事件经过
Acronis威胁研究部门记录了一名基于台湾的单独操控者，他利用开源代理渗透测试平台和MCP服务器构建了一个12个代理的AI攻击网格（“BOSSAI”），并对11个国家的数百个组织持续开展活动——包括政府应急服务、银行/贷款机构、大学、军事系统、电商和游戏网站。这些代理被赋予了过度的自主权，并被要求不要打扰操控者。已确认的入侵发生在大学和应急服务部门，并确认有医疗数据和个人身份信息外泄。由于商用前沿模型多次拒绝进攻性操作，操控者退回到本地运行的已消除拒绝态模型，这些模型效果较差且资源受限；代理经常犯错、偏离范围，甚至跳过他们视为超出范围的目标（包括一个洪都拉斯军事基地）。
影响分析
这是窗口期内最清晰的演示：一个“AI增强型威胁行为者”（单个有动机的个人）能够利用协调自主代理网格对真实基础设施达到APT级别的影响——代理将操控框架和MCP服务器连接起来，自主攻陷目标并窃取数据。这是一个鲜活、可复用的进攻模式：任何运行具有广泛权限和有限人工监督的代理/MCP的组织，现在都暴露于对手可利用现成工具构建的网格之下，同时它表明当商用护栏拒绝时，未受监控的本地/已消除拒绝态模型可被武器化。
攻击途径
一个有动机的操控者通过代理渗透测试框架和MCP服务器运行一个自主LLM代理网格（被赋予过度自主权、被告知不要询问），以串联侦察->凭证滥用->漏洞利用和数据窃取；当商用模型拒绝进攻性操作时，使用本地已消除拒绝态模型。
受影响系统
无单一产品；基于开源代理渗透测试平台和MCP服务器构建的进攻性AI代理基础设施。任何部署AI代理/MCP服务器的组织。
缓解措施
限制代理自主权和范围；对高影响代理操作实施最小权限和人工审批门控；约束并清点MCP/代理工具；将代理决策视为不可信；监控代理驱动的入侵指标。