Acronis揭露BossAI攻击架构：整合12个AI代理与MCP协议，覆盖全球11国目标
Acronis威胁研究单位披露BossAI攻击框架细节，显示攻击者通过MCP协议和Skills协调多个AI代理进行跨国侦察，但自动化漏洞评估存在高误报率。
网络安全公司Acronis的威胁研究单位（TRU）近日发布报告，详细分析了名为“BossAI”的攻击框架。该框架由一名据信位于中国台湾花莲的攻击者操作，整合了12个AI代理，其中9个在观察期间实际运作。这些代理并未建立直接通讯机制，而是由攻击者手动传递工作成果，利用模型上下文协议（MCP）串联渗透测试工具，并使用移除安全限制的本机AI模型执行攻击。
在针对中国台湾紧急服务系统的攻击中，攻击者首先使用HalberdStrike扫描网站获取弱点报告，随后交由Hermes分析可能的攻击路径，最后将结果提供给Cursor以进一步利用漏洞。这种分工模式表明，尽管部分任务可自动执行，但不同AI代理之间的协调仍高度依赖人工干预。
攻击者还利用“Skills”保存攻击流程及过往经验。例如，专门针对政府消防派遣API的gov-api-penetration Skill被频繁使用，累计调用51次。这些Skill文件记录了操作指示、脚本及参考资料，使AI代理在不同工作阶段甚至更换底层模型后仍能沿用既有成果。此外，攻击者启用了HERMES_YOLO_MODE=1等配置，允许代理自动核准操作并加载Hook脚本，以减少人工介入。
然而，Acronis的研究也揭示了AI代理在弱点判断上的可靠性问题。HalberdStrike曾将连接失败误判为远程代码执行（RCE）漏洞，其报告的高风险弱点中超过半数为误报或错误分类。这表明，虽然AI代理能以较低成本快速执行大量侦察任务，但其产生的错误信息增加了攻击者的处理负担，自动化程度的提高并不等同于入侵成功率的提升。
当目标系统具备有效的身份验证、会话访问控制及网络端点过滤时，AI代理仍无法顺利入侵。Acronis强调，此次事件暴露的资安弱点早已存在，真正值得关注的是AI代理能以更快、更系统的方式发现这些弱点并获取数据。