Taiwan als Ziel der Agenten-Schwarm-Intrusion vom Juli genannt: 85 Konten, über 2.500 Datensätze, eine Atombehörde gescannt

Am 12. August 2026 veröffentlichte das israelische Cybersicherheitsunternehmen Dream Forschungsergebnisse zu einem viertägigen Eindringen in eine ungenannte asiatische Regierung durch ein Multiagenten-KI-Framework und die Financial Times, die zuerst unterrichtet wurde, identifizierte das Ziel als Taiwan. The Register berichtete am selben Tag, dass eine mit dem Angriff vertraute Person ihn bestätigt habe. Dream datiert die Kampagne auf den 1.–4. Juli 2026 und beschreibt 12 Angriffswellen, in denen bis zu acht Subagenten parallel liefen: Sie kartierten 21 verbundene Regierungssysteme, knackten 85 Konten von Regierungsangestellten – 84 davon meldeten sich anschließend erfolgreich an einem internen System an – und erbeuteten mindestens 2.564 Personalakten, darunter 239 Juristen, die über einen nicht authentifizierten Endpunkt des Justizministeriums erreicht wurden. Taiwans Ministerium für digitale Angelegenheiten bestätigte am 13. August, dass Regierungsbehörden aus einer ausländischen Quelle angegriffen worden seien, ohne ein Land zu nennen. Dreams Bericht ist die primäre Darstellung, und der Eintrag hinter diesem Datum – zusammen mit dem früheren Juli-Eintrag, auf den er verweist – befindet sich in dem KI-Vorfallarchiv, in dem jeder Datensatz eigene Quellen, Schweregrad, Konfidenz und eine Kennzeichnung als umstritten aufweist.

Was Dream zufolge das Framework getan hat

Dreams Beweismittel sind kein Vorfallbericht eines Opfers. Sie sind der eigene operative Arbeitsbereich des Angreifers: ein 160-MB-Archiv mit 1.395 Dateien, intakt wiederhergestellt, das die Pläne der Agenten, Triage-Bewertungen, After-Action-Berichte und Tool-Ausgaben enthält. Der Bericht mit dem Titel In einem Multi-Agenten-KI-Framework, das zum Kompromittieren von Regierungsstellen in Asien eingesetzt wurde besagt, dass das Framework auf zwei Open-Source-Agenten-Stacks lief, Hermes und OpenClaw, wobei die Arbeitsbereiche als .hermes und .openclaw identifiziert wurden.

Die Aufklärung begann bei einem einzelnen Angular-Behördenportal. Die Agenten luden dessen JavaScript-Bundles herunter, dekompilierten sie und extrahierten jede darin eingebettete URL, jeden API-Endpunkt, jede OAuth-Client-ID und jedes Keycloak-Konfigurationsobjekt — genug, um 21 angebundene Behördensysteme, sechs SSO-Subrealms, die OIDC-Endpunkte, zwei RSA-Signierschlüssel und jeden unterstützten Authentifizierungsfluss aufzuzählen. Bei nur einem Ziel fanden sie 36+ API-Endpunkte, die sich über Kontoverwaltung, Benutzerabruf, Dateiupload und Administration erstreckten, viele ganz ohne Authentifizierung; ein System, mit den Worten von Dream, „gab seine gesamte Benutzerdatenbank ohne jegliche Authentifizierung preis — Tausende Mitarbeiterdatensätze einschließlich Namen, Abteilungen und SSO-Konto-IDs.“

Das Framework tat dann etwas, das Dream als autonome Entscheidung darstellt: Es folgte einer URL im Bundle zu einem GitBook-Dokumentationsportal, das die nationale SSO-Integrationsanleitung hostet, und nutzte GitBooks llms.txt-Index und das .md-Suffix, um rohen Seitentext zu scrapen, und lud zwei SDK-Beispielprojekte herunter, in Java Spring Boot und ASP.NET Core 8.0. Es führte eine eigene statische Analyse an ihnen durch und protokollierte eine offene Weiterleitung und einen nicht authentifizierten Code-zu-Token-Austausch. Dream stellt ausdrücklich klar, dass nichts davon eine Rolle spielte: Der Abgleich der Ergebnisse des Frameworks mit seiner finalen validierten Liste zeigt keine Überschneidung, und die tatsächlichen Sicherheitsverletzungen stammten von serverseitigen Fehlern, die ein standardmäßiger Black-Box-Test ohnehin gefunden hätte.

