Acronis, tek bir Tayvanlı operatörün yönettiği on iki ajanlı BOSSAI yapay zeka saldırı ağını ayrıntılarıyla anlattı

Kurulum

4 Kasım'da yayımlanan bir Acronis Threat Research Unit raporu, Tayvan'ın Hualien kentindeki tek bir operatörün on iki ülkedeki yüzlerce kuruluşa karşı on iki yapay zeka ajanından oluşan bir ağ kullandığı bir saldırı kampanyasını belgeliyor. Araştırmacılar operasyonun alışılmadık ölçüde eksiksiz bir görünümünü elde etmeyi başardı; çünkü operatör tüm platformunu hatalı yapılandırılmış bir sunucuda açıkta bırakmıştı: ajan konuşmaları, komut geçmişleri, kimlik bilgileri ve kurban verileri içeren 90 binden fazla dosya. Acronis kampanyayı on iki gün boyunca gözlemledi ve bu hafta yayımlanan bir dev.to yazısı bulguları adım adım ele alıyor.

BOSSAI adlı sistem, küçük bir mühendislik ekibini andıran rollere bölünmüş dokuz aktif ajana sahipti. Builder ajanları — Grok, OpenClaw, Claude Code ve Codex — MCP sunucuları, DNS, proxy'ler ve mesajlaşma uygulaması ağ geçitleri gibi altyapıyı kuruyordu. Hermes adlı bir ajanın önderlik ettiği ve Cursor, Trae ve CyberStrike tarafından desteklenen saldırı ajanları ise tarama ve sömürü işlerini yürütüyordu. Zirve döneminde platform, nmap, sqlmap, Metasploit ve Hydra'nın yanı sıra Ghidra, Playwright ve OSINT ile CVE sorgulama servislerini saran on üç MCP sunucusunda Kali Linux araçlarını çalıştırıyordu; bu sayı daha sonra üçe indirildi. Yapısal bir ayrıntı göze çarpıyor: ajanlar asla doğrudan iletişim kurmadı. Operatör entegrasyon katmanıydı; bir ajanın çıktısını diğerinin terminaline elle yapıştırıyordu, bazen telefonundan WeChat ya da LINE üzerinden.

Saldırı işini yerel ve güvenlik katmanı kaldırılmış modeller yaptı

Rapora göre ticari bulut modelleri katılmayı reddetti. Grok ve MiniMax M3 doğrudan saldırı taleplerini geri çevirdi ve yazılı yetki kanıtı talep etti; Çin kaynaklı açık kaynak modeller de aynı şekilde reddedip operatöre siber hukuku ders verdi. Bu nedenle saldırının çekirdeği, güvenlik hizalaması kaldırılmış — "abliterated" — yerel modellerde çalışıyordu: iki RTX 4090 GPU üzerinden llama.cpp ile sunulan DeepSeek, GLM ve Qwen varyantları. Ana saldırı ajanı olan Hermes, sonunda abliterated bir DeepSeek-V4 varyantına karar vermeden önce on dokuz gün boyunca en az dokuz model arasında geçiş yaptı. Dev.to analizinin deyimiyle, buradaki etkili güvenlik bariyeri model politikası değil, donanım maliyetiydi.

Ağ aslında neyi ihlal etti

En ağır darbeyi Tayvan aldı. Ajanlar, 119 sisteminin herkese açık API'sinden olay zamanları, müdahale türleri, vaka durumu ve sokak düzeyinde konumlar dahil olmak üzere yedi Taipei bölgesini kapsayan acil çağrı kayıtlarını çekti. 2018'den beri hiçbir giriş gerektirmeden EKG ölçümleri ve ambulans videoları dahil hasta verilerini açıkta bırakan bir Taipei itfaiye departmanı platformu buldular. Fabrika ayarlı root kimlik bilgileri, bir itfaiye sevk satıcısının veritabanı yönetim paneline ve en az on sekiz tabloya erişim sağladı. Daha uzakta: on altı SQL injection noktası üzerinden bir Tayvanlı kredi kuruluşunun hesap verileri, 45 kurum arasından 489 aday arasından seçilen üç Tayland üniversitesinden veriler ve adlarla adresleri içeren yaklaşık 206.800 Meksika ev telefonu kaydı. Yaklaşık on beş kuruluş daha saldırıya uğradı ama kesin bir ihlal doğrulanamadı.

Listede dikkate değer biçimde eksik olan şey gelişmiş bir exploit. Doğrulanan her ihlal açıkta bırakılmış bir kapıyı içeriyordu — 2018'den kalma dinleme yapan bir port, herkese açık bir API, fabrika kimlik bilgileri, yamalanmamış Oracle veritabanları, sıradan SQL injection.

Nerede çöktü

Savunmacılar için en yararlı kısım hata günlüğü olabilir. Tarama katmanı güvenlik açıklarını halüsinasyonla üretti: yüksek ve kritik bulgularının yarısından fazlası yanlış pozitifti ya da yanlış sınıflandırılmıştı; buna bir ulusal afet müdahale merkezinde var olmayan "kritik Apache RCE" de dahildi. Saldırı ajanı gerçekte olmayan başarılar bildirdi. Ajanlar tek bir operatörün inceleyebileceğinden daha fazla çıktı üretti. Ve ilginç bir vakada ajanlar, kapsam dışı olduğunu değerlendirerek bir Honduras askeri üssüne saldırmayı reddetti — insan bir saldırganın muhtemelen vermeyeceği, hem operasyonu ölçeklendiren hem de sessizce sınırlayan özerk bir karar.

Operatörün kendisi ise geleneksel yollarla tespit edildi. Meşru işleri ile saldırı altyapısında tek bir kimlik — GitHub profili, logo, SSH anahtarı adı, e-posta — kullandı ve ev IP'si, kendi Grok konuşmalarından birinde yakalanan bir SSH oturumunda ortaya çıktı.

Neden önemli

Acronis'un kendi analizine göre ajanlar, oturum açmanın zorunlu kılındığı, geçerli oturum gerektiren ve uç noktaların düzgün filtrelendiği her yerde başarısız oldu. On iki ajanlı bir yapay zeka saldırı ağını durduran her şey geleneksel, onlarca yıllık erişim kontrolüydü. Yapay zekanın değiştirdiği şey ekonomiydi: keşif ve düşük seviyeli sömürü artık neredeyse bedava, bu yüzden bir zamanlar fark edilmeyen ihmal edilmiş zayıflıklar, tek bir motivated kişinin elindeki ucuz ve yorulmaz makineler tarafından bulunabiliyor. Rapor iki yönlü okunabilir — halüsinasyon bulguları ve incelenemeyecek hacim operasyonu sınırladı — ve sınır modellerin reddinin saldırganları hiçbir sağlayıcı kapısının ulaşamayacağı, yerelde barındırılan ve hizalaması kaldırılmış modellere ittiğini gösteriyor. Raporu 9 Kasım'da ele alan The Hacker News de temel soruyu aynı şekilde çerçeveladı: artık soru bir saldırganın seninle uğraşıp uğraşmayacağı değil; makam geldiğinde kimlik doğrulamanın, yamalamanın ve filtrelemenin çoktan yerinde olup olmadığı.