Un único operador en Taiwán creó un equipo de 12 agentes de IA denominado BOSSAI para atacar a cientos de organizaciones en 11 países. La campaña afectó a servicios de emergencia, bancos, universidades y sistemas militares, resultando en el robo confirmado de datos médicos y registros personales. Este caso demuestra cómo una sola persona, utilizando GPUs alquiladas, puede ejecutar ataques a gran escala.

Un solo operador en Taiwán creó un equipo de 12 agentes de IA y lo utilizó para atacar a cientos de organizaciones en 11 países. La campaña afectó a servicios de emergencia, bancos, universidades y sistemas militares, lo que resultó en el robo confirmado de datos médicos y registros personales.

La configuración, denominada BOSSAI, demuestra cómo una sola persona con GPUs alquiladas y herramientas de código abierto puede ejecutar ahora una campaña que antes requería un equipo completo.

Algunos de los agentes escribían código, otros escaneaban sitios web y otros llevaban a cabo los ataques. El operador se situaba en el centro y pasaba los resultados entre ellos.

Los analistas de la Unidad de Investigación de Amenazas de Acronis identificaron la campaña tras encontrar lo que parecía ser un servidor de desarrollo mal configurado. Resultó ser una plataforma de ataque completa con más de 90.000 archivos, unos 9 GB de registros, historiales de chat, herramientas de explotación y datos de víctimas.

Acronis llama a este tipo de actor una "amenaza aumentada por IA", porque la actividad parece la de un grupo respaldado por un estado pero proviene de una sola persona, según explica Acronis en su informe completo.

12 agentes de IA

La malla tenía 12 agentes, pero solo nueve estaban activos. Los agentes constructores como Grok, OpenClaw, Claude Code y Codex configuraban servidores, DNS y proxies.

Los agentes de ataque como Hermes, Cursor, Trae y CyberStrike escaneaban objetivos y escribían exploits. Hermes hizo la mayor parte del trabajo, con unas 95 sesiones y 18.311 mensajes.

Los agentes no hablaban entre sí. El operador copiaba la salida de una herramienta y la pegaba en la siguiente. En un caso, un escáner llamado HalberdStrike revisó un sitio de servicios de emergencia de Taiwán.

Hermes convirtió los hallazgos en un informe, y el operador lo pegó en Cursor con la orden de explotar los fallos. Cursor llevó a cabo entonces el ataque.

Los agentes estaban vinculados a herramientas de seguridad a través de servidores MCP, incluyendo HexStrike AI, un servidor Kali Linux y un puente Ghidra.

La cobertura anterior del marco de trabajo HexStrike AI muestra cómo este tipo de herramienta permite que los modelos de IA ejecuten escáneres como Nmap por su cuenta. El tráfico de ataque salía a través de proxies y el nodo principal se ejecutaba en un servidor en 112[.]121[.]185[.]218.

El daño en Taiwán fue grave. Una plataforma de atención al paciente del departamento de bomberos de Taipéi expuso lecturas de ECG, vídeos de ambulancias y signos vitales de 2018, sin necesidad de iniciar sesión.

Los agentes también extrajeron registros de casos de un sistema de despacho 119 de la ciudad, que cubría siete distritos. Otras víctimas incluyeron a un prestamista con 16 puntos de inyección SQL y a un proveedor de despacho de bomberos cuyo panel de base de datos todavía utilizaba credenciales root por defecto.

Fuera de Taiwán, los agentes recopilaron unos 206.800 registros telefónicos residenciales en México. En Tailandia encontraron 489 objetivos en 45 universidades y extrajeron datos de tres de ellas.

Por qué los agentes de IA tuvieron dificultades y qué significa para los defensores

La campaña estuvo lejos de ser fluida. Modelos comerciales como Grok 4.5 y MiniMax M3 se negaron a ayudar con los ataques y solicitaron pruebas de autorización escrita.

El operador cambió entonces a modelos locales "abliterados", que tienen eliminadas sus reglas de seguridad. Esos modelos eran más débiles y a menudo cometían errores.

Las alucinaciones causaron problemas reales. HalberdStrike marcó una conexión fallida como una "RCE crítica", y más de la mitad de sus hallazgos de alta gravedad eran falsos positivos.

Dado que el operador dijo a los agentes que trabajaran sin hacer preguntas, Hermes también desistió de un sistema militar hondureño, juzgándolo fuera de alcance.

Aun así, los agentes funcionaron bien donde la seguridad básica era débil. Los puertos abiertos antiguos, las bases de datos Oracle sin parchear y las contraseñas por defecto fueron victorias fáciles.

Donde los controles de inicio de sesión y el filtrado se mantuvieron, los agentes fallaron. Acronis señala que esconderse tras la oscuridad ya no sirve de nada cuando un agente puede probar cientos de sitios a la vez.

Esto encaja en una tendencia más amplia. Anthropic advirtió recientemente que los agentes de IA pueden automatizar cada etapa de un ciberataque, aunque los humanos sigan eligiendo los objetivos.

El primer caso de espionaje a gran escala impulsado por IA de 2025 mostró a Claude realizando la mayor parte de una intrusión con muy poca intervención humana.

Los investigadores también han visto agentes intentar inyecciones SQL y saltos de directorio por su cuenta cuando los métodos normales fallaban. Tú, como defensor, deberías parchear las bases de datos expuestas, eliminar las credenciales por defecto y cerrar los puertos antiguos.

También deberías poner controles de inicio de sesión delante de cada API, incluidas aquellas que sirven datos médicos y de despacho. Los mismos agentes que encuentran fallos rápidamente seguirán encontrándolos hasta que se solucionen esos aspectos básicos.

Acronis también vinculó la actividad a una persona en la ciudad de Hualien, Taiwán. El operador reutilizó la imagen de marca comercial, una cuenta de GitHub y una IP doméstica tanto en servidores legítimos como de ataque. Los investigadores evalúan esto con alta confianza.

Fuentes:
https://cybersecuritynews.com/one-hacker-uses-12-ai-agents/