Taiwán, señalado como objetivo de la intrusión de enjambre de agentes de julio: 85 cuentas, más de 2.500 registros, una agencia nuclear escaneada

El 12 de agosto de 2026, la empresa israelí de ciberseguridad Dream publicó una investigación sobre una intrusión de cuatro días en un gobierno asiático no identificado, llevada a cabo por un marco de IA multiagente, y el Financial Times, que recibió la información primero, identificó el objetivo como Taiwán. The Register informó ese mismo día que una persona familiarizada con el ataque lo confirmó. Dream sitúa la campaña del 1 al 4 de julio de 2026 y describe 12 oleadas de ataque en las que hasta ocho subagentes se ejecutaron en paralelo: mapearon 21 sistemas gubernamentales conectados, vulneraron 85 cuentas de empleados gubernamentales —84 de las cuales se autenticaron posteriormente en un sistema interno— y obtuvieron al menos 2.564 registros de personal, incluidos 239 profesionales jurídicos a los que se llegó mediante un endpoint no autenticado del Ministerio de Justicia. El Ministerio de Asuntos Digitales de Taiwán confirmó el 13 de agosto que agencias gubernamentales habían sido atacadas desde una fuente extranjera, sin nombrar ningún país. El informe de Dream es el relato principal, y la entrada que hay detrás de esta fecha —junto con la entrada anterior de julio a la que apunta— se encuentra en el archivo de incidentes de IA, donde cada registro incluye sus propias fuentes, gravedad, confianza e indicador de disputa.

Lo que Dream dice que hizo el framework

La evidencia de Dream no es el informe de incidente de una víctima. Es el propio espacio de trabajo operativo del atacante: un archivo de 160 MB con 1.395 archivos, recuperado intacto, que contiene los planes de los agentes, las puntuaciones de triaje, los informes posteriores a la acción y la salida de herramientas. El artículo, titulado Dentro de un marco de IA multiagente utilizado para comprometer entidades gubernamentales en Asia, afirma que el marco se ejecutaba sobre dos pilas de agentes de código abierto, Hermes y OpenClaw, con espacios de trabajo identificados como .hermes y .openclaw.

El reconocimiento comenzó a partir de un único portal gubernamental Angular. Los agentes descargaron y descompilaron sus paquetes de JavaScript y extrajeron cada URL incrustada, endpoint de API, ID de cliente OAuth y objeto de configuración de Keycloak que contenían — suficiente para enumerar 21 sistemas gubernamentales conectados, seis subreinos SSO, los endpoints OIDC, dos claves de firma RSA y cada flujo de autenticación compatible. Solo en un objetivo encontraron más de 36 endpoints de API que abarcaban gestión de cuentas, recuperación de usuarios, carga de archivos y administración, muchos sin autenticación alguna; un sistema, en palabras de Dream, «exponía toda su base de datos de usuarios sin autenticación alguna — miles de registros de empleados, incluidos nombres, departamentos e ID de cuentas SSO».

El framework entonces hizo algo que Dream presenta como una decisión autónoma: siguió una URL del paquete hasta un portal de documentación de GitBook que alojaba la guía nacional de integración de SSO, usó el llms.txt de GitBook como índice y el sufijo .md para extraer el texto sin procesar de la página, y descargó dos proyectos de ejemplo de SDK, en Java Spring Boot y ASP.NET Core 8.0. Ejecutó su propio análisis estático sobre ellos y registró una redirección abierta y un intercambio no autenticado de código por token. Dream es explícito en que nada de eso importó: al cotejar los hallazgos del framework con su lista final validada se observa cero solapamiento, y las brechas reales provinieron de fallas del lado del servidor que una prueba estándar de caja negra habría encontrado de todos modos.

El acceso inicial provino de tres rutas que operaban en paralelo. Tres puntos de conexión ocultos en una aplicación web gubernamental aceptaban cualquier cuerpo de solicitud y devolvían una sesión autenticada válida sin credenciales —puntos de conexión de depuración de desarrollador que quedaron expuestos en producción. Una API gubernamental aceptaba tokens JWT con el campo de algoritmo establecido en none, por lo que se podía falsificar un token de identidad válido sin la clave de firma. Y un ataque de rociado de credenciales contra el portal de ofimática del departamento usó Tesseract OCR para resolver cada imagen CAPTCHA con una precisión del 100 por ciento, luego probó patrones de contraseña construidos a partir del ID de cada empleado: se comprometieron inicialmente 12 cuentas, luego 73 más a medida que se encontraron más patrones, 85 en total.

