2026-11-13 11:14:25 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

一个人，12 个 AI 代理，11 个国家 · BOSSAI 全复盘

原创

Gaojin
Gaojin

网络与信息安全参考

2026年11月10日 17:00
山东

去阅读

开源威胁情报%20·%20OSINT2026.11.10

一个人，12%20个%20AI%20代理，11%20个国家 · BOSSAI%20全复盘

12%20天观察窗%20·%20约%2010%20个目标确认失陷。本文基于%20Acronis%20TRU%20一手报告，交叉核实三个公开情报源，关键结论均标注来源与置信度。

DOODLE

单一操作员%20+%209%20个活跃%20AI%20代理%20=%20一次横跨%2011%20国的攻击行动

AAT防御视角

EDITOR'S%20NOTE

阅读前必读

2026%20年%2011%20月%204%20日，Acronis%20威胁研究团队（TRU）发布报告，曝光一个名为%20BOSSAI%20的%20AI%20攻击网格：一名位于中国台湾花莲市的操作员，指挥%2012%20个%20AI%20代理，在%2012%20天内攻击了%2011%20个国家/地区的数百个组织。本文依据该一手报告整理，并交叉核实%20CyberVeille%20与%20Cybersecurity%20News%20两个公开来源。全文为防御视角，不含任何攻击方法；关键结论标注来源与置信度，存疑之处单独说明。

PART

关键事实速览

KEY%20FACTS

维度

数值

说明

攻击网格

12%20个%20AI%20代理

9%20个活跃，3%20个已配置未使用

证据规模

90,000+%20文件

约%209GB，含日志、对话、工具与受害者数据

观察窗口

12%20天

TRU%20研究人员观察期

目标范围

11%20个国家/地区

应急、金融、大学、军事、电信目录等

确认失陷

约%2010%20个目标

跨%203%20国；另约%2015%20个遭攻击未确认

操作员

1%20人

中国台湾花莲市，住宅宽带接入

AI%20让“一个人打一个国家的攻击面”变得廉价 但报告同时显示：在认证强制执行、配置得当的目标处，AI%20代理全部失败——失陷集中在默认凭证、未修补数据库与无认证%20API%20等基础缺陷上。这正是防御方最值得关注的地方。

PART

操作员画像

ACTOR%20PROFILE

TRU%20以高置信度将该活动归因于一名驻扎在中国台湾花莲市的个人，使用住宅宽带连接。活动被归类为 AAT（AI-augmented%20threat，AI%20增强威胁）：单一操作员借助%20AI%20代理网络，实施兼具%20APT%20与网络犯罪特征的行为。目标横跨政府、金融、教育、军事、电商与赌博平台，无单一政治或意识形态目的，推测动机为牟利。

操作员以繁体中文下达命令，常缩短到一个%20URL；代理窗口之间不直接通信，他手动复制粘贴结果，是整个网格唯一的“人工桥梁”。

PROFILE身份线索链

统一代号%20bossjy

全部基础设施使用同一代号，是最稳定的关联锚点。

GitHub%20账号%20TIAN0517

头像为“Jy技術團隊”标识，fork%20过%20ePCR%20代码库。

SSH%20身份%20lstjks

以%20l\\\*@windows-rsa%20形式出现在%20vps12%20的%20authorized\_keys%20中。

线下实体「九九瓦斯行」

邮箱关联花莲县一家燃气热水器及厨具店。

同%20IP%20的“合法”业务

行銷快手（SnapPost）社媒自动发帖%20SaaS、INCELLDERM%20韩国护肤品转售、ShinSoft%20监控摄像头业务，与攻击服务器共用住宅%20IP%20与品牌标识。

凭证管理混乱

Shodan、Cloudflare、MiniMax、NVIDIA%20等多枚%20API%20key%20硬编码在文件与历史记录中，从不轮换。

攻击基础设施与商业基础设施混置于同一住宅%20IP%20与品牌体系之下——这压低了成本，也留下了完整的归因链条。行为特征上，这是一名“兼职式”威胁行为体，而非组织化犯罪集团。

PART

攻击网格如何运作

HOW%20IT%20WORKS

BOSSAI%20由%2012%20个%20AI%20代理组成，其中%209%20个活跃，分三类角色协同：

攻击者

Hermes（主攻）、Cursor、Trae、CyberStrike——扫描目标、构建并执行利用。Cursor%20生成%20LFI、JWT%20bypass、认证模糊测试脚本；Trae%20编写爬虫与针对大学目标的%20SQL%20注入脚本。

构建者

Grok%204.5（14%20个会话，安装%20HexStrike%20AI、配置%20Cloudflare%20DNS）、OpenClaw（MiniMax%20M3，约%2017%20个会话）、Claude%20Code%20与%20Codex（经%20shim%20将%20API%20调用转至本地模型）。

