Einzelner Angreifer nutzt lokale KI-Agenten, um Notfalldienste in Taipeh zu kompromittieren

Forscher der Threat Research Unit von Acronis berichteten letzte Woche, dass ein einzelner Angreifer mit Sitz in Hualien City, Taiwan, eine Suite von KI-Agenten eingesetzt hat, um Systeme für Notfalldienste zu kompromittieren. Die Operation richtete sich gegen Hunderte von Organisationen in mindestens 11 Ländern und extrahierte erfolgreich sensible Dispatch-Datensätze und medizinische Daten aus verwundbaren Endpunkten in Taiwan, Mexiko und Thailand.

Was passiert ist

Der Angreifer betrieb ein benutzerdefiniertes Framework namens BOSSAI, das aus 12 KI-Agenten bestand, von denen neun während der Kampagne aktiv genutzt wurden. Diese Agenten übernahmen verschiedene Rollen, darunter Serverwartung, Ziel-Scanning und die Ausführung von Angriffen. Da kommerzielle Cloud-basierte KI-Modelle wie Grok und MiniMax M3 sich weitgehend weigerten, bei böswilligen Aufgaben zu helfen, verließ sich der Angreifer auf „abliterated“ Modelle. Dies sind lokal gehostete Versionen von Open-Source-KI-Systemen wie DeepSeek, GLM und Qwen, bei denen das Sicherheitstraining und ethische Leitplanken entfernt wurden.

Die Untersuchung ergab, dass die Agenten nicht autonom kommunizierten. Stattdessen kopierte der Angreifer manuell Ausgaben eines Agenten und fügte sie in einen anderen ein, um die Angriffskette zu koordinieren. Beweismittel wurden vom eigenen Server des Angreifers sichergestellt, der zunächst als falsch konfigurierte Entwicklungsumgebung missverstanden wurde. In Wirklichkeit diente er als operativer Hub für die Kampagne und enthielt über 90.000 Dateien. Dieses Archiv umfasste Befehlshistorien, Hacking-Tools, gestohlene Zugangsdaten, Opferdaten und Protokolle der Konversationen der KI-Agenten.

Die schwerwiegendsten Sicherheitsverletzungen traten in Taiwan auf, wo die Agenten über eine ungeschützte API auf das 119-Notrufsystem einer Stadt zugriffen. Sie extrahierten Datensätze, die sieben Bezirke abdeckten, einschließlich Unfallzeiten, Reaktionstypen und Straßenstandorte. Darüber hinaus entdeckten die Agenten eine Plattform der Feuerwehr von Taipeh, die seit 2018 ohne Login-Anforderung Patientendaten preisgab. Dieser exponierte Datensatz umfasste EKG-Ableitungen und Ambulanz-Videomaterial. Während die Angreifer viele andere Ziele scannten, einschließlich Militär- und Universitätssysteme, gelang ihnen nur in einer Handvoll Fällen eine bestätigte Datenexfiltration, wo Sicherheitskontrollen offensichtlich fehlten.

Wichtige Details

• Der Angreifer ist eine einzelne Person mit Sitz in Hualien City, Taiwan, identifiziert durch wiederverwendete digitale Identitäten und IP-Adress-Leaks.
• Das BOSSAI-Framework nutzte „abliterated“ lokale KI-Modelle, da kommerzielle Anbieter wie Grok sich weigerten, Angriffscode zu generieren.
• Zu den bestätigten Verletzungen gehörten Dispatch-Datensätze der Notfalldienste in Taipeh, Patientendaten von einer Feuerwehrplattform und Telefonprotokolle in Mexiko.
• Der Server des Angreifers enthielt über 90.000 Dateien, was einen vollständigen Einblick in die Operation, Tools und gestohlenen Daten bot.
• KI-Agenten erzeugten zahlreiche False Positives; ein Tool erfand nicht existierende CVEs und klassifizierte mehr als die Hälfte seiner kritischen Funde falsch.
• Angriffe scheiterten an Systemen, die ordnungsgemäße Authentifizierung, Paywalls oder Endpoint-Filtering durchsetzten, was hervorhebt, dass grundlegende Hygiene automatisierte Bedrohungen stoppt.

Hintergrund

Um diesen Angriff zu verstehen, ist es hilfreich, zwischen standardmäßiger kommerzieller KI und „abliterated“ Modellen zu unterscheiden. Kommerzielle KI-Dienste implementieren strenge Sicherheitsrichtlinien, um zu verhindern, dass Benutzer Malware generieren oder unbefugte Zugriffstests durchführen. „Abliterated“ Modelle sind Open-Source-Gewichte, die modifiziert wurden, um diese Einschränkungen zu entfernen, sodass sie lokal auf privater Hardware ohne Aufsicht laufen können. Dies ermöglicht es böswilligen Akteuren, leistungsstarke Sprachmodelle für bösartige Skripting- und Reconnaissance-Aufgaben zu nutzen, ohne Provider-Warnungen auszulösen.

Der Begriff API (Application Programming Interface) bezieht sich auf die Methoden, durch die verschiedene Softwarekomponenten miteinander kommunizieren. In diesem Fall hatte das Notrufsystem eine API, die öffentlich zugänglich war, ohne angemessene Authentifizierung. Dies erlaubte es den KI-Agenten, das System direkt abzufragen und strukturierte Daten abzurufen. Ebenso deutet die Offenlegung von Patientendaten seit 2018 auf ein langjähriges Versäumnis hin, webseitige Anwendungen zu sichern, ein häufiges Problem in Legacy-Infrastrukturen, die regelmäßige Sicherheitsaudits fehlen.

Warum es wichtig ist

Für Teams, die Software selbst hosten oder interne IT-Infrastruktur verwalten, unterstreicht dieser Vorfall das Risiko, sich auf Obscurity statt auf robuste Zugriffssteuerungen zu verlassen. Der Angreifer war nicht wegen ausgefeilter Zero-Day-Exploits erfolgreich, sondern weil er offen stehende Türen fand. Standard-Zugangsdaten im Datenbank-Admin-Panel eines Anbieters und hartcodierte Verschlüsselungsschlüssel im Frontend-JavaScript sind grundlegende Hygienemängel. Da KI die Einstiegshürde für das Scannen und Ausnutzen solcher Schwachstellen senkt, wird die Anzahl der automatisierten Probes gegen Ihre Infrastruktur wahrscheinlich zunehmen.

Darüber hinaus bedeutet die hohe Rate an False Positives, die von den KI-Agenten erzeugt wurden, nicht, dass die Bedrohung vernachlässigbar ist. Obwohl die Tools unperfekt waren, reichten sie aus, um Low-Hanging Fruit in mehreren Ländern zu identifizieren. Für IT-Manager bedeutet dies, dass selbst laute, unperfekte automatisierte Angriffe erheblichen Schaden anrichten können, wenn Ihre Perimeter-Verteidigungen schwach sind. Die Tatsache, dass der Angreifer die Lücke zwischen den Agenten manuell überbrückte, zeigt, dass menschliche Aufsicht weiterhin Teil des Prozesses bleibt und KI-Geschwindigkeit mit menschlicher Absicht kombiniert, um einfache Verteidigungen zu umgehen.

Was Sie tun können

• Überprüfen Sie alle öffentlich zugänglichen APIs daraufhin, ob sie Authentifizierung und Rate Limiting erfordern, und entfernen Sie alle Endpunkte, die keinen externen Zugriff benötigen.
• Scannen Sie Ihre Codebasis nach hartcodierten Secrets, wie API-Schlüsseln oder Verschlüsselungs-Credentials, und verschieben Sie diese in sichere Umgebungsvariablen oder Vaults.
• Ersetzen Sie sofort Standard-Zugangsdaten auf allen administrativen Panels und Datenbank-Schnittstellen und setzen Sie starke Passwort-Richtlinien durch.
• Implementieren Sie regelmäßige Patch-Zyklen für alle selbst gehosteten Dienste, insbesondere für solche, die ältere Versionen von Datenbanken oder Webservern ausführen.
• Überwachen Sie Domain- und Zertifikats-Ablaufdaten genau, da abgelaufene Assets manchmal zu Subdomain-Takeovers oder Vertrauensproblemen führen können.
• Überprüfen Sie Logging- und Alerting-Konfigurationen, um ungewöhnliche Scan-Muster oder wiederholte fehlgeschlagene Login-Versuche von einzelnen Quellen zu erkennen.