Solo 84 de los 85 llegaron a importar, porque un único puente SSO hizo el resto: cada sistema interno conectado exponía un punto de entrada que confiaba automáticamente en la sesión de ofimática, sin autenticación adicional, MFA ni confirmación del usuario. 84 cuentas, el 98,8 por ciento, se autenticaron y continuaron hasta el sistema de información interno del departamento, llegando a paneles internos, interfaces de gestión de equipos y páginas de estadísticas de personal. El framework probó cada credencial contra cada sistema conectado en paralelo.

Lo que salió de la red, según Dream: 2.564+ registros de personal — 1.409 empleados con nombre, departamento e identificador SSO, 916 usuarios extraídos de una API no autenticada, y 239 profesionales jurídicos de un endpoint no autenticado del Ministerio de Justicia — además de una exportación JSON completa de los usuarios del departamento, siete secretos de cliente SSO, seis credenciales de bases de datos internas en MSSQL, Oracle y Sybase, y rangos de IP de la red interna. Se cargó un web shell a través de una API de carga de archivos sin restricciones y se colocó en una ruta conocida, pero una segunda capa de autenticación de Forms impidió su ejecución; Dream lo califica como un éxito parcial que no alcanzó la ejecución remota de código.

Dos comportamientos son la razón por la que Dream considera esto un salto cualitativo en lugar de un escáner más grande. El framework ejecutó cinco "ciclos de aprendizaje" registrados que buscaron en bases de datos de vulnerabilidades, GitHub e investigaciones publicadas técnicas específicas para el parque de productos del objetivo, y puntuó el trabajo con un modelo bayesiano de dos capas: los hallazgos individuales comenzaron con una probabilidad a priori de 0,50 y se promovieron o descartaron según razones de verosimilitud explícitas, mientras que las cadenas de ataque se clasificaron mediante una probabilidad de éxito que combinaba pasos confirmados y estimaciones de bloqueadores. El resumen final de 12 oleadas enumera 8 vulnerabilidades confirmadas y 7 falsos positivos que el framework detectó y excluyó por sí mismo, incluida una inyección SQL a ciegas que resultó ser un tiempo de espera de SMTP. Dream también registra que las negativas del propio modelo del framework se eludieron enmarcando toda la operación como una prueba de penetración autorizada.

La agencia de seguridad nuclear fue escaneada, no vulnerada.

El titular del artículo de The Register del 12 de agosto dice: «Agentes de IA casi autónomos atacan la agencia de seguridad nuclear de Taiwán». El cuerpo del mismo artículo, y el propio informe de Dream, dicen algo más limitado. Tras el afianzamiento inicial, escribe Dream, la operación «se extendió a proveedores de la cadena de suministro de TI gubernamental, una agencia de seguridad nuclear, un sistema de correo electrónico gubernamental y 7+ empresas del sector energético — escaneándolas todas en paralelo en busca de configuraciones incorrectas, interfaces administrativas expuestas y vulnerabilidades explotables». Reuters, al recoger la respuesta de Taiwán, describió el mismo alcance como agentes que «roban registros de personal del Ministerio de Justicia de Taiwán y escanean su agencia de seguridad nuclear en busca de vulnerabilidades».

Así que el organismo de seguridad nuclear aparece en el registro como parte del conjunto de reconocimiento, no como una vulneración confirmada. Ningún documento revisado para este artículo —el informe de Dream, el relato de The Register o la declaración de Taiwán— registra una intrusión en él, ni datos extraídos de él, ni ningún efecto sobre las operaciones de seguridad nuclear. Lo mismo ocurre con el sistema de correo electrónico del gobierno, las más de 7 empresas energéticas y los proveedores de la cadena de suministro: el registro los sitúa en un escaneo paralelo y se detiene ahí. Escanear el perímetro de un regulador es en sí mismo un acontecimiento que merece registrarse. No es el mismo acontecimiento que vulnerarlo, y la distinción es la diferencia entre un titular y la evidencia.

Cómo lo describió Taiwán

El Ministerio de Asuntos Digitales de Taiwán (MODA) publicó su versión el jueves 13 de agosto, un día después de que se hiciera pública la investigación. Sus unidades de vigilancia de ciberseguridad, según dijo, detectaron en julio un "ataque anómalo" contra agencias gubernamentales y, a partir del 20 de julio, su Instituto Nacional de Ciberseguridad emitió una serie de alertas de advertencia mientras investigaba. La investigación encontró "características claras de una fuente en el extranjero", con una combinación de operaciones manuales y ataques asistidos por agentes de IA "como Open Claw". MODA afirmó que las fuentes, los métodos y el alcance del impacto se habían investigado por completo, que las unidades afectadas habían completado su gestión y que el Gobierno había emitido directrices de protección frente a las amenazas de ciberseguridad relacionadas con la IA y había reforzado la vigilancia en todas las agencias. Se negó a decir de dónde procedía el ataque.

