Zu den Zielen gehörten Rettungsdienste, Banken, Universitäten und militärische Systeme. In etwa zehn Organisationen in Taiwan, Mexiko und Thailand sammelten die Agenten Daten ein oder verschafften sich Zugang zu Systemen. Die Erkenntnisse der Forscher stammen vom Server des Angreifers. Dieser wirkte zunächst wie ein falsch konfiguriertes Entwicklungssystem, entpuppte sich dann aber als seine eigentliche Angriffsplattform. Darauf lagen mehr als 90.000 Dateien, darunter die Dialoge der Agenten, sein Befehlsverlauf, Hacking-Werkzeuge, Zugangsdaten und Daten von Opfern. Die Forscher beobachteten die Operation über zwölf Tage. Ein aufgezeichneter Dialog zeigt den Angreifer am 25. Juli bei der Arbeit.
Taiwan wurde mit Abstand am stärksten angegriffen. Den schwersten bestätigten Schaden gab es dort bei Daten der Rettungsdienste. Die Einsatzprotokolle holten die Agenten über die API des städtischen 119-Systems, über das in Taiwan Feuerwehr und Rettungsdienst alarmiert werden. Sie enthalten Einsatzzeiten, Einsatzarten, Fallstatus und Ortsangaben auf Straßenebene. Es handelt sich um Fallakten, nicht um eine Live-Ortung der Rettungswagen. In ihrer Zusammenfassung schreiben die Forscher, dass bei Einbrüchen in Rettungsdienste und Universitäten medizinische und personenbezogene Daten gestohlen wurden. In der ausführlichen Beschreibung der Patientenplattform in Taipeh ist dagegen nur davon die Rede, dass die Daten offen zugänglich waren. Die Agenten nahmen zudem fünf weitere Ziele ins Visier, die mit Taiwans Rettungsdiensten in Verbindung stehen. Ob die betroffenen Organisationen oder die taiwanischen Behörden informiert wurden und ob die Daten noch immer erreichbar sind, geht aus der Analyse nicht hervor.
Außerhalb der Rettungsdienste lasen die Agenten per SQL-Injection eine Kontentabelle eines taiwanischen Kreditanbieters aus. In Thailand wählten sie 489 mögliche Ziele an 45 Hochschulen aus und erbeuteten auf dieselbe Weise Daten von drei Universitäten. In Mexiko trugen sie rund 206.800 Festnetzeinträge mit Namen und Adressen zusammen. Dafür nutzten sie Regierungsstatistiken, Postleitzahlenlisten und Daten der Telekommunikationsbehörde. Etwa 15 weitere Organisationen wurden angegriffen, ohne dass ein Einbruch bestätigt ist. In mindestens acht weiteren Ländern wurden Ziele nur gescannt oder für Angriffe vorgemerkt, die zum Zeitpunkt der Untersuchung noch nicht stattgefunden hatten.
Das System namens BOSSAI umfasste zwölf KI-Agenten, von denen neun im Einsatz waren. Ein Teil baute und wartete Server und Werkzeuge des Angreifers, der andere Teil scannte Ziele und führte Angriffe aus. Weil die Agenten nicht miteinander kommunizierten, kopierte der Angreifer die Ausgaben eines Agenten von Hand in den nächsten. Den Großteil der Aufbauarbeit erledigten kommerzielle Cloud-Modelle, vor allem Grok. Auf direkte Angriffsanweisungen reagierten Grok und MiniMax M3 mit Ablehnung und verlangten einen schriftlichen Nachweis, dass die Arbeit autorisiert sei. Ob ein gefälschtes Autorisierungsschreiben daran etwas geändert hätte, ist laut den Forschern offen. Einmal machte Grok eine Ausnahme und reparierte ein fehlerhaftes Proof-of-Concept-Skript, das der Angreifer anschließend an einen Angriffsagenten weitergab.
Die Angriffsagenten liefen deshalb fast ausschließlich auf sogenannten „abliterierten“ Modellen, also lokal betriebenen KI-Modellen, deren Sicherheitstraining entfernt wurde. Dabei handelte es sich um Varianten von DeepSeek, GLM und Qwen. Auch die Coding-Agenten Claude Code und Codex leitete der Angreifer auf ein solches Modell um, sie übernahmen aber überwiegend Infrastrukturaufgaben. Der Coding-Agent Cursor griff mit einem solchen Modell eine Website der taiwanischen Rettungsdienste an.
Die Agenten arbeiteten nicht fehlerfrei. Ein Scan-Werkzeug erfand CVE-Nummern. Mehr als die Hälfte seiner als hoch oder kritisch eingestuften Befunde waren Fehlalarme oder falsch klassifiziert. Der wichtigste Angriffsagent meldete außerdem Ergebnisse, die es nie gegeben hatte.
Acronis stützt die Zuordnung auf Fehler, die dem Angreifer beim Verschleiern seiner Identität unterliefen, und auf öffentlich verfügbare Informationen. Für seine legalen Geschäfte und seine Angriffsserver nutzte er dieselbe Identität, darunter ein GitHub-Profil, ein Logo, einen SSH-Schlüsselnamen und eine E-Mail-Adresse. In einer seiner Grok-Unterhaltungen tauchte während einer SSH-Sitzung seine private IP-Adresse auf. Das Motiv ist weniger klar. Einige Angriffe auf Regierungs-, Rettungs- und Militärziele erinnerten an staatlich gestützte Gruppen, andere an gewöhnliche Cyberkriminalität. Die Forscher gehen davon aus, dass es ihm vermutlich ums Geld ging. Ob er im Auftrag anderer handelt, ist unklar.
Erbeutet haben die Agenten nach Einschätzung der Forscher vor allem Daten, die ohnehin schlecht geschützt waren:
- ein seit 2018 offener Port mit medizinischen Daten
- Einsatzprotokolle auf einer öffentlich erreichbaren API
- ein Kreditanbieter mit 16 SQL-Injection-Stellen
- Universitäten mit ungepatchten Oracle-Datenbanken
Scheitern ließen die Agenten erzwungene Anmeldungen, Bezahlschranken mit Pflicht zu gültigen Sitzungen und sauber gefilterte Endpunkte. Die KI machte es billig, viele Ziele gleichzeitig zu finden und zu erreichen. Abwehrmaßnahmen, die standhielten, überwand sie aber nicht. Die Liste der Kompromittierungsindikatoren am Ende der Analyse nennt neun IP-Adressen und neun Domains aus der Infrastruktur des Angreifers. Bei keinem Eintrag ist vermerkt, ob er noch aktiv ist, und bei den meisten fehlt eine Angabe zum Verwendungszweck.