Un solo threat actor, alla guida di una rete di dodici agenti AI, ha preso di mira centinaia di organizzazioni in undici Paesi; in una decina di casi ha sottratto dati o ottenuto l'accesso ai sistemi, fra cui la piattaforma che i Vigili del Fuoco di Taipei usano per le cartelle cliniche dei pazienti soccorsi. Lo ricostruisce un'indagine dell'Acronis Threat Research Unit (TRU) frutto dell’analisi di oltre 90.000 file recuperati da un server dell'attaccante lasciato accessibile in rete. I ricercatori hanno osservato l'operazione per dodici giorni, con accesso alle conversazioni con gli agenti, ai log di attacco e ai dati delle vittime.

L'unico paese europeo coinvolto è il Regno Unito, dove l'operatore si è limitato a interrogare i motori di ricerca di infrastrutture per individuare le Università esposte. Il grosso dell'attività ha riguardato Taiwan, Messico e Thailandia, ma è comunque di interesse perché mostra con un dettaglio raro come una persona sola possa condurre campagne che fino a poco tempo fa richiedevano un gruppo organizzato. Inoltre, gli obiettivi violati avevano in comune carenze diffuse nella security di diversi aspetti, compresi database non aggiornati e credenziali predefinite mai cambiate.

Acronis inquadra il profilo dell’attaccante in una nuova categoria soprannominata AI-Augmented Threat (AAT), con obiettivi che in parte coincidono con gli APT e l’orchestrazione di campagne di lungo periodo. In questo caso però c’è dietro un individuo che delega agli agenti AI buona parte della complessità tecnica, con una velocità paragonabile a quella documentata da Anthropic nella campagna di spionaggio orchestrata con l'AI resa nota nel 2025. In questo caso però non si riesce a mettere a fuoco il fine ultimo dell’attaccante, dato che negli attacchi ha colpito l’ambito dei soccorsi, delle piattaforme di gioco d'azzardo e altro. Il sospetto è di trovarsi davanti a un threat actor che lavora per scopi economici e ha attaccato quante più organizzazioni possibile per monetizzare l'attività.

Il report ha ribattezzato BOSSAI la rete unica di dodici agenti AI, modelli linguistici su cui giravano, strumenti di attacco e server dell’operatore. Ciascuno degli agenti aveva un ruolo preciso: alcuni costruivano e mantenevano l'infrastruttura, altri scansionavano gli obiettivi e scrivevano gli exploit. Il collegamento con gli strumenti offensivi passava dai server MCP: al picco della campagna ne erano attivi tredici, che davano accesso, fra l'altro, a un'istanza di Kali Linux con nmap, sqlmap, Metasploit e Hydra. L'operatore faceva da ponte fra gli agenti, con ordini in cinese tradizionale spesso ridotti a un indirizzo web. In un attacco contro un servizio di emergenza taiwanese, il report di vulnerabilità prodotto da un agente è passato a un secondo agente per l'analisi dei possibili percorsi d'attacco e poi a un terzo, Cursor, che ha eseguito l'attacco, con tre modelli diversi collegati solo dal copia e incolla dell'operatore.

La costruzione dell'infrastruttura è stata affidata soprattutto a modelli commerciali. In 14 sessioni è stato Grok 4.5 di xAI a installare gli strumenti offensivi e a distribuirne la configurazione agli altri agenti, a impostare il DNS su Cloudflare e attuare l'instradamento della email. Quando l'operatore ha provato a usarli per attaccare, i modelli commerciali hanno sempre rifiutato: Grok ha respinto ogni richiesta esplicita di attacco, accettando una sola volta di correggere uno script dimostrativo. MiniMax M3, il modello che animava l'agente collegato a LINE, ha chiesto più volte un'autorizzazione scritta, ha ricordato le sanzioni previste dalla legge thailandese sui reati informatici e ha fatto notare all'operatore che ogni nuova giustificazione arrivava senza documenti. Questo fallimento generalizzato è una buona notizia, ma c’è poco da festeggiare perché Acronis fa notare come nelle ultime settimane siano perventue diverse segnalazioni di modelli di frontiera aggirati con pretesti banali, come attività di pentesting.

Per la parte offensiva l'operatore ha quindi ripiegato su modelli abliterated, ossia versioni di modelli open source (in questo caso DeepSeek, GLM e Qwen) senza l'allineamento di sicurezza che li porta a rifiutare richieste dannose. Giravano su un cluster di GPU a Guangzhou, in Cina, con 192 GB di memoria video e ulteriore potenza di calcolo noleggiata. Perfino Claude Code e Codex di OpenAI, impiegati per l'infrastruttura (il primo ha configurato il collegamento con LINE), hanno lavorato su quel motore, perché l'operatore intercettava le loro chiamate e le reindirizzava verso lo stesso modello abliterated usato per gli attacchi.

L'agente offensivo principale, Hermes, ha cambiato almeno nove modelli in diciannove giorni, fino a una variante di DeepSeek-V4 che l'operatore chiamava DS4. Alla rimozione dei filtri si sommavano istruzioni di jailbreak, che vietavano al modello di rifiutare, e una modalità autonoma che approvava ogni azione senza conferma. Secondo Acronis la divisione dei compiti fra modelli commerciali per costruire e modelli senza filtri per attaccare potrebbe abbassare la soglia d'ingresso anche per chi non ha competenze di programmazione o di ingegneria AI.

Ricognizione e dati sottratti

La ricognizione partiva da FOFA e Shodan, presenti rispettivamente in 432 e 213 messaggi di Hermes. In Thailandia gli agenti hanno individuato 489 potenziali obiettivi in 45 Università, li hanno ordinati per livello di rischio e hanno lanciato test automatici di SQL injection contro quelli in cima alla lista. A preparare il terreno c'erano anche due scanner di vulnerabilità: la piattaforma open source HalberdStrike usata in almeno 20 progetti e una copia pirata di dello scanner commerciale Acunetix che non dispone di funzionalità AI.

Hermes ha svolto la gran parte del lavoro offensivo, con circa 95 sessioni e 18.311 messaggi, l'83,5% dei quali costituito da chiamate agli strumenti e dai relativi risultati. In un caso l'operatore gli ha chiesto le credenziali di amministrazione e i dati degli studenti di un'università thailandese, e l'agente ha enumerato oltre cinquanta sottodomini, ha avviato scansioni in parallelo, ha trovato una SQL injection su un vecchio database Oracle 9.2, ha estratto una tabella di amministratori di 2.563 righe e ha tentato di scaricare l'archivio degli studenti, tutto senza altri interventi umani. Le procedure ricorrenti erano salvate come skill.

L'altra faccia dell'indagine riguarda gli errori. In HalberdStrike, basato su un modello meno potente di quelli commerciali, oltre la metà delle vulnerabilità classificate come gravi o critiche si è rivelata un falso positivo o un errore di classificazione, tanto che l'operatore ha dovuto aggiungere regole contro i risultati inventati. L'autonomia concessa agli agenti, istruiti a non disturbare l'operatore prima di aver trovato una vulnerabilità sfruttabile, ha avuto un effetto paradossale: mentre cercava numeri di telefono messicani, Hermes è finito su un sistema del personale dell'aeronautica militare dell'Honduras, ne ha mappato le API e poi lo ha abbandonato giudicandolo fuori perimetro, senza consultare l'operatore.

Acronis reputa che l'ambizione dell'operatore ha superato di molto ciò che la rete di agenti riusciva a ottenere. Quando esiste una vulnerabilità classica come la SQL injection gli agenti la individuano rapidamente, mentre dove l'autenticazione era applicata e gli endpoint filtrati correttamente hanno fallito.

A tradire l'operatore sono stati gli errori di sicurezza operativa. Lo stesso indirizzo IP domestico ospitava l'infrastruttura d'attacco, un negozio online di cosmetici coreani, un servizio di pubblicazione automatica sui social e il sito di una rivendita di gas. Le chiavi API di Shodan, Cloudflare, MiniMax e NVIDIA erano salvate in chiaro nei file e nella cronologia dei comandi, e un account GitHub con lo stesso logo e la stessa email collegava tutto a un negozio fisico nella contea di Hualien. Su queste basi Acronis attribuisce con alta confidenza l'attività a un singolo individuo residente a Hualien City, a Taiwan.