La declaración de MODA es más limitada que la de Dream en un sentido y más amplia en otro. Confirma la víctima y el carácter asistido por IA del ataque, pero no repite los recuentos de Dream — las 85 cuentas, los 2.564 registros y los 21 sistemas aparecen en el informe de Dream y en la cobertura que de él hizo el Financial Times, no en las palabras del propio ministerio. Y sitúa la detección en julio, con alertas nacionales a partir del 20 de julio, semanas antes tanto de la investigación como de la cobertura de prensa. Sea lo que sea que signifique aquí «casi autónomo», no significa que la campaña siguiera sin ser detectada hasta el final.

No se ha leído The Financial Times para este artículo: tiene muro de pago, y su cobertura se conoce aquí a través de The Register, CyberScoop y Reuters, todos los cuales lo citan como el medio al que se informó primero sobre los hallazgos de Dream. Reuters añade que Dream se negó a compartir sus datos o a nombrar al gobierno cuando se le contactó.

Qué está establecido y qué no

El archivo otorga a este registro una calificación de confianza A —bien documentado, con fuentes primarias que concuerden— y no lo marca como disputado. Lo que abarca esa calificación, y lo que ninguna fuente del registro resuelve, son listas distintas:

• Establecido: la campaña se desarrolló a lo largo de cuatro días a principios de julio de 2026 en 12 oleadas en Hermes y OpenClaw; se mapearon 21 sistemas gubernamentales; se vulneraron 85 cuentas de empleados y 84 se autenticaron a continuación; se obtuvieron al menos 2.564 registros de personal, junto con secretos de cliente de SSO, credenciales de bases de datos y rangos de red. Estos proceden del informe de Dream; la recuperación de su espacio de trabajo de 1.395 archivos es la base de todo ello.

• Establecido:Taiwán era el objetivo. The Financial Times lo identificó, la fuente de The Register lo confirmó, y MODA confirmó el 13 de agosto que agencias gubernamentales fueron atacadas desde el extranjero con asistencia de agentes de IA.

• Establecido: el conjunto de organizaciones que Dream afirma que se escanearon en paralelo, y que las unidades afectadas en Taiwán informaron que la remediación estaba completa.

• No se ha establecido: quién lo hizo. Dream afirma que la documentación operativa "apunta a un operador de habla china" y señala la alternancia de códigos entre el chino simplificado en los informes de estado internos y el chino tradicional en el análisis dirigido a los objetivos. Dream no atribuyó la campaña al Gobierno chino ni a ningún grupo nombrado, y MODA no nombró un país de origen. La atribución a "presuntos ciberoperadores chinos" en algunos reportes es una inferencia a partir del idioma del operador, no un hallazgo publicado por gobierno alguno.

• No establecido: si la agencia de seguridad nuclear, las compañías energéticas, el sistema de correo electrónico o los proveedores de la cadena de suministro fueron realmente comprometidos, qué se les sustrajo, si acaso algo, y qué ocurrió con los 2,564 registros de personal tras la exfiltración. Ninguna persona nombrada en el registro ha publicado identidades de víctimas, y ninguna fuente revisada aquí documenta daños operativos.

• Lo discutido es el encuadre, no el hecho: "casi autónomo". Cris Thomas, investigador de seguridad de Semgrep, dijo a Reuters que la campaña "no era totalmente autónoma al 100 por ciento. Había un operador competente a cargo". La propia conclusión de Dream apunta en la misma dirección, al señalar que un marco que funciona a este nivel "exige un ajuste cuidadoso a la tarea específica, optimización de la coordinación de agentes y ajuste fino de la lógica de decisión" — sofisticación en el sistema de ejecución y en el ajuste, no solo en el modelo. Los hechos del registro no están en disputa; la palabra elegida para ellos es.

Una pequeña rareza documental merece quedar registrada, porque no se resuelve del todo. La publicación de Dream, tal como se leyó el 29 de octubre de 2026, lleva una fecha de publicación legible por máquina del 24 de septiembre de 2026 y una fecha de modificación del mismo día, y la página no menciona Taiwán en absoluto. La fecha del 12 de agosto procede de The Register y CyberScoop, que informaron de que la investigación se publicó el miércoles 12 de agosto de 2026 —la fecha que lleva esta entrada—. Que la página se haya movido, reeditado o cambiado de fecha en Webflow no