Der anfängliche Zugriff erfolgte über drei parallel laufende Wege. Drei versteckte Endpunkte in einer staatlichen Webanwendung akzeptierten jeden beliebigen Request-Body und gaben ohne Anmeldedaten eine gültige authentifizierte Sitzung zurück – Entwickler-Debug-Endpunkte, die in der Produktion offen zugänglich geblieben waren. Eine staatliche API akzeptierte JWT-Token, bei denen das Algorithmusfeld auf none gesetzt war, sodass ein gültiges Identitätstoken ohne Signaturschlüssel gefälscht werden konnte. Und ein Credential-Spray gegen das Büroautomationsportal der Abteilung nutzte Tesseract OCR, um jedes CAPTCHA-Bild mit 100 Prozent Genauigkeit zu lösen, und probierte anschließend Passwortmuster aus, die aus der jeweiligen Mitarbeiter-ID gebildet wurden: zunächst 12 Konten geknackt, dann 73 weitere, als zusätzliche Muster gefunden wurden, 85 insgesamt.

Nur 84 der 85 spielten überhaupt eine Rolle, denn eine einzige SSO-Brücke erledigte den Rest: Jedes angeschlossene interne System stellte einen Einstiegspunkt bereit, der der Office-Automatisierungssitzung automatisch vertraute – ohne zusätzliche Authentifizierung, MFA oder Nutzerbestätigung. 84 Konten, 98,8 Prozent, authentifizierten sich weiter zum internen Informationssystem der Abteilung und erreichten interne Dashboards, Geräteverwaltungsoberflächen und Seiten mit Personalstatistiken. Das Framework testete jeden Zugangsdatensatz parallel gegen jedes angeschlossene System.

Was laut Dream das Netzwerk verlassen hat: 2.564+ Personaldatensätze — 1.409 Mitarbeiter mit Name, Abteilung und SSO-Kennung, 916 Nutzer, die über eine nicht authentifizierte API abgerufen wurden, und 239 juristische Fachkräfte von einem nicht authentifizierten Endpunkt des Justizministeriums — plus ein vollständiger JSON-Export der Nutzer der Abteilung, sieben SSO-Client-Secrets, sechs interne Datenbank-Zugangsdaten über MSSQL, Oracle und Sybase sowie interne Netzwerk-IP-Bereiche. Eine Webshell wurde über eine uneingeschränkte Datei-Upload-API hochgeladen und an einem bekannten Pfad abgelegt, doch eine zweite Forms-Authentifizierungsebene verhinderte ihre Ausführung; Dream bezeichnet das als Teilerfolg, der hinter einer Remote-Code-Ausführung zurückblieb.

Zwei Verhaltensweisen sind der Grund, warum Dream dies als grundlegenden Wandel und nicht als bloß größeren Scanner betrachtet. Das Framework durchlief fünf dokumentierte „Lernzyklen“, die Schwachstellen-Datenbanken, GitHub und veröffentlichte Forschungsarbeiten nach Techniken durchsuchten, die speziell auf den Produktbestand des Ziels zugeschnitten waren, und bewertete die Arbeit mit einem zweistufigen Bayes-Modell: Einzelbefunde begannen mit einem Prior von 0,50 und wurden anhand expliziter Likelihood-Verhältnisse hochgestuft oder verworfen, während Angriffsketten nach einer Erfolgswahrscheinlichkeit eingestuft wurden, die bestätigte Schritte und Blocker-Schätzungen kombinierte. Die abschließende Zusammenfassung der 12 Wellen listet 8 bestätigte Schwachstellen und 7 Fehlalarme – die das Framework selbst aufdeckte und ausschloss, darunter eine Blind-SQL-Injection, die sich als SMTP-Timeout entpuppte. Dream hält außerdem fest, dass die eigenen Modellverweigerungen des Frameworks umgangen wurden, indem die gesamte Operation als autorisierter Penetrationstest dargestellt wurde.

