BOSSAI: Einzelner Angreifer steuert zwölf KI-Agenten

Die Threat Research Unit (TRU) des Schweizer Sicherheitsanbieters Acronis hat eine Angriffskampagne analysiert, bei der ein einzelner Akteur ein Netzwerk aus spezialisierten KI-Agenten steuerte. Die als BOSSAI bezeichnete Infrastruktur unterstützte die Suche nach Zielen, die Analyse von Schwachstellen und die Durchführung von Angriffen. Betroffen waren Rettungsdienste, Finanzunternehmen, Hochschulen und staatliche Einrichtungen. Bei rund zehn Zielen bestätigte Acronis Datenabflüsse oder Systemzugriffe. Mit hoher Sicherheit ordnet Acronis die Aktivitäten einem einzelnen Akteur in Taiwan zu.

Offene Umgebung verriet Angriffsplattform

Ausgangspunkt war eine offen zugängliche Umgebung, die zunächst wie ein falsch konfiguriertes Entwicklungssystem wirkte. Sie enthielt mehr als 90.000 Dateien mit insgesamt neun Gigabyte, darunter Infrastrukturdaten, Befehlsverläufe, Unterhaltungen mit den KI-Agenten und erbeutete Daten.

BOSSAI bestand aus zwölf eingerichteten Agenten, von denen neun während der Analyse aktiv waren. Sie übernahmen unterschiedliche Aufgaben vom Aufbau der Infrastruktur über die Erkundung von Zielen bis zum eigentlichen Angriff. Werkzeuge für Sicherheitsanalysen und Penetrationstests waren über Server für das Model Context Protocol (MCP) angebunden. Die Agenten kommunizierten nicht direkt miteinander. Der Angreifer gab die Ergebnisse von Hand von einem Agenten an den nächsten weiter und steuerte sie überwiegend über deren Terminals. Acronis bezeichnet diese Form als AI-Augmented Threat (AAT), bei der ein Einzelner mit KI deutlich mehr technische Aufgaben bewältigen kann als allein.

Kommerzielle Modelle verweigerten Angriffe

Kommerzielle KI-Modelle halfen beim Aufbau der Infrastruktur, verweigerten aber in den beobachteten Fällen wiederholt offensive Aufgaben. Für die Angriffe nutzte der Akteur deshalb vor allem lokal betriebene Modelle, bei denen Sicherheitsbeschränkungen gezielt entfernt worden waren. Auch diese arbeiteten unzuverlässig. Die Agenten erfanden Schwachstellen, überbewerteten Ergebnisse und scheiterten an fehlerhaften Werkzeugen. Ein angeblich kritischer Fund bei einem Katastrophenschutzzentrum erwies sich als falsch. Wo Authentifizierung und Zugriffsbeschränkungen wirksam umgesetzt waren, blieben die Angriffe erfolglos.

Daten von Rettungsdiensten und Hochschulen

Am schwersten wiegt laut Acronis der Zugriff auf eine Plattform für Rettungsdienstprotokolle in Taipeh. Dort waren ohne Zugangsdaten EKG-Aufzeichnungen, Videos aus Rettungswagen und Vitalwerte aus dem Jahr 2018 erreichbar. Zudem lasen die Agenten aus einem Notrufdispositionssystem Einsatzdaten mit Zeit-, Status- und Ortsangaben aus. In Thailand griffen sie 45 Hochschulen an, bei drei bestätigte Acronis Datenabflüsse.

„Für Unternehmen bedeutet dies, dass kleine Fehler zu Sicherheitsvorfällen führen können und ein geringer Bekanntheitsgrad keinen Schutz mehr bietet.”
Eliad Kimhy, Senior Security Researcher bei Acronis TRU

Acronis empfiehlt, aus dem Internet erreichbare Systeme regelmäßig zu erfassen, Authentifizierung für jede API serverseitig zu prüfen, SQL-Injection-Lücken zu schließen und automatisierte Schwachstellenmeldungen vor der Priorisierung technisch zu überprüfen. Auch Zscaler hatte zuletzt eine Kampagne beschrieben, bei der ein Akteur mehrere KI-Modelle koordinierte.

(red/Acronis)