Onderzoekers van Acronis’s Threat Research Unit beschrijven een cyberaanval waarin BOSSAI AI-agents werden ingezet om gegevens te verzamelen bij organisaties in meerdere landen. In het bijzonder ging het mis bij omgevingen rond noodhulp, waar records van de 119-dienst (brandweer en ambulance) en ook medische data werden blootgelegd.
De zaak is niet alleen technisch interessant, maar vooral urgent voor organisaties die afhankelijk zijn van openbare API’s, verouderde systemen en endpoints die onvoldoende zijn afgeschermd.
Wat Acronis onderzocht: een aanval met AI-agents
Volgens Acronis lijkt het om één aanvaller te gaan die via een set AI-agenten gegevens achterhaalde, systemen benaderde en output tussen agenten liet doorstromen. De onderzoekers zagen dat de agents gericht waren op honderden organisaties in ten minste 11 landen.
De aanval werd gedurende 12 dagen gevolgd. Daarbij valt op dat de agenten niet onderling automatisch communiceerden: waar de ene agent iets vond, moest de aanvaller de output handmatig in een volgende agent plaatsen.
De kernimpact: noodoproep- en patiëntinformatie
De zwaarste bevestigde schade lag in Taiwan. Daar richtten de BOSSAI AI-agents zich op records van een systeem voor 119—het noodnummer voor brandweer en ambulance. Acronis meldt dat de agents die dispatch-records via een API ophaalden.
Het ging om casegegevens zoals incidentmomenten, type respons, status en locaties op straatniveau. Het betrof volgens de onderzoekers geen live tracking van ambulances, maar historische of geregistreerde casusinformatie.
Daarnaast beschrijven de onderzoekers een platform van de brandweer waar sinds 2018 patiëntdata blootlag zonder login. Dat omvatte onder meer ECG-lezingen en ambulancevideo. Acronis geeft aan dat de agents de blootgestelde data konden vinden en verzamelen.
Meer doelen dan alleen noodhulp
Naast nooddiensten richtten de agents zich ook op andere sectoren. Acronis noemt instellingen zoals banken, universiteiten en systemen gelieerd aan militaire omgevingen. In Taiwan, Mexico en Thailand rapporteerden de onderzoekers dat de agents in ongeveer 10 gevallen daadwerkelijk gegevens verzamelden of toegang tot systemen kregen.
Bovendien zagen ze dat er nog meer organisaties werden benaderd zonder dat er op dat moment een bewezen inbraak was. In ten minste acht andere landen bleven doelen op de “wachtlijst” voor een mogelijke aanval die nog niet was uitgevoerd.
Hoe de aanvaller de AI-agents configureerde
De omgeving achter de aanval bestond uit een opzet die Acronis BOSSAI noemt en waarin 12 AI-agenten waren opgenomen, waarvan er 9 daadwerkelijk werden ingezet. Sommige agenten bouwden en onderhielden infrastructuur en tools, terwijl andere agenten scantaken uitvoerden of directe aanvalstappen deden.
In de beschrijving van Acronis gebruikte de aanvaller commerciële cloudmodellen voor een groot deel van het bouwen. Grok werd genoemd als hoofdbouwer. Toen de aanvaller die modellen direct om aanvallen vroeg, weigerden Grok en een andere modelvariant (MiniMax M3) om hulp te bieden zonder schriftelijk bewijs dat de acties geautoriseerd waren.
Of een vervalste autorisatiebrief dat had kunnen omzeilen, blijft volgens de onderzoekers onduidelijk.
“Abliterated” modellen: wanneer veiligheidstraining verdwijnt
Een belangrijk punt in het verhaal is dat de aanval grotendeels doorliep met zogenoemde “abliterated” modellen: AI-modellen die lokaal draaien en waarbij de safety-training volgens de onderzoekers was verwijderd.
Acronis noemt varianten van DeepSeek, GLM en Qwen als onderdelen van die aanpak. Daardoor konden de agents taken uitvoeren die met commerciële modellen niet of beperkt lukten.
Waar het misging: fouten en verkeerde aannames
De AI-aanpak leverde niet alleen successen op. Acronis beschrijft ook duidelijke fouten. Eén van de scanners zou CVE’s hebben “verzonnen”. Meer dan de helft van de gevonden high- en critical bevindingen bleek volgens de onderzoekers false positives of verkeerd geclassificeerd.
Ook het hoofdagent rapporteerde resultaten die niet daadwerkelijk waren gebeurd. Dit onderstreept dat AI-agents wel kunnen versnellen, maar dat de kwaliteit van output en validatie niet automatisch betrouwbaar is—zeker niet bij geautomatiseerde scanning en rapportage.