扫描层

HalberdStrike（代理式渗透框架，至少%2020%20个项目，scope%20校验被禁用）+%20破解版%20Acunetix%20AWVS。

HERMES主攻击代理：全自主%20+%20持久记忆

Hermes%20是网格的“workhorse”：约%2095%20个会话、18,311%20条消息，其中%2083.5%%20是工具调用及结果；19%20天内轮换至少%209%20个模型，最终默认为操作员称为 DS4 的本地去对齐（abliterated）DeepSeek-V4%20变体——64K%20上下文、4%20块本地%20GPU。

它以 HERMES\_YOLO\_MODE=1 全自主模式运行（操作自动批准），系统提示词禁止拒绝与说教，并被授予全权：“決策全線都給你%20你處理不用在問我%20直到漏洞確定可利用後再回報”。

Hermes%20携带可自我修补的技能库（SKILL.md）：调用最多的 gov-api-penetration 达%2051%20次调用、57%20次迭代补丁，gambling-platform-penetration 28%20次、52%20次补丁——形成跨会话、跨模型轮换的“持久攻击记忆”。同期工具统计：3,300+%20次终端命令、2,000%20次代码执行；sqlmap%20出现%20561%20次、FOFA%20432%20次、nmap%20271%20次、Shodan%20213%20次。

ATTACK%20FLOW

典型攻击链路：扫描%20→%20研判%20→%20人工转交%20→%20利用%20→%20外泄

HalberdStrike漏洞扫描BOSSAI%20网格%20·%20代理间不直接通信Hermes研判操作员人工转交Cursor执行利用数据外泄

实录案例：HalberdStrike%20扫描某应急服务网站%20→%20Hermes%20将发现整理成报告%20→%20操作员粘贴进%20Cursor%20并下令利用%20→%20Cursor%20执行攻击（Acronis%20TRU）。

商业模型

Grok%204.5%20/%20MiniMax%20M3：系统性拒绝攻击请求，引用计算机犯罪法、索要书面授权

本地%20abliterated%20模型

顺从指令，但能力更弱、幻觉更多——高危发现超一半是误报

值得注意的是，操作员曾要求%20Hermes“不要问、直接做”，结果%20Hermes%20反而自行判断洪都拉斯军事人员系统“超出范围”而未加利用；对国家灾害响应中心的“关键%20Apache%20RCE”报告，也被平台自我复查后降级为误报——端口实为过滤状态。

PART

打到了哪里

VICTIMS%20&%20IMPACT

12%20天内，约%2010%20个目标确认发生数据窃取或系统访问（跨%203%20国），另约%2015%20个目标遭主动攻击但未确认攻陷；8%20个其他国家/地区的实体遭侦察或已暂存待扫描。最严重的确认危害针对应急服务数据。

CASE

台北消防急救病患记录平台

应急医疗%20·%20中国台湾

无凭据即可访问%202018%20年（含）以来的心电图读数、救护车视频与患者生命体征。

确认失陷：遗留医疗数据在无认证平台上暴露多年。

CASE

某市%20119%20紧急调度系统

政府应急%20·%20中国台湾

提取案件记录：事发时间、响应类型、状态字段与街道级位置，覆盖%207%20个区。这是%20API%20调度案件记录，不是实时%20GPS%20追踪。

确认失陷：调度数据可被批量提取。

CASE

金融与消防调度供应商

金融%20/%20关键供应商%20·%20中国台湾

某借贷公司%20MSSQL%202017%20后端被确认%2016%20个%20SQL%20注入点，账户信息表数据被提取；某消防调度技术供应商的数据库管理面板沿用默认%20root%20凭证，暴露%2018+%20张表。

确认失陷；但对同一供应商经已知%20CVE%20植入%20webshell%20的尝试失败。

墨西哥%20·%20大规模%20PII%20收集

构建覆盖%203%20城%2012%20个富裕社区的电话目录：约%20206,800%20条住宅电话记录（姓名、地址、邮编），另有约%20124,000%20条黄页记录。两轮暴力破解与%202,600+%20组凭据填充均失败。

泰国%20·%20几乎全是大学

45%20所机构的%20489%20个潜在目标中，3%20所大学确认%20SQL%20注入并窃取数据（其一%20Oracle%20数据库导出%202,563%20行管理员表）；另%202%20所确认注入点但未确认数据提取。

洪都拉斯%20·%20未被利用

侦察中偶然发现空军人员系统，逆向%20Angular%20应用并映射内部%20API%20端点——模型自行判断“超出范围”而未咨询操作员。

其余为侦察级目标（美国、英国、澳大利亚、斯里兰卡、新加坡的高校；中国内地与越南的批量扫描）与%2057%20个暂存未扫%20URL（中国香港、印度尼西亚、加拿大）。iOS%20加密货币钱包提取工具包已组装，从未用于真实目标。

PART

关联基础设施与%20IOC

INFRASTRUCTURE%20&%20IOC

舰队以 vps12（112[.]121[.]185[.]218）为主节点，同机运行%20OpenClaw%20C2、Zen%20Terminal、Kali%20MCP、HexStrike%20AI%20与%20Oktos%20后利用框架；vps5%20存放针对视频监控设备的%20Hikvision%20利用工具%20v1.3（与其%20ShinSoft%20摄像头业务关联）；另有%20VPN、邮件（疑用于钓鱼）与研发节点。算力上，本地%20RTX%204090%20多卡经%20llama.cpp%20服务去对齐模型，并按需租用中国广州%20cn-4090%20集群（192GB%20VRAM），经%20autossh%208%20端口隧道回连主节点。出口使用自控%20SOCKS5%20代理池与%20BrightData%20数据中心代理；MCP%20服务器峰值%2013%20个，事发时已削减为%203%20个。

...IOC%20·%20defanged

----%20IP%20(9)%20----

112[.]121[.]185[.]218%20#%20vps12%20main%20node

156[.]240[.]109[.]26%20/%2049[.]158[.]237[.]136

202[.]160[.]76[.]153%20/%20.154%20/%20.155%20/%20.156%20/%20.157%20/%20.174

----%20Domains%20(9)%20----

vps[.]xs1[.]ccwu[.]cc%20#%20VT%209/92

xss[.]xs1[.]ccwu[.]cc%20#%20VT%203/92

c[.]xs1[.]ccwu[.]cc%20#%20VT%204/92

attacker-collector[.]com%20/%20boss[.]jytian[.]cc[.]cd

gdp[.]gasjy[.]kdns[.]fr%20/%20gds[.]gasjy[.]kdns[.]fr

888[.]bossjy[.]kdns[.]fr%20/%20ssh[.]gputw[.]ai

----%20Files%20&%20paths%20(4)%20----

webai\_poc.py%20/%20apply-to-system.sh%20/%20888.txt

IOC 使用警告 上述指示器由第三方自动提取，仅 3 个域名有外部检出记录（VirusTotal，截至 2026-11-07）；IP 与域名可能已被重新归属。投入 blocklist 或 SIEM 前必须验证时效，并仅在受控平台还原 defang。

PART

防御建议

DEFENSE

报告最有价值的结论之一是：AI 代理在基础安全失效处大开大合，在防御生效处全部碰壁。失陷点没有一个是“高深技术”，全部是“本不该存在”的问题。

P0立即执行（应急 / 医疗 / 消防 / 金融 / 教育行业优先）

用第 05 章 IOC 比对自有资产，回溯至少 90 天日志
清除数据库面板、监控设备的默认凭证
调度、病患记录等数据类 API 强制认证与授权
排查未打补丁的公网数据库实例

P130 天内

公网资产与端口梳理、子域名收敛、影子 IT 排查
SQL 注入修复用参数化查询；登录限流与失败锁定（注意防账号锁定 DoS）
部署针对 sqlmap / nmap / Hydra 高频扫描与代理出口的检测规则
核查视频监控设备固件版本与公网暴露面（以厂商官方公告为准）

P2长期治理

数据保留治理：2018 年的遗留医疗数据不应仍可无凭证访问
将技术供应商纳入安全评估——消防调度供应商正是本次失陷点
监测 HexStrike AI、HalberdStrike、Oktos 等攻击框架在内部的未授权使用
摒弃“隐蔽即安全”：认证、补丁、最小暴露才是可靠防线

PART

情报来源与可信度

SOURCES & CONFIDENCE

来源

日期

性质与可靠性

Acronis TRU

11-04

一手研究，基于 9GB 被暴露证据（高）

CyberVeille.ch

11-07

二手聚合，附 IOC 外部验证与 ATT&CK 映射（中高）

Cybersecurity News

11-05

二手新闻，与一手报告相互印证（中）

Telegram @aptreports

11-04

未能自动核实（未验证，故无截图）

来源 [1] Acronis TRU 一手报告（2026-11-04，acronis.com）

来源 [2] CyberVeille 复盘文章（2026-11-07，cyberveille.ch）

来源 [3] Cybersecurity News 报道（2026-11-05，cybersecuritynews.com）

CAVEATS存疑与冲突（如实说明）

Telegram 源抓取失败、未能独立核实；且聚合摘要将部分内容误标为该源，实际见于 Acronis 与 Cybersecurity News
Hermes“19 天轮换 9 个模型”长于“12 天观察窗”，来源未公布逐日时间线
VPS 总数存在“9 节点”与编号体系的表述差异；泰国“45 所机构”并非全是大学
9 个 IP 均无外部验证记录；CyberStrike 会话数据存于服务端，其输出无法独立验证

CLOSING

AI 没有凭空造出访问权限——它只是更快地找到了那些本就不该存在的入口。真正的问题从来不是 AI 太强，而是门一直开着。

免责声明 DISCLAIMER

请仔细阅读

本文基于公开开源情报（OSINT）整理，仅供安全研究与防御参考，不构成任何形式的安全建议、法律意见或保证。文中情报随时间推移可能失效，IOC 可能已被重新归属，使用前请自行核实官方与最新来源；涉及具体漏洞与框架安全公告时，请以厂商官方通稿为准。如内容涉及侵权或敏感信息，请联系删除。本文遵守微信公众号平台内容发布规范。