Es el segundo caso en pocas semanas en que agentes de IA hacen buena parte del trabajo de un ataque real, después del de ARTEX. La diferencia es que aquí no hay un grupo detrás: hay una persona.

◢Qué es BOSSAI

BOSSAI es el nombre que el atacante dio a su red de agentes. Según Acronis¹, nueve de los doce estaban activos y cada uno tenía un papel: unos montaban y mantenían la infraestructura, otros buscaban vulnerabilidades y otros atacaban. Estaban conectados a herramientas de hacking conocidas a través de servidores MCP, el estándar que usan los agentes para manejar programas externos, como nmap, sqlmap o Metasploit.

Los agentes no hablaban entre sí. El atacante hacía de puente: copiaba el informe de un agente y lo pegaba en otro con órdenes como "ayúdame a explotar las vulnerabilidades". Dos de ellos se manejaban desde el móvil, uno por WeChat y otro por LINE. El agente principal tenía instrucciones de decidirlo todo solo y avisar únicamente cuando una vulnerabilidad se pudiera explotar.

Los investigadores tuvieron acceso a más de 90.000 archivos, 9 GB en total, con registros de los ataques, conversaciones con los agentes, historiales de comandos y datos robados. Por eso este caso se puede contar con tanto detalle.

◢Qué consiguió

Taiwán fue el objetivo principal. Según Acronis¹:

• ▹Los agentes entraron en el sistema de avisos del 119, el número de bomberos y ambulancias de una ciudad, y sacaron registros de siete distritos de Taipéi con horas, tipo de servicio y ubicación a nivel de calle.
• ▹Encontraron una plataforma de los bomberos de Taipéi que dejaba ver sin contraseña datos médicos de pacientes de 2018: electrocardiogramas, vídeo de ambulancias y constantes vitales.
• ▹En una empresa de préstamos confirmaron 16 puntos de inyección SQL y sacaron datos de una tabla de cuentas.
• ▹Entraron al panel de base de datos de un proveedor de software para bomberos con el usuario root y la contraseña de fábrica.
• ▹En Tailandia sacaron datos de tres universidades, y en México reunieron unos 206.800 registros de teléfonos particulares con nombres y direcciones.

En total, Acronis confirma robo de datos o acceso a sistemas en unos 10 objetivos de tres países, y ataques sin éxito confirmado contra otros 15.

◢Lo que no salió como esperaba

Esta parte es la más útil para quien defiende. Los modelos comerciales se negaron una y otra vez a atacar. Según Acronis¹, varios pedían pruebas de que el ataque era legal y, si no las había, no ayudaban, y alguno llegó a recordarle al atacante las leyes que estaba incumpliendo. Por eso el atacante tuvo que usar modelos abiertos a los que había quitado las protecciones, ejecutados en sus propias tarjetas gráficas. Son peores y lo notó.

Los agentes también se equivocaban. Una plataforma de análisis informó de un fallo crítico en un centro nacional de respuesta a desastres que no existía. Más de la mitad de sus hallazgos graves eran falsos positivos. Y como tenían orden de no molestar, un agente pasó de largo de un sistema militar de Honduras porque decidió por su cuenta que no estaba en el encargo.

Un detalle curioso: el atacante usó herramientas de programación como Claude Code o Codex para montar parte de la infraestructura, pero, según Acronis, desvió sus llamadas para que no las respondieran los modelos de Anthropic u OpenAI, sino el mismo modelo sin protecciones que usaba para atacar.

◢Qué no se sabe

Acronis es una empresa que vende productos de ciberseguridad, así que conviene leer el informe sabiendo eso, aunque las pruebas que publica son muy concretas.

◢Lo que deja este caso

La conclusión de Acronis¹ es la que más me interesa para una empresa normal: los agentes fallaron donde la autenticación estaba bien puesta, donde hacía falta una sesión válida y donde los puertos estaban filtrados. Lo que consiguieron fue en sitios débiles de antes: un puerto con datos médicos abierto desde 2018, una API pública, una base de datos con contraseña de fábrica, inyecciones SQL en producción.

La IA no ha inventado nuevas formas de entrar. Lo que ha cambiado es que ahora una sola persona puede revisar cientos de objetivos a la vez y encontrar el que tiene la puerta abierta. Esconderse ya no sirve: si tu web tiene un fallo clásico, alguien lo va a encontrar.

1. ▹Haz inventario de lo que tienes expuesto a internet, también lo que dejó montado un proveedor.
2. ▹Cambia todas las contraseñas de fábrica y activa el doble factor en todo lo que lo permita.
3. ▹Actualiza o retira las aplicaciones antiguas. Una inyección SQL en una web vieja sigue siendo la entrada más fácil.
4. ▹Quita de internet lo que no tenga por qué estar ahí, como paneles de bases de datos o servicios internos.

Si usas agentes de IA en tu empresa, este caso también enseña lo que pasa cuando les das autonomía total sin supervisión: generan ruido, se equivocan y toman decisiones que nadie revisa. Lo conté en agentes de IA con demasiados permisos. Y si quieres que tu equipo sepa protegerse de estos ataques y usar la IA con criterio, es parte de lo que trabajo en mis formaciones de ciberseguridad e IA.