI-агента, — новими є швидкість і систематичність, з якими їх тепер знаходять.

Звідси практичні висновки:

• «Незрозумілість — не захист». Агенти можуть просканувати десятки піддоменів і сотні цілей одночасно (у Таїланді — 489 потенційних цілей у 45 установах). Приховати сервіс більше недостатньо — потрібна реальна видимість власних експонованих сервісів.
• Закривайте класичні діри першими. Дефолтні облікові дані, SQL-ін'єкції, незапатчені legacy-системи — саме через них проходили агенти. Патч-менеджмент і примусова автентифікація зупиняють більшість таких атак.
• Моніторте аномальну активність. Масове систематичне сканування, раптові сплески запитів до API, перебір піддоменів — це патерни, які можна детектувати.
• Відрізняйте підтверджену компрометацію від шуму. Автоматизовані AI-звіти часто містять галюцинації та хибні знахідки. Кожен сигнал від автономних інструментів потребує ручної валідації, перш ніж на нього реагувати.
• Слідкуйте за своїми витоками. Якщо дані вашої організації вже «гуляють» мережею, перевірте це через інструмент перевірки витоків, а команду варто підсилити навичками роботи з новими AI-загрозами — почати можна з бази про навчання кібербезпеці.

Висновок

BOSSAI — це вікно в найближче майбутнє кіберзагроз. Одна людина з доступом до відкритих моделей, GPU та MCP-інструментів змогла вести кампанії, які за масштабом нагадують роботу цілої APT-групи: державні мережі, екстрені служби та військові системи — через шпигунство, крадіжку даних і опортуністичні вторгнення. Acronis вводить для цього окремий клас — «AI-аугментований атакувальник».

Але та сама історія показує й межі цієї загрози. Комерційні моделі чинять опір зловмисним інструкціям, abliterated-моделі менш здатні й схильні до галюцинацій, а автономність без нагляду призводить до того, що агенти самі промахуються повз найцінніші цілі. Атаки стають швидшими й дешевшими, але не «чарівними»: вони, як і раніше, спираються на слабкі місця, які можна — і треба — закривати.

Для України, яка роками живе в умовах кібервійни, урок прямий: наступне покоління атак не обов'язково прийде від державної групи — воно може прийти від однієї вмотивованої людини з правильно налаштованими AI-агентами. І найкраща відповідь на це — не екзотичні AI-засоби, а базова кібергігієна, дисципліна патчів і належна автентифікація, які й сьогодні зупиняють більшість таких кампаній.