BOSSAI: la rete di agenti AI che un hacker ha usato contro i servizi d'emergenza

Il 4 novembre la Threat Research Unit di Acronis ha pubblicato l'analisi di una campagna che chiama BOSSAI: una sola persona, che da una connessione domestica a Hualien City (Taiwan) ha pilotato una rete di dodici agenti AI fino a raggiungere sistemi di soccorso, banche e università in undici Paesi. Il titolo sono i dodici agenti. La parte che dovrebbe tenere sveglio un CISO è cosa gli agenti abbiano davvero violato — e quanto fosse banale.

Notizia in evoluzione — pubblicata alle 10:55 (09:55 UTC) del 9 novembre 2026. Aggiornata man mano che Acronis e le autorità coinvolte pubblicano altro.

Cosa è successo — dodici agenti, un ponte umano

Secondo il report di Acronis TRU, l'operazione ruotava attorno a una rete di 12 agenti AI — nove attivi, tre configurati ma inutilizzati — alimentati da un insieme mutevole di modelli. Gli agenti "costruttori" (Grok 4.5, OpenClaw, Claude Code, Codex) gestivano l'infrastruttura; quelli "attaccanti" (Hermes come principale, più Cursor, Trae e CyberStrike) scansionavano, scrivevano exploit e lanciavano script; uno strato di scansione (HalberdStrike e una copia craccata di Acunetix) produceva report strutturati per gli attaccanti.

Non c'era alcuna automazione da agente ad agente. L'operatore era il ponte: copiava e incollava gli output tra le finestre dei terminali in cinese tradizionale, raggiungendo Hermes via WeChat e OpenClaw via LINE. Il cervello offensivo erano modelli "abliterati" — varianti di DeepSeek, GLM e Qwen con l'allineamento di sicurezza rimosso, eseguite in locale su GPU. Il solo Hermes ha registrato circa 95 sessioni, 18.311 messaggi, oltre 3.300 comandi da terminale e 561 invocazioni di sqlmap.

I modelli commerciali si sono rifiutati. Grok ha preteso un'autorizzazione scritta; MiniMax M3 ha risposto all'operatore "Sono io il custode" e ha citato il Computer Crime Act thailandese. Acronis ha scoperto tutto dopo aver segnalato quello che sembrava un ambiente di sviluppo mal configurato, che si è rivelato un archivio di oltre 90.000 file e 9 GB di evidenze. Acronis classifica l'operatore come una "minaccia AI-aumentata" — una persona sola il cui output assomiglia a quello di un gruppo statale, come ha rilevato anche la copertura indipendente del report.

Cosa è caduto davvero — e cosa ha tenuto

Nessuno degli accessi confermati era uno zero-day. Acronis stima l'esfiltrazione di dati o l'accesso ai sistemi confermati in circa 10 bersagli distinti su tre Paesi. I meccanismi erano i più vecchi del mestiere:

Bersaglio	Come è caduto	L'autenticazione l'avrebbe fermato?
Dispatch 119 di Taipei	Record dei casi estratti dalla API stessa del sistema — orari, tipo di intervento, posizioni a livello di strada, 7 distretti	Sì
Piattaforma sanitaria dei vigili del fuoco di Taipei	Tracciati ECG, video delle ambulanze e parametri vitali del 2018 — raggiungibili senza alcun login	Sì
Società di prestiti	SQL injection su backend MSSQL 2017; 16 punti d'iniezione; tabella account estratta	Sì (query parametrizzate)
Fornitore di dispatch antincendio	Pannello admin del database aperto con credenziali root di default; 18+ tabelle esposte	Sì
Università thailandesi	Dump via SQL injection su 3 di 45 atenei, inclusa una tabella admin Oracle da 2.563 righe	Sì

La conclusione di Acronis è quella da appendere al muro: gli agenti "hanno fallito dove l'autenticazione era imposta, dove i paywall richiedevano sessioni valide e dove gli endpoint erano filtrati correttamente." E senza giri di parole: "L'oscurità non è più una difesa valida."

Gli agenti erano anche mediocri. HalberdStrike ha allucinato CVE inesistenti in oltre metà dei suoi risultati critici. Uno ha prodotto un report sicuro e strutturato per una RCE critica su Apache, su una porta filtrata e senza che Apache fosse nemmeno confermato. Hermes si è imbattuto nel sistema del personale di un'aeronautica militare in Honduras e lo ha abbandonato a metà, decidendo da solo che era fuori ambito. Non era uno strumento di precisione. Era uno strumento a buon mercato e instancabile.

È cambiata l'economia, non la raffinatezza

È tutta qui la lezione. Il moltiplicatore qui è il costo, non la competenza. Lo dice Acronis senza ambiguità: "Gli agenti AI hanno reso economico trovare e raggiungere tutti questi bersagli in parallelo in più Paesi." Una persona sola ha coperto undici Paesi — Taiwan, Thailandia, Messico e altri — sondando centinaia di organizzazioni a ritmo di macchina, perché il lavoro di cercare è sceso quasi a zero.

