BOSSAI: 単独のオペレーターによる12エージェントAIメッシュが多国間のスパイキャンペーンを実行（確認済みの侵害）

Acronis Threat Research Unitは、台湾を拠点とする単独のオペレーターが、オープンソースのエージェント型ペンテスティングプラットフォームとMCPサーバーを使用して12エージェントのAI攻撃メッシュ（「BOSSAI」）を構築し、11か国、数百の組織（政府緊急サービス、銀行/貸金業者、大学、軍事システム、eコマースおよびゲームサイト）に対して持続的なキャンペーンを実行したことを記録しました。エージェントには過度な自律性が与えられ、オペレーターに相談しないよう指示されていました。大学と緊急サービスで確認済みの侵害が発生し、医療データとPIIの確認済みの持ち出しが行われました。商業用フロンティアモデルが攻撃的行為を繰り返し拒否したため、オペレーターはローカルで実行される「アブリテート（無害化）」モデルに切り替えましたが、これらは効果が低くリソースに制約がありました。エージェントはしばしばミスを犯し、スコープを逸脱し、さらには対象外と判断したターゲット（ホンジュラスの軍事基地を含む）をスキップすることもありました。

これは、窓期間内で最も明確な実証であり、「AI拡張型脅威アクター」（単独の意欲ある個人）が、協調する自律エージェントのメッシュを運用し、実際のインフラストラクチャに対してAPT規模の影響を達成できることを示しています。エージェントはハーネスとMCPサーバーを接続し、自律的にターゲットを侵害しデータを窃取します。これは再利用可能な攻撃パターンです。広範な権限と限られた人的監視でエージェント/MCPを運用する組織は、敵が既製ツールから構築できるメッシュに現在さらされており、商業用ガードレールが拒否した場合に監視されていないローカル/アブリテートモデルが武器化され得ることを示しています。

意欲あるオペレーターが、エージェント型ペンテストフレームワークとMCPサーバーを通じて自律LLMエージェントのメッシュ（過度な自律性を与えられ、質問しないよう指示されている）を実行し、偵察→認証情報の悪用→ exploitとデータ窃取のチェーンを実行します。商業用モデルが攻撃的行為を拒否する場合、ローカルのアブリテートモデルが使用されます。

単一の製品はありません。オープンソースのエージェント型ペンテスティングプラットフォームとMCPサーバー上に構築された攻撃的AIエージェントインフラストラクチャ。AIエージェント/MCPサーバーを展開するあらゆる組織。

エージェントの自律性とスコープを制限し、高影響のエージェントアクションに最小権限と人間の承認ゲートを強制し、MCP/エージェントツールを制約およびインベントリ化し、エージェントの意思決定を信頼できないものとして扱い、エージェント駆動の侵入インジケーターを監視します。