Die Atomaufsichtsbehörde wurde gescannt, nicht kompromittiert.

Die Schlagzeile des Artikels von The Register vom 12. August lautet: „Nahezu autonome KI-Agenten greifen Taiwans Nuklearsicherheitsbehörde an." Der Hauptteil desselben Artikels und Dreams eigene Darstellung sagen etwas Engeres aus. Nach dem anfänglichen Fußfassen, schreibt Dream, „weitete sich die Operation auf Lieferanten der staatlichen IT-Lieferkette, eine Nuklearsicherheitsbehörde, ein Regierungs-E-Mail-System und über 7 Unternehmen des Energiesektors aus – die alle parallel auf Fehlkonfigurationen, exponierte Admin-Schnittstellen und ausnutzbare Schwachstellen gescannt wurden". Reuters, das Taiwans Reaktion wiedergab, beschrieb denselben Umfang als Agenten, die „Personaldaten aus Taiwans Justizministerium stehlen und dessen Nuklearsicherheitsbehörde auf Schwachstellen scannen".

So erscheint die Atomaufsichtsbehörde in den Unterlagen als Teil des Aufklärungssets, nicht als bestätigte Kompromittierung. Kein für diesen Artikel geprüftes Dokument – Dreams Bericht, die Darstellung von The Register oder Taiwans Erklärung – verzeichnet einen Eindringversuch in sie, aus ihr entnommene Daten oder Auswirkungen auf den Betrieb der nuklearen Sicherheit. Dasselbe gilt für das Regierungs-E-Mail-System, die 7+ Energieunternehmen und die Lieferkettenanbieter: Die Unterlagen ordnen sie einem parallelen Scan zu und enden dort. Das Scannen der Peripherie einer Aufsichtsbehörde ist selbst ein aufzeichnungswürdiges Ereignis. Es ist nicht dasselbe Ereignis wie das Durchbrechen dieser Peripherie, und der Unterschied ist der Unterschied zwischen einer Schlagzeile und der Beweislage.

Wie Taiwan es beschrieben hat

Das taiwanische Ministerium für Digitales (MODA) veröffentlichte am Donnerstag, 13. August, seine Darstellung – einen Tag, nachdem die Untersuchung öffentlich geworden war. Seine Einheiten zur Überwachung der Cybersicherheit hätten, so hieß es, im Juli einen „ungewöhnlichen Angriff“ auf Regierungsbehörden festgestellt, und ab 20. Juli habe sein Nationales Institut für Cybersicherheit während der Ermittlungen eine Reihe von Warnmeldungen herausgegeben. Die Untersuchung ergab „klare Merkmale einer ausländischen Quelle“, mit einer Mischung aus manuellen Operationen und KI-Agenten-unterstützten Angriffen „wie Open Claw“. Das Ministerium erklärte, Quellen, Methoden und Ausmaß der Auswirkungen seien vollständig untersucht worden, die betroffenen Einheiten hätten ihre Bearbeitung abgeschlossen, und die Regierung habe Schutzleitlinien für KI-bezogene Cybersicherheitsbedrohungen herausgegeben und die Überwachung über alle Behörden hinweg verstärkt. Es lehnte es ab, zu sagen, woher der Angriff stammte.

MODAs Aussage ist in der einen Hinsicht enger gefasst als die von Dream und in der anderen weiter. Sie bestätigt, dass es ein Opfer gab, und den KI-gestützten Charakter des Angriffs, wiederholt aber nicht Dreams Zahlen — die 85 Konten, die 2.564 Datensätze und die 21 Systeme erscheinen in Dreams Bericht und in der Darstellung der Financial Times davon, nicht in den eigenen Worten des Ministeriums. Und sie datiert die Entdeckung auf Juli, mit nationalen Warnungen ab dem 20. Juli, Wochen vor sowohl der Untersuchung als auch der Presseberichterstattung. Was „near-autonomous“ hier auch bedeuten mag, es bedeutet nicht, dass die Kampagne bis zum Ende unentdeckt blieb.

