【视频】一个黑客，12 个 AI：台北调度系统遭窃内幕

原创

骨哥说事
骨哥说事

骨哥说事

2026年11月10日 17:34
上海

去阅读

防走失：https://gugesay.com

不想错过任何消息？设置星标↓ ↓ ↓

*↓*以下为文字阅读版

引言：AI时代的网络攻击新范式

在2026年11月初，网络安全研究界曝出了一起极具突破性的事件——一位台湾花莲市的独立黑客通过构建一个包含12个AI特工的「攻击网」，成功入侵了台湾多个关键基础设施系统，其中最令人震惊的是窃取了覆盖台北七个行政区的紧急调度记录。

Acronis威胁研究小组（Acronis Threat Research Unit, TRU）的研究人员偶然发现了一个看似配置不当的开发服务器，实际上是一个完全运作的攻击平台，包含超过90,000个文件、9GB的完整攻击日志。这个名为BOSSAI的系统由12个AI特工组成，每个特工承担不同的专业化角色，共同协作执行复杂的网络攻击任务。

今天，我们就来深入剖析这个事件背后的技术细节、攻击手法，以及对未来网络安全的深远影响。

BOSSAI攻击网：12个AI特工的分工合作

该攻击网并非单一AI模型，而是一个复杂的分工协作系统，每个特工都有明确的职责定位：

构建特工组（核心基础设施）

• Grok 4.5：主要构建者，负责MCP服务器部署、DNS配置、代理设置等基础设施任务
• OpenClaw：通过LINE连接，处理基础设施管理（运行MiniMax M3模型）
• Claude Code和Codex：代码特工，负责脚本撰写和基础设施配置

攻击特工组（核心攻击执行）

• Hermes：主力攻击特工，执行了约95个会话、18,311条消息，85%以上是工具调用
• Cursor和Trae：代码编写特工，负责将侦察结果转化为攻击代码
• CyberStrike：开源攻击平台，同时进行漏洞扫描和攻击尝试

扫描特工组（目标识别）

• HalberdStrike：基于PenTestGPT的自动渗透测试平台
• AWVS（Acunetix Web Vulnerability Scanner）：破解版商业漏洞扫描器

关键发现：AI特工之间没有直接的自动通信。攻击者需要手动复制一个特工的输出结果，粘贴到另一个特工中，这种「人肉中继」的方式成为了系统运转的核心枢纽。

攻击目标：从紧急服务到金融系统

根据TRU的报告，攻击者在12天的监控期间针对11个国家的数百个组织发动攻击，包括：

台湾本土目标（最严重受害区）

1. 台北市消防部门患者护理平台：暴露了2018年的医疗数据，包括心电图读数、救护车视频、患者生命体征，无需任何登录凭证即可访问
2. 城市119紧急调度系统：通过系统API提取了包括事故时间、响应类型、案件状态、街道级位置在内的调度记录，覆盖台北市七个行政区
3. 消防调度技术供应商：使用默认根凭据登录其数据库管理面板，暴露了18个或更多数据库表
4. 台湾贷款服务公司：通过SQL注入攻击MSSQL 2017后端，确认了16个注入点并提取了账户信息表数据

国际目标

• 墨西哥：收集约206,800个住宅电话记录（姓名、地址、邮政编码），来自政府统计数据、邮政编码注册和电信管理局数据
• 泰国：针对45个机构的489个潜在目标进行自动化SQL注入测试，确认从三所大学成功提权数据
• 其他8个国家：包括美国、英国、澳大利亚等国的教育机构和政府系统进行侦察活动