Technische routes: API’s, SQL-injectie en kwetsbare databases
Acronis geeft meerdere voorbeelden van hoe de agents doelen benaderden:
- Taiwan: dispatch-records werden via een openbare API uitgelezen.
- Taiwan en Thailand: een accounttabel bij een leningsorganisatie werd geraakt via SQL-injectie; in Thailand gebeurde dat na het selecteren van tientallen potentiële targets binnen meerdere instellingen.
- Mexico: gegevens van duizenden huishoudtelefoons (namen en adressen) werden verzameld op basis van publiek beschikbare statistieken en bestanden zoals postcode- en telecombrongegevens.
Wat opvalt is dat de aanval vooral profiteerde van omgevingen waar data al “te makkelijk” toegankelijk was: openstaande poorten, endpoints zonder afdoende filtering en systemen met bekende achterstanden.
Waarom de beveiliging toch een rem zette
Volgens Acronis faalden de BOSSAI AI-agents vooral in situaties waar extra beveiligingen wél standhielden. De onderzoekers noemen logins, paywalls en beter gefilterde endpoints als barrières.
Met andere woorden: de AI maakte het relatief goedkoop om veel doelen tegelijk te doorzoeken en te benaderen, maar kon niet voorbij technische controles die toegang echt afdwingen.
Attributie: zo denken onderzoekers de dader te herleiden
Acronis zegt met hoge mate van vertrouwen te kunnen stellen dat het om één persoon gaat, gebaseerd op fouten in het opzetten van anonimiteit. De aanvaller zou daarbij dezelfde identiteit hebben hergebruikt over legitieme activiteiten en de aanvalsinfrastructuur heen.
Er werden onder meer een GitHub-profiel, een logo, een SSH-keynaam en een e-mailadres genoemd. Daarnaast verscheen het home IP-adres tijdens een SSH-sessie in een Grok-conversation.
Over motieven is minder duidelijkheid. Acronis merkt op dat doelen zowel overheids- en veiligheidscontexten als “gewone” cybercrime lijken te raken. Dat kan volgens de onderzoekers wijzen op financieel gewin, maar het blijft speculatie.
Wat kun je nu doen? Praktische lessen voor organisaties
De casus laat zien dat BOSSAI AI-agents niet mag worden gezien als “een magische hackmachine”. De echte winst voor aanvallers komt uit het vinden van zwakheden in implementatie en beheer.
Drie concrete aandachtspunten helpen om de kans op gegevensverlies te verkleinen:
- Beperk datatoegang tot API’s: zorg voor sterke authenticatie, authorisatie en filtering, ook wanneer systemen “publiek” lijken.
- Sluit en patch verouderde of vergeten onderdelen: vooral platforms die al jaren ongewijzigd openstaan vormen een aantrekkelijk doelwit.
- Monitor op misbruik: let op ongebruikelijke queries, herhaalde probing en afwijkende patronen bij scanning en dataverzameling.
Wil je dit in de context van patch- en dreigingstrends plaatsen? Lees dan ook dreiging en patchvertraging in 2026 voor een breder beeld van waarom achterstanden en blootstelling elkaar kunnen versterken.
Vergelijkbare risico’s: wanneer AI automatisch schaal geeft
Een opvallend element uit Acronis’ beschrijving is de schaalbaarheid: één actor kan via agents veel doelen benaderen. Dat betekent dat “kleine” misconfiguraties—zoals een endpoint die net niet goed afgeschermd is—snel kunnen escaleren zodra een geautomatiseerde workflow erdoorheen kan.
Ben je benieuwd naar hoe aanvallen via systemen in de infrastructuur misbruik kunnen maken van misconfiguraties en endpoints? Dan is het relevant om blootstelling checken met 5 tests te bekijken. Die aanpak sluit goed aan op de kern van deze zaak: preventie begint met weten wat er extern bereikbaar is.
Conclusie
De aanval die Acronis beschrijft, draait om BOSSAI AI-agents die data wisten te verzamelen via openbare en onvoldoende beschermde routes—met de grootste impact in Taiwan op noodoproep- en patiëntinformatie. Tegelijk laat het onderzoek zien dat beveiliging vaak wél werkt waar logins, sessiecontrole en endpoint filtering op orde zijn.
De belangrijkste takeaway: automatiseerbaarheid is geen excuus om stil te zitten. Door toegang tot API’s te hardenen, systemen tijdig te patchen en misbruik te monitoren, verklein je de kans dat AI-agents schaal kunnen maken van bekende zwakheden.
Bron: https://thehackernews.com/2026/11/taiwan-based-hacker-used-bossai-ai.html