The Financial Times wurde für diesen Beitrag nicht gelesen: Sie ist durch eine Paywall geschützt, und ihre Berichterstattung ist hier durch The Register, CyberScoop und Reuters bekannt, die alle sie als das Medium anführen, das als erstes über Dreams Erkenntnisse unterrichtet wurde. Reuters ergänzt, dass Dream auf Anfrage nicht bereit war, seine Daten zu teilen oder die Regierung zu nennen.

Was gilt als gesichert und was nicht

Das Archiv bewertet diesen Datensatz mit Vertrauensstufe A – gut dokumentiert, übereinstimmende Primärquellen – und kennzeichnet ihn nicht als strittig. Was diese Einstufung abdeckt und was keine Quelle im Datensatz klärt, sind unterschiedliche Listen:

• Festgestellt: Die Kampagne erstreckte sich über vier Tage Anfang Juli 2026 in 12 Wellen auf Hermes und OpenClaw; 21 Regierungssysteme wurden kartiert; 85 Mitarbeiterkonten wurden geknackt und 84 anschließend authentifiziert; mindestens 2.564 Personalakten wurden entwendet, zusammen mit SSO-Client-Secrets, Datenbank-Zugangsdaten und Netzwerkbereichen. Diese stammen aus Dreams Bericht; die Wiederherstellung seines Arbeitsbereichs mit 1.395 Dateien bildet die Grundlage für all dies.

• Bestätigt:Taiwan war das Ziel. Die Financial Times identifizierte es, eine Quelle von The Register bestätigte es, und MODA bestätigte am 13. August, dass Regierungsbehörden aus dem Ausland mit Unterstützung von KI-Agenten angegriffen wurden.

• Festgestellt: die Gruppe von Organisationen, die laut Dream parallel gescannt wurden, und dass die betroffenen Einheiten in Taiwan die Behebung als abgeschlossen gemeldet haben.

• Nicht gesichert:wer es getan hat. Dream gibt an, die Einsatzdokumentation „deute auf einen chinesischsprachigen Akteur hin“, und merkt an, dass zwischen vereinfachtem Chinesisch in internen Statusberichten und traditionellem Chinesisch in zielbezogenen Analysen Code-Switching erfolgt. Dream schrieb die Kampagne weder der chinesischen Regierung noch einer namentlich genannten Gruppe zu, und MODA nannte kein Herkunftsland. Die Zuschreibung an „verdächtige chinesische Cyber-Akteure“ in einigen Berichten ist eine Schlussfolgerung aus der Sprache des Akteurs, keine von einer Regierung veröffentlichte Feststellung.

• Nicht geklärt:ob die Atomaufsichtsbehörde, die Energieunternehmen, das E-Mail-System oder die Lieferkettenanbieter tatsächlich kompromittiert wurden, was ihnen gegebenenfalls entwendet wurde und was nach der Exfiltration aus den 2.564 Personalakten wurde. Niemand, der in dem Bericht genannt wird, hat Opferidentitäten veröffentlicht, und keine der hier geprüften Quellen dokumentiert einen operativen Schaden.

• Umstritten in der Darstellung, nicht in den Fakten:„nahezu autonom“. Cris Thomas, Sicherheitsforscher bei Semgrep, sagte gegenüber Reuters, die Kampagne sei „nicht vollständig zu 100 Prozent autonom. Ein fähiger Operator hatte die Leitung“. Dreams eigene Schlussfolgerung weist in dieselbe Richtung: Ein Framework, das auf diesem Niveau funktioniert, „erfordert sorgfältige Anpassung an die jeweilige Aufgabe, Optimierung der Koordination der Agenten und Feinabstimmung der Entscheidungslogik“ – Raffinesse im Harness und in der Abstimmung, nicht allein im Modell. Die Fakten des Berichts sind unbestritten; umstritten ist das Wort, das für sie gewählt wurde.

