Un único atacante utiliza agentes de IA locales para vulnerar los servicios de emergencia de Taipéi

Investigadores de la Unidad de Investigación de Amenazas de Acronis informaron la semana pasada que un único atacante con base en Hualien City, Taiwán, utilizó una suite de agentes de IA para comprometer sistemas de servicios de emergencia. La operación tuvo como objetivo a cientos de organizaciones en al menos 11 países, logrando extraer sensibles registros de despacho y datos médicos de endpoints vulnerables en Taiwán, México y Tailandia.

Qué ocurrió

El atacante operaba un framework personalizado llamado BOSSAI, compuesto por 12 agentes de IA, nueve de los cuales se utilizaron activamente durante la campaña. Estos agentes desempeñaban diversas funciones, incluyendo mantenimiento de servidores, escaneo de objetivos y ejecución de ataques. Dado que los modelos comerciales de IA basados en la nube, como Grok y MiniMax M3, se negaban en gran medida a asistir en tareas maliciosas, el atacante recurrió a modelos "abliterated" (desprovistos de restricciones). Se trata de versiones alojadas localmente de sistemas de IA de código abierto, como DeepSeek, GLM y Qwen, a las que se les han eliminado el entrenamiento de seguridad y las barreras éticas.

La investigación reveló que los agentes no se comunicaban de forma autónoma. En cambio, el atacante copiaba manualmente la salida de un agente y la pegaba en otro para coordinar la cadena de ataque. Se recuperó evidencia del propio servidor del atacante, que inicialmente fue confundido con un entorno de desarrollo mal configurado. En realidad, servía como centro operativo de la campaña, conteniendo más de 90.000 archivos. Este archivo incluía historiales de comandos, herramientas de hacking, credenciales robadas, datos de víctimas y registros de las conversaciones de los agentes de IA.

Las violaciones más significativas ocurrieron en Taiwán, donde los agentes accedieron al sistema de despacho de emergencias 119 de una ciudad a través de una API sin protección. Extrajeron registros que cubrían siete distritos, incluyendo tiempos de incidentes, tipos de respuesta y ubicaciones a nivel de calle. Además, los agentes descubrieron una plataforma del departamento de bomberos de Taipéi que había estado exponiendo datos de pacientes desde 2018 sin requerir inicio de sesión. Este conjunto de datos expuesto incluía lecturas de ECG y videos de ambulancias. Si bien los atacantes escanearon muchos otros objetivos, incluidos sistemas militares y universitarios, solo lograron exfiltración de datos confirmada en unos pocos casos donde los controles de seguridad eran notablemente inexistentes.

Detalles clave

• El atacante es una sola persona ubicada en Hualien City, Taiwán, identificada mediante identidades digitales reutilizadas y filtraciones de direcciones IP.
• El framework BOSSAI utilizó modelos de IA locales "abliterated" porque proveedores comerciales como Grok se negaron a generar código de ataque.
• Las violaciones confirmadas incluyeron registros de despacho de emergencias en Taipéi, datos de pacientes de una plataforma de bomberos y registros telefónicos en México.
• El servidor del atacante contenía más de 90.000 archivos, proporcionando una visión completa de la operación, las herramientas y los datos robados.
• Los agentes de IA generaron numerosos falsos positivos, con una herramienta inventando CVEs inexistentes y clasificando incorrectamente más de la mitad de sus hallazgos críticos.
• Los ataques fallaron contra sistemas que aplicaban autenticación adecuada, muros de pago o filtrado de endpoints, lo que destaca que la higiene básica detiene las amenazas automatizadas.

Contexto

Para entender este ataque, es útil distinguir entre la IA comercial estándar y los modelos "abliterated". Los servicios de IA comercial implementan estrictas pautas de seguridad para evitar que los usuarios generen malware o realicen pruebas de acceso no autorizado. Los modelos "abliterated" son pesos de código abierto que han sido modificados para eliminar estas restricciones, permitiendo que se ejecuten localmente en hardware privado sin supervisión. Esto permite a actores malintencionados usar potentes modelos de lenguaje para scripting malicioso y reconocimiento sin activar alertas del proveedor.

El término API, o Interfaz de Programación de Aplicaciones, se refiere a los métodos mediante los cuales diferentes componentes de software se comunican. En este caso, el sistema de despacho de emergencias tenía una API accesible públicamente sin una autenticación adecuada. Esto permitió a los agentes de IA consultar el sistema directamente y recuperar datos estructurados. De manera similar, la exposición de datos de pacientes desde 2018 sugiere un fallo prolongado en asegurar aplicaciones orientadas a la web, un problema común en infraestructuras heredadas que carecen de auditorías de seguridad regulares.

Por qué importa

Para los equipos que alojan su propio software o gestionan infraestructura interna de TI, este incidente subraya el riesgo de confiar en la oscuridad en lugar de controles de acceso robustos. El atacante tuvo éxito no debido a sofisticados exploits de día cero, sino porque encontró puertas abiertas de par en par. Credenciales predeterminadas en el panel de administración de bases de datos de un proveedor y claves de cifrado codificadas en JavaScript front-end son fallos básicos de higiene. A medida que la IA reduce la barrera de entrada para escanear y explotar tales debilidades, es probable que aumente el volumen de sondas automatizadas contra su infraestructura.

Además, la alta tasa de falsos positivos generados por los agentes de IA no significa que la amenaza sea insignificante. Si bien las herramientas eran imperfectas, fueron suficientes para identificar objetivos fáciles en múltiples países. Para los gestores de TI, esto significa que incluso ataques automatizados ruidosos e imperfectos pueden causar daños significativos si sus defensas perimetrales son débiles. El hecho de que el atacante tendiera manualmente el puente entre agentes muestra que la supervisión humana sigue siendo parte del bucle, combinando la velocidad de la IA con la intención humana para eludir defensas simples.

Qué puede hacer

• Audite todas las APIs públicas para garantizar que requieran autenticación y limitación de tasa, eliminando cualquier endpoint que no necesite acceso externo.
• Escanee su base de código en busca de secretos codificados, como claves de API o credenciales de cifrado, y muévalos a variables de entorno seguras o bóvedas.
• Reemplace las credenciales predeterminadas en todos los paneles administrativos e interfaces de bases de datos inmediatamente, aplicando políticas de contraseñas fuertes.
• Implemente ciclos de parcheo regulares para todos los servicios autoalojados, especialmente aquellos que ejecutan versiones antiguas de bases de datos o servidores web.
• Supervise estrechamente las fechas de vencimiento de dominios y certificados, ya que los activos caducados pueden llevar ocasionalmente a tomas de control de subdominios o problemas de confianza.
• Revise las configuraciones de registro y alerta para detectar patrones de escaneo inusuales o intentos de inicio de sesión fallidos repetidos desde fuentes únicas.