Il report sulle minacce di settembre 2026 di Anthropic arriva allo stesso punto dall'altro lato del settore, sotto il titolo "Gli attacchi sofisticati non richiedono più attaccanti sofisticati". La formula: "L'AI ha azzerato il divario di manodopera e strumenti" e "l'AI ha ribaltato il costo sui difensori." In un caso documentato, agenti legati a un cluster di estorsione hanno esfiltrato oltre 2.100 set di token Azure AD da più di 40 tenant aziendali in circa 34 ore, con l'AI che svolgeva quasi tutto il lavoro. CyberStrike, uno degli agenti d'attacco citati in BOSSAI, è la stessa classe di framework offensivo aperto dietro la campagna a 44 agenti contro bersagli giapponesi e il framework ARTEX puntato su oltre 200 organizzazioni.

La conseguenza pratica per il tuo perimetro è semplice: la cosa esposta che davi per scontato nessuno si prendesse la briga di cercare ora viene trovata, perché cercarla è gratis. L'unica risposta duratura è guardare al proprio perimetro con lo stesso parallelismo economico e instancabile che ora ha l'attaccante — che è esattamente ciò per cui esiste il penetration test automatizzato.

Come non essere i vigili del fuoco di Taipei

Il runbook non è affascinante, ma è completo:

1. Inventaria ogni API e pannello admin esposti su internet. Dai per scontato che verranno sondati entro l'ora. Imponi l'autenticazione su tutti — gli agenti si sono fermati di colpo davanti all'autenticazione imposta.
2. Elimina le credenziali di default. Il fornitore di dispatch è caduto per un pannello database ancora su root di default. Ruota, e controlla di continuo, non una volta sola.
3. Dai la caccia ai tuoi servizi non autenticati e legacy prima che lo faccia la rete. La piattaforma sanitaria del 2018 era raggiungibile senza login: il tipo di sistema dimenticato che l'"oscurità" proteggeva in silenzio.
4. Tratta la SQL injection come un'esposizione di primo piano. Parametrizza le query e verifica con gli stessi strumenti della classe sqlmap che gli agenti puntano contro di te.
5. Definisci la superficie d'attacco come "ciò che uno sconosciuto senza credenziali può raggiungere". È esattamente la superficie caduta qui — non serviva andare più in profondità.

Intercetta la rete mentre legge

L'altra verità difensiva: questi agenti sono rumorosi. Scansione a ritmo di macchina, letture massive di API, 561 esecuzioni di sqlmap, centinaia di query a Shodan e nmap. I furti dei record di dispatch e degli elenchi telefonici erano estrazioni in blocco — il tipo di volume ed egress anomali che una rete vede mentre accade, molto prima che emerga nella revisione dei log del mattino dopo. Gli strumenti endpoint non hanno visto quasi nulla di tutto questo, perché l'attività viveva sul filo, non su un host gestito.

Cosa non si sa ancora

• Acronis descrive una finestra di osservazione di circa 12 giorni ma non pubblica la cronologia completa dell'intrusione.
• La piattaforma dei vigili del fuoco di Taipei è descritta come "che espone" i dati sanitari del 2018 nel corpo del testo e indicata tra le esfiltrazioni confermate nel riassunto; se quei dati siano stati estratti in blocco o solo raggiunti non è del tutto chiarito.
• Non viene nominato alcun CVE per le vittime confermate — un tentativo di webshell fallito usava "un CVE noto" che Acronis non identifica. L'operatore è attribuito per handle ("bossjy") e posizione, non nominato.
• Le cifre potrebbero cambiare man mano che Acronis e le autorità taiwanesi pubblicano aggiornamenti.

La risposta è guardare per primi — e sorvegliare il filo

BOSSAI non è una storia di AI sovrumana. È una storia di crollo dei costi che trasforma ogni API esposta e ogni password di default in un rischio che qualcuno ora troverà di sicuro. La postura difendibile è trovarli per primi, con la stessa economia. Zero Hunt è un red team AI autonomo che gira su un apparato on-premise con modelli privati propri, con un human in the loop per ogni azione che conta: il suo swarm di 10 agenti genera una catena di exploit per singolo bersaglio — black-box, senza credenziali, esattamente come lavoravano gli agenti di bossjy — testata nell'AI Gym prima di essere eseguita, così scopri che la tua API 119 risponde senza token, o che un pannello admin è ancora su root di default, prima che lo faccia un operatore esterno. Ogni risultato è firmato al momento della scrittura (Ed25519, hash-chained) per la catena di evidenze.

E quando qualcuno sta già leggendo i tuoi dati, l'intercettazione deve avvenire sul filo. L'analisi del traffico di Zero Hunt è un modello di deep learning con quattro teste di inferenza parallele — traffico sospetto, classificazione malware, identificazione del tipo di attacco, fingerprinting applicativo — addestrato su miliardi di sequenze PCAP e in esecuzione in locale sulla GPU dell'apparato. È costruito per segnalare la lettura massiva di API e la scansione a ritmo di macchina mentre avvengono, non nel digest del SIEM del giorno dopo. L'economia dell'attacco è cambiata. L'economia della difesa deve cambiare con essa.