Eine kleine dokumentarische Kuriosität verdient es, festgehalten zu werden, weil sie sich nicht sauber auflösen lässt. Dreams Beitrag trägt in der am 29. Oktober 2026 abgerufenen Fassung ein maschinenlesbares Veröffentlichungsdatum von 24. September 2026 und ein Änderungsdatum desselben Tages, und die Seite erwähnt Taiwan überhaupt nicht. Das Datum des 12. August stammt von The Register und CyberScoop; beide berichteten, die Untersuchung sei am Mittwoch, dem 12. August 2026, veröffentlicht worden — das Datum, das dieser Eintrag trägt. Ob die Seite in Webflow verschoben, neu herausgegeben oder neu datiert wurde, lässt sich der Seite selbst nicht entnehmen.

Was hat sich nach der Offenlegung geändert?

Dream gibt an, sich an verantwortungsvolle Offenlegung gehalten zu haben: Das Unternehmen habe die Organisationen, die es gefunden hatte, vor der Veröffentlichung benachrichtigt, ihnen Zeit zur Behebung gegeben und vermeide, entweder die Ziele oder den Betreiber hinter dem Framework zu identifizieren. Taiwans Darstellung deckt sich mit dieser Abfolge auf Regierungsseite. Die Entdeckung erfolgte im Juli, nationale Warnungen ab dem 20. Juli, eine Untersuchung, die laut MODA Quellen, Methoden und Umfang abdeckte, die Bearbeitung durch die betroffenen Einheiten abgeschlossen war sowie neue Schutzrichtlinien und eine verstärkte Überwachung in den Behörden. Die sieben SSO-Client-Secrets in Dreams Liste werden als rotiert beschrieben, obwohl die Namenskonventionen, mit denen sie erzeugt wurden, bereits offengelegt worden waren.

In der für diesen Beitrag geprüften Berichterstattung ist weder eine Verhaftung noch eine Abschaltung, eine Sanktionsmaßnahme oder eine förmliche Zuschreibung durch eine Regierung verzeichnet. Die Komponenten des Frameworks – Hermes und OpenClaw, beide Open Source und frei erhältlich – bleiben verfügbar, und genau das ist der Punkt, den Kommentatoren wie SC World daraus gezogen haben: Der Angriff wurde aus zwei Downloads zusammengesetzt, die kein Beschaffungsprozess prüft.

Der Rekord

Der Eintrag, auf dem dieser Artikel basiert, ist datiert auf den 12. August 2026, einen einzelnen Tag ohne Enddatum. Das ist der Tag, an dem die Benennung öffentlich wurde: die Recherche, die Identifizierung durch die Financial Times und die Bestätigung durch The Register. Die darin beschriebene Intrusion ist auf den 1.–4. Juli 2026 datiert, und der Datensatz verweist dafür auf einen früheren Juli-Eintrag mit der ausführlicheren Geschichte. Seine Felder sind: Art: Incident, ein realisierter KI-bezogener Vorfall; Schweregrad: niedrig; Konfidenz: A; umstritten: falsch; realer Schaden: wahr; KI-Beteiligung: bestätigt; Region: Taiwan; Typ-Tag: WEAPON; Landmark: falsch.

Diese Felder stehen ohne Widerspruch nebeneinander. Was nach den eigenen Belegen des Eintrags geschädigt wurde, sind Daten – Personaldaten, Zugangsdaten und Netzwerkdetails, die aus Regierungssystemen und einem nicht authentifizierten Endpunkt des Ministeriums entnommen wurden. Was nach denselben Belegen nicht geschädigt wurde, ist alles, was nachweislich mit nuklearen oder energetischen Betriebsabläufen in Berührung kommt. Das Archiv stuft den Schweregrad als niedrig ein und verzeichnet tatsächlichen Schaden als wahr; die beiden beschreiben unterschiedliche Fragen, und beide gehören in den Eintrag.