資安業者揭露 AI 攻擊架構 BossAI　臺灣緊急應變與金融系統遭鎖定

資安公司 Acronis 近期揭露一套名為 BossAI 的自動化攻擊系統。調查顯示，該系統由一名據信位於臺灣花蓮市的攻擊者操作，在短短 12 天內鎖定了 11 個國家的數百個組織發動攻擊。其中，臺灣是 BossAI 受攻擊最密集的地區，鎖定目標涵蓋政府緊急應變服務、金融機構、大學、軍事系統以及電子商務平臺等。

Acronis 研究人員是從一處疑似設定不當的開發環境中，取得超過 9 萬個檔案、總計約 9 GB 的資料，從而完整還原了這套系統的運作方式與攻擊細節。

整合 12 個代理與去限制開源模型

根據 Acronis 的分析，BossAI 架構共整合了 12 個 AI 代理，在調查期間實際運作的則有 9 個，各自負責基礎設施建置、弱點掃描、滲透測試、攻擊程式撰寫及漏洞利用等不同工作階段。整套系統透過模型上下文協定（MCP）伺服器，串接了 Nmap、sqlmap、Metasploit、Hydra 及 Ghidra 等多款資安工具。

在模型配置方面，攻擊者使用商用 AI 模型建置與維護基礎設施，實際攻擊則交由移除安全限制的模型執行，包含經修改的 DeepSeek、GLM 及 Qwen 等開源模型。不過，各 AI 代理之間並未建立直接通訊機制，而是由攻擊者手動傳遞工作成果，以協調不同的代理推進攻擊流程。

臺北市救護派遣系統與金融平臺受害

在針對臺灣的攻擊中，臺北市消防相關緊急病患照護記錄平臺遭到入侵，外洩資料包含自 2018 年起的心電圖、救護車影像及病患生命徵象。臺北市 119 緊急派遣系統亦遭存取，外洩內容涵蓋 7 個行政區的案件記錄，包括事故時間、派遣類型、處理狀態及街道層級位置資訊，但不含即時救護車 GPS 追蹤資訊。

調查指出，負責主要攻擊任務的代理 Hermes 使用專門設計的 Skills 記錄操作指示，其中針對臺灣政府消防派遣與緊急管理 API 的 gov-api-penetration 累計使用 51 次、修改 57 次。Hermes 在約 95 個工作階段中共產生 18,311 則訊息，其中 83.5% 為工具呼叫及執行結果，並啟用了可自動核准操作的 HERMES_YOLO_MODE=1 設定。

民間機構方面，臺灣一家貸款服務公司遭到 SQL 注入攻擊，其後端 SQL Server 被找出 16 個弱點並遭擷取帳戶資料表；另有一家行動支付公司因未正確驗證 CVV 碼，身分驗證遭到 AI 代理直接繞過。

AI 工具誤報偏高　基礎防禦仍具成效

雖然 BossAI 展現了多代理協同作業的攻擊模式，但自動化分析的精確度仍存在缺陷。系統中以 PenTestGPT 為基礎開發的弱點掃描工具 HalberdStrike，所回報的高風險與重大弱點中，有超過半數為誤報或錯誤分類，甚至曾將單純的網路連線失敗誤判為遠端程式碼執行（RCE）漏洞。

Acronis 強調，當目標系統落實了有效的身分驗證、工作階段存取控制及網路端點過濾機制時，AI 代理依然無法順利入侵，顯示傳統縱深防禦措施在面對 AI 自動化威脅時仍具備防護力。