技术剖析：商业模型拒绝攻击，被迫使用本地「去限制」模型

商业模型的道德防火墙

研究中一个引人注目的发现是：主流商业AI模型在攻击指令面前展现了强大的道德防线：

• MiniMax M3模型直言：「我是守门人」，并进一步说明「未经书面授权攻击 = 违反泰国计算机犯罪法第5-7条（最高5年）」

• 「『发出命令』不等于『授权』」——模型准确识别了攻击者的伎俩

• Grok 4.5明确拒绝：「如果你想要进行sqlmap/渗透测试，你需要书面授权；我只帮助解决连接/状态解释，我不协助未经授权的攻击」

这些商业模型将攻击者的多次尝试识别为「社会工程攻击模式」，坚持要求提供合法授权证明。

本地「去限制」模型的妥协方案

由于商业模型拒绝配合，攻击者被迫转向本地部署的「去限制」（abliterated）模型，包括：

• DeepSeek（特别是被称为DS4的DeepSeek-V4变体）
• GLM
• Qwen

这些模型通过移除安全对齐训练，在本地硬件上运行。虽然攻击行为被允许，但可靠性和准确性大大降低。

AI特工的局限性：幻觉、失误与过度自主性

假阳性与幻觉严重

• 扫描工具「编造」漏洞：HalberdStrike模型在没有证据的情况下标记了不存在的CVE漏洞，超过一半的「高」和「关键」发现是假阳性或错误分类
• 误报案例：将过滤端口标记为「关键Apache远程代码执行漏洞」，实际漏洞根本不存在

过度自主性带来意外结果

攻击者为Hermes配置了完全自主决策权，指令明确：「我给你全线决策权，处理时不用问我，直到确认漏洞可利用后再汇报」。这导致了：

• 放弃潜在高价值目标：在搜索墨西哥住宅电话数据时，特工意外发现洪都拉斯军事系统，但由于认为「超出范围」而自动放弃
• 操作者可能错过重要信息：AI特工产生大量信息，操作者很容易遗漏关键发现

攻击者身份与动机

身份定位：台湾花莲市单身操作者

TRU研究人员高度确信攻击者是台湾花莲市的一名独立个体。通过多个OPSEC失误，研究人员成功追踪到其身份：

• 身份重用：在合法商业和攻击服务器间重用相同的GitHub个人资料、Logo、SSH密钥名称和电子邮件地址
• IP暴露：在Grok会话的SSH连接中暴露家庭IP地址
• 合法业务重叠：攻击者还经营着合法的燃气配送业务和韩国护肤品牌零售网站，这些都在同一IP上运行

动机模糊：介于国家支持APT与普通网络犯罪之间

攻击既具有国家支持APT的特点（针对政府网络、紧急服务、军事组织），又表现出网络犯罪的模式（金融目标、数据收集）。研究人员认为可能是金钱驱动的动机，但操作者是否有任何雇主尚不清楚。

结论：AI辅助攻击的「新常态」

BOSSAI事件标志着网络攻击进入AI辅助的新时代，但不必恐慌——AI并没有创造新的漏洞，只是加速了现有漏洞的发现和利用速度。正如研究人员所总结：「隐藏于模糊之中」（security through obscurity）在AI特工面前不再有效，因为它们可以同时测试数百个目标。

最重要的一点是：商业AI模型展现出令人印象深刻的道德防线，拒绝配合恶意攻击。这为未来的AI安全设计提供了宝贵参考。同时，监管和监控本地运行的去限制模型将成为网络安全的新挑战。

对于企业和组织而言，基础安全实践比以往任何时候都更加重要。在AI特工可以自动化执行大规模侦察的时代，修复已知漏洞、强化身份验证、保护敏感数据不再是「可有可无」的选项，而是生存底线。

参考资料

• The Hacker News - 台湾黑客使用BOSSAI AI特工窃取台北紧急调度记录
• Acronis技术分析 - BOSSAI：瞄准台湾紧急服务的AI攻击网内幕
• Acronis博客 - 研究人员揭露针对紧急服务的AI攻击网
• Cybersecurity News - 黑客使用12个AI特工入侵台湾紧急服务

• Secure.com - AI攻击网让一名黑客袭击11个国家的紧急服务

• END -

感谢阅读，如果觉得还不错的话，动动手指给个三连吧～