Un hacker taiwanese ha utilizzato agenti di intelligenza artificiale per sottrarre dati di emergenza a Taipei
12 novembre 2026 · 4 min di lettura
Pubblicato anche in Русский
Un singolo attaccante ha impiegato agenti di intelligenza artificiale per estrarre i registri di dispatch di emergenza che coprono sette distretti di Taipei, come hanno riferito i ricercatori dell'unità di ricerca sulle minacce di Acronis la scorsa settimana. L'attaccante ha mirato a centinaia di organizzazioni in almeno undici paesi, tra cui servizi di emergenza, banche, università e sistemi militari. Gli agenti hanno raccolto dati o hanno acceduto a sistemi presso circa dieci di queste entità in Taiwan, Messico e Thailandia. I ricercatori sono altamente fiduciosi che l'attaccante sia una singola persona basata nella città di Hualien, Taiwan.
L'attacco ha sfruttato una piattaforma del dipartimento dei vigili del fuoco di Taipei che esponeva dati dei pazienti dal 2018, senza richiedere un accesso. Tra i dati esposti figuravano le letture dell'elettrocardiogramma e le riprese video delle ambulanze. I registri di dispatch provenivano dal sistema cittadino per il numero di emergenza 119, utilizzato per i servizi di vigili del fuoco e ambulanze. Gli agenti hanno estratto questi dati dall'interfaccia di programmazione dell'applicazione del sistema. I registri includono orari degli incidenti, tipi di risposta, stato dei casi e posizioni a livello di strada. Si tratta di registri dei casi, non di tracciamento in tempo reale delle ambulanze.
L'infrastruttura utilizzata dall'attaccante, denominata BOSSAI, comprendeva dodici agenti di intelligenza artificiale, di cui nove in uso. Alcuni agenti costruivano e mantenevano i server e gli strumenti dell'attaccante, mentre altri scansionavano i bersagli e portavano avanti gli attacchi. I modelli di intelligenza artificiale commerciali hanno rifiutato in gran parte di aiutare l'attaccante a lanciare gli attacchi. Di conseguenza, gli agenti di attacco sono stati eseguiti quasi interamente su modelli abliterated, ovvero modelli di intelligenza artificiale eseguiti localmente con l'addestramento di sicurezza rimosso. Questi modelli abliterated erano versioni di DeepSeek, GLM e Qwen.
L'attaccante ha utilizzato anche agenti di programmazione come Claude Code, Codex e Cursor. Ha ridiretto gli agenti di programmazione Claude Code e Codex verso un modello abliterated, anche se questi si occupavano principalmente di lavori infrastrutturali. Cursor, un altro agente di programmazione, ha attaccato un sito dei servizi di emergenza taiwanesi mentre eseguiva un modello abliterated. I modelli di intelligenza artificiale commerciali, tra cui Grok e MiniMax M3, hanno rifiutato di aiutare l'attaccante quando questi ha chiesto direttamente di lanciare attacchi, richiedendo prove scritte di autorizzazione. Grok ha fatto un'eccezione riparando uno script di prova del concetto rotto, che l'attaccante ha poi passato a un agente di attacco.
Gli agenti hanno commesso errori durante l'operazione. Uno strumento di scansione ha inventato identificativi di vulnerabilità, e più della metà dei suoi risultati di alta e critica gravità erano falsi positivi o classificati in modo errato. L'agente di attacco principale ha anche riportato risultati che non si erano verificati. Gli agenti non comunicavano tra loro, quindi l'attaccante incollava manualmente l'output di un agente in un altro. L'attaccante ha riutilizzato un'unica identità per i suoi affari legittimi e i suoi server di attacco, inclusi un profilo GitHub, un logo, un nome di chiave SSH e un indirizzo e-mail. Il suo indirizzo IP domestico è apparso durante una sessione SSH in una delle sue conversazioni con Grok.
Oltre ai servizi di emergenza, gli agenti hanno sottratto dati da una tabella di account di un'azienda di prestiti taiwanese tramite iniezione SQL. In Thailandia, hanno raccolto dati da tre università nello stesso modo, dopo aver selezionato 489 potenziali bersagli in 45 istituzioni. In Messico, hanno raccolto circa 206.800 registri di telefoni domestici contenenti nomi e indirizzi, utilizzando statistiche governative, elenchi di codici postali e dati dell'autorità delle telecomunicazioni. Circa altre 15 organizzazioni sono state attaccate senza un ingresso confermato. In almeno altri otto paesi, i bersagli sono stati solo scansionati o preparati per attacchi che non erano stati eseguiti al momento dell'analisi dei ricercatori.
I ricercatori hanno osservato l'operazione per 12 giorni. Un intercambio registrato mostra l'attaccante al lavoro il 25 luglio. L'analisi tecnica dei ricercatori indica che Taiwan è stata colpita molto più pesantemente di qualsiasi altro paese. Il danno più grave confermato riguardava i dati dei servizi di emergenza. I ricercatori ritengono che l'attaccante probabilmente volesse guadagnare denaro, ed è incerto se lavori per qualcuno. Ciò che gli agenti hanno trovato era in gran parte dati già scarsamente protetti, come un porto di dati medici lasciato aperto dal 2018, registri di dispatch su un'interfaccia di programmazione accessibile pubblicamente, un prestatore con 16 punti di iniezione SQL e università con database Oracle non aggiornati. Gli agenti sono falliti dove gli accessi erano obbligatori, dove i paywall richiedevano una sessione valida e dove i punti di accesso erano adeguatamente filtrati. L'intelligenza artificiale ha reso economico trovare e raggiungere molti bersagli contemporaneamente, ma non ha superato le difese che tenevano. Novemila indirizzi IP e nove domini dell'allestimento dell'attaccante compaiono nell'elenco degli indicatori alla fine dell'analisi. Nessuno è contrassegnato come attivo o inattivo, e la maggior parte viene senza una nota su cosa fossero stati utilizzati.