BOSSAI案例：AI agent 如何把既有弱點變成批量攻擊流程
iThome 報道引述 Acronis 威脅研究單位的調查，名為 BOSSAI 的攻擊架構在12日觀察期內鎖定11個國家的數百個組織，並曾針對台灣緊急應變服務活動。研究稱，系統結合12個 AI agent，其中9個曾實際運作，利用模型上下文協定（MCP）連接滲透測試工具，並採用已移除安全限制的本機模型。
香港、印尼及加拿大的目標據稱仍未完成掃描；目前沒有資料證實香港機構被成功入侵。整件事主要建基於 Acronis 的研究及 iThome 的轉述，未見原始技術報告可供獨立核對，因此不宜把相關目標清單或攻擊成效視作已完全驗證的結論。
重點不在「12個 agent」，而在工作流被拆解及保存
iThome 指出，這些 agent 並非自行互相通訊。攻擊者仍要手動傳遞掃描結果、分析結果及下一步任務；換言之，BOSSAI 暫未顯示出完全自主的攻擊鏈。不過，人工協調不等於風險有限：當偵察、結果判讀、報告生成及工具操作被切成可重用工序，單一操作者便可同時處理更多目標。
其中值得企業留意的是 Skills 的角色。報道稱，系統以 SKILL.md 配合腳本和參考資料，保存目標環境的偵察資料及操作規則，讓 agent 即使在不同工作階段或更換底層模型後，也可沿用先前成果。這令攻擊知識由一次性的對話紀錄，變成可持續更新的工作資產。
從防守角度看，這意味著公開 API 文件、可枚舉端點、過度詳細的錯誤訊息，以及長期未修補的身份與存取控制缺口，可能更快被整理成可重複執行的流程。AI 在這裏的影響主要是加快發現、分類和排程，而非憑空創造新漏洞。
解除安全限制，會放大工具權限風險
iThome 報道提到，攻擊者曾停用測試工具的範圍限制，將風險等級設為自動核准，亦設定 agent 可免人工批准執行 Hook 腳本。這組配置反映一個很直接的管治問題：當模型可呼叫工具、讀取 API 結果或執行腳本時，真正需要管控的是其可做甚麼，以及每次操作是否需要可追溯的授權。
報道同時顯示，AI agent 的判斷並不可靠。Acronis 發現，系統曾把連線失敗誤判為可遠端執行程式碼的漏洞；其標示為高風險或重大風險的結果，超過一半被指屬誤報或錯誤分類。這限制了「全自動化攻擊」的效率，也為防守帶來一項啟示：異常掃描量、反覆失敗請求與大量端點探測，本身仍是可觀察的行為訊號。
給使用 AI agent 團隊的檢查重點
對把 agent 接入內部系統、雲端或開發工具的團隊而言，可優先檢查以下項目：
- 最小權限及範圍約束：將讀取、寫入、部署及執行命令分開授權；工具呼叫須限制可用目標、參數與環境，避免以「自動核准」取代控制。
- 敏感操作設人手關卡：涉及憑證、資料匯出、權限變更、對外請求或腳本執行時，保留明確批准及可撤回機制。
- 審核 Skills 與工具設定：把
SKILL.md、Hook 腳本、MCP server 設定和第三方工具視為供應鏈資產，納入版本審查、簽署及存取紀錄。 - 收緊 API 防護：為 API 落實身份驗證、工作階段存取控制、速率限制及端點過濾；同時避免在錯誤回應中洩露過多系統細節。
- 建立 agent 行為監察：記錄工具呼叫、API 請求、資料流向和拒絕事件，針對高頻枚舉、跨資源存取及重複失敗行為設定告警。
iThome 引述 Acronis 的結論是，有效的身份驗證、工作階段控制及網絡端點過濾，仍可阻止相關 agent 成功入侵。下一步值得觀察的是，企業會否把 AI agent 的工具權限、Skills 與 MCP 連接，正式納入現有的身份管治、變更管理及安全監察範圍；這些控制是否跟得上 agent 的執行速度，會直接影響自動化帶來的是效率還是新增攻擊面。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — Acronis揭露AI自動化攻擊系統BOSSAI運作細節，整合12個AI代理、MCP與Skills — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
