Acronis揭露AI自動化攻擊系統BOSSAI運作細節，整合12個AI代理、MCP與Skills

資安業者Acronis威脅研究單位（TRU）近日揭露，臺灣緊急服務系統遭到名為BossAI的AI攻擊架構鎖定，而且攻擊目標不只是臺灣緊急服務系統，還涵蓋全球11個國家的數百個組織。研究人員進一步發現，這套架構由一名據信位於臺灣花蓮市的攻擊者操作，整合12個AI代理，透過不同代理分工、模型上下文協定（MCP）串接滲透測試工具，並使用移除安全限制的本機AI模型執行攻擊。

關於發現經過，根據Acronis的說明，研究人員是從一處疑似設定不當的開發環境展開調查，取得超過9萬個檔案、總計約9GB的資料，內容涵蓋AI代理對話紀錄、攻擊指令、系統設定、漏洞利用工具及受害者資料，使研究人員得以還原這套攻擊架構的實際運作方式。

Acronis分析後發現，BossAI雖然整合12個AI代理，但調查期間實際運作的只有9個，而且這些代理並未建立直接通訊機制，而是由攻擊者手動傳遞工作成果。例如，針對臺灣緊急服務系統的攻擊，攻擊者先使用HalberdStrike掃描網站，取得弱點報告，再交由Hermes整合分析可能的攻擊路徑，最後將分析結果提供給Cursor，要求進一步利用漏洞。換言之，這套架構雖然能夠自動執行部分攻擊任務，但不同AI代理之間的協調仍仰賴人工操作。

除了運用不同AI代理分工，攻擊者也利用Skills保存攻擊流程及過往經驗。Acronis指出，Hermes使用多個專門設計的Skills，每個Skill以SKILL.md檔案記錄操作指示，並搭配腳本及參考資料，讓AI代理在執行相關任務時能夠載入使用。其中，專門針對臺灣政府消防派遣及緊急管理API的gov-api-penetration，是使用最頻繁的Skill，累計使用51次、修改57次，內容涵蓋網站內容管理系統辨識、API端點探查及漏洞利用參考資料。這些Skills還能隨著執行結果更新內容，保存先前取得的偵察資料，讓AI代理在不同工作階段，甚至更換底層模型後，仍能沿用既有成果。

在弱點掃描方面，攻擊者使用的HalberdStrike是以PenTestGPT為基礎開發的AI滲透測試工具，透過3個AI模型分別負責推理、指令產生及結果解析，由推理模型規畫滲透測試策略、生成模型產生操作指令，再交由執行元件（Runner）執行，最後由解析模型分析結果。值得注意的是，這套工具原本設有驗證機制（Validator），負責檢查操作安全性與測試範圍，但攻擊者實際上停用了範圍限制，並將所有風險等級設為自動核准。此外，攻擊者也使用傳統弱點掃描工具Acunetix Web Vulnerability Scanner（AWVS），並建立名為awvs-llm-analyzer的Skill，透過API讀取掃描結果，再交由本機AI模型判斷是否為真正的漏洞、評估嚴重程度，最後產生JSON與HTML報告，藉此將傳統弱點掃描與AI分析結合。

Acronis也發現，為了減少人工介入，攻擊者進一步調整AI代理的執行方式，例如，Hermes的系統提示詞包含不得拒絕具有雙重用途的技術工作、無須再次詢問使用者，以及僅在確認漏洞可利用後才回報等指示。此外，攻擊者還啟用HERMES_YOLO_MODE=1，自動核准代理執行操作，並設定HERMES_ACCEPT_HOOKS=1，讓事件Hook腳本無須人工核准即可載入及執行。這些設定搭配移除安全限制的AI模型，使Hermes能在接獲目標後自行規畫並執行後續工作。研究人員發現，Hermes在約95個工作階段中產生18,311則訊息，其中83.5%為工具呼叫及執行結果。

Acronis還發現這套架構的運作上，暴露AI代理在弱點判斷上的可靠性問題。例如，HalberdStrike曾將連線失敗誤判為RCE漏洞，也曾把測試失敗的結果列為高風險弱點，其回報的高風險及重大弱點中，超過半數實際上是誤報或錯誤分類，甚至促使攻擊者在活動進行期間修改解析模組的提示詞，加入避免捏造漏洞的規則。研究人員指出，AI代理雖然能夠快速執行大量偵察及攻擊任務，但也可能產生大量錯誤資訊，增加攻擊者分析及處理結果的負擔，顯示攻擊流程自動化程度提高，並不代表就能順利完成入侵。

Acronis強調，這起事件顯示AI代理讓攻擊者能以較低成本，同時在多個國家尋找及鎖定大量目標，但並不代表能夠突破所有安全防護。在這次調查中，當目標系統具備有效的身分驗證、工作階段存取控制及網路端點過濾機制時，AI代理仍無法順利入侵。研究人員認為，這次受害系統暴露的問題，其實是早已存在的資安弱點，真正值得關注的是，AI代理能以更快的速度、更有系統地發現這些弱點並取得資料。