Un seul attaquant utilise des agents IA locaux pour compromettre les services d'urgence de Taipei

Les chercheurs de l'unité Threat Research d'Acronis ont rapporté la semaine dernière qu'un attaquant unique basé à Hualien City, à Taïwan, a utilisé une suite d'agents IA pour compromettre des systèmes de services d'urgence. L'opération visait des centaines d'organisations dans au moins 11 pays, extrayant avec succès des registres de dispatching sensibles et des données médicales depuis des points de terminaison vulnérables à Taïwan, au Mexique et en Thaïlande.

Ce qui s'est passé

L'attaquant exploitait un framework personnalisé appelé BOSSAI, composé de 12 agents IA, dont neuf étaient activement utilisés durant la campagne. Ces agents remplissaient divers rôles, notamment la maintenance des serveurs, le scan des cibles et l'exécution des attaques. Étant donné que les modèles d'IA commerciaux basés sur le cloud comme Grok et MiniMax M3 refusaient largement d'aider aux tâches malveillantes, l'attaquant s'est appuyé sur des modèles « abliterated ». Il s'agit de versions hébergées localement de systèmes d'IA open-source, tels que DeepSeek, GLM et Qwen, dont les formations de sécurité et les garde-fous éthiques ont été supprimés.

L'enquête a révélé que les agents ne communiquaient pas de manière autonome. Au lieu de cela, l'attaquant copiait manuellement la sortie d'un agent et la collait dans un autre pour coordonner la chaîne d'attaque. Des preuves ont été récupérées sur le propre serveur de l'attaquant, initialement pris pour un environnement de développement mal configuré. En réalité, il servait de centre opérationnel pour la campagne, contenant plus de 90 000 fichiers. Cette archive incluait des historiques de commandes, des outils de piratage, des identifiants volés, des données de victimes et des journaux des conversations des agents IA.

Les brèches les plus significatives se sont produites à Taïwan, où les agents ont accédé au système de dispatching d'urgence 119 d'une ville via une API non protégée. Ils ont extrait des registres couvrant sept districts, y compris les heures d'incidents, les types de réponse et les emplacements au niveau de la rue. De plus, les agents ont découvert une plateforme du service d'incendie de Taipei qui exposait des données patients depuis 2018 sans nécessiter de connexion. Cet ensemble de données exposé incluait des lectures ECG et des vidéos d'ambulances. Bien que les attaquants aient scanné de nombreuses autres cibles, y compris des systèmes militaires et universitaires, ils n'ont réussi une exfiltration de données confirmée que dans quelques cas où les contrôles de sécurité étaient notablement absents.

Détails clés

• L'attaquant est un individu unique situé à Hualien City, Taïwan, identifié grâce à des identités numériques réutilisées et des fuites d'adresses IP.
• Le framework BOSSAI utilisait des modèles IA locaux « abliterated » car les fournisseurs commerciaux comme Grok refusaient de générer du code d'attaque.
• Les brèches confirmées incluaient des registres de dispatching d'urgence à Taipei, des données patients provenant d'une plateforme du service d'incendie et des relevés téléphoniques au Mexique.
• Le serveur de l'attaquant contenait plus de 90 000 fichiers, offrant une vue complète de l'opération, des outils et des données volées.
• Les agents IA ont généré de nombreux faux positifs, un outil inventant des CVE inexistants et classifiant incorrectement plus de la moitié de ses critiques détectées.
• Les attaques ont échoué contre les systèmes appliquant une authentification correcte, des paywalls ou un filtrage des points de terminaison, soulignant que l'hygiène de base arrête les menaces automatisées.

Contexte

Pour comprendre cette attaque, il est utile de distinguer l'IA commerciale standard des modèles « abliterated ». Les services d'IA commerciaux mettent en œuvre des directives de sécurité strictes pour empêcher les utilisateurs de générer des malwares ou de mener des tests d'accès non autorisés. Les modèles « abliterated » sont des poids open-source qui ont été modifiés pour supprimer ces restrictions, leur permettant de fonctionner localement sur du matériel privé sans supervision. Cela permet aux acteurs malveillants d'utiliser des modèles de langage puissants pour la création de scripts malveillants et la reconnaissance sans déclencher d'alertes chez les fournisseurs.

Le terme API, ou Application Programming Interface (Interface de Programmation d'Application), fait référence aux méthodes par lesquelles différents composants logiciels communiquent. Dans ce cas, le système de dispatching d'urgence disposait d'une API accessible publiquement sans authentification adéquate. Cela a permis aux agents IA d'interroger directement le système et de récupérer des données structurées. De même, l'exposition des données patients depuis 2018 suggère une défaillance persistante à sécuriser les applications web, un problème courant dans les infrastructures legacy qui manquent d'audits de sécurité réguliers.

Pourquoi c'est important

Pour les équipes qui auto-hébergent des logiciels ou gèrent une infrastructure informatique interne, cet incident souligne le risque de compter sur l'obscurité plutôt que sur des contrôles d'accès robustes. L'attaquant a réussi non pas grâce à des exploits zero-day sophistiqués, mais parce qu'il a trouvé des portes grandes ouvertes. Les identifiants par défaut sur le panneau d'administration de la base de données d'un fournisseur et les clés de chiffrement codées en dur dans le JavaScript front-end sont des échecs d'hygiène de base. À mesure que l'IA abaisse la barrière à l'entrée pour scanner et exploiter ces faiblesses, le volume de sondes automatisées contre votre infrastructure augmentera probablement.

De plus, le taux élevé de faux positifs générés par les agents IA ne signifie pas que la menace est négligeable. Bien que les outils soient imparfaits, ils étaient suffisants pour identifier les fruits faciles à cueillir dans plusieurs pays. Pour les managers IT, cela signifie que même des attaques automatisées bruyantes et imparfaites peuvent causer des dommages importants si vos défenses périmétriques sont faibles. Le fait que l'attaquant ait comblé manuellement le fossé entre les agents montre que la supervision humaine reste partie intégrante de la boucle, combinant la vitesse de l'IA avec l'intention humaine pour contourner les défenses simples.

Ce que vous pouvez faire

• Auditez toutes les API publiques pour garantir qu'elles nécessitent une authentification et une limitation de débit, en supprimant tout point de terminaison qui n'a pas besoin d'un accès externe.
• Scannez votre base de code pour les secrets codés en dur, tels que les clés API ou les identifiants de chiffrement, et déplacez-les vers des variables d'environnement sécurisées ou des coffres-forts.
• Remplacez immédiatement les identifiants par défaut sur tous les panneaux administratifs et interfaces de base de données, en appliquant des politiques de mots de passe forts.
• Mettez en œuvre des cycles de patching réguliers pour tous les services auto-hébergés, en particulier ceux exécutant d'anciennes versions de bases de données ou de serveurs web.
• Surveillez attentivement les dates d'expiration des domaines et des certificats, car les actifs expirés peuvent parfois entraîner des prises de contrôle de sous-domaines ou des problèmes de confiance.
• Revoyez les configurations de journalisation et d'alerte pour détecter les motifs de scan inhabituels ou les tentatives de connexion échouées répétées provenant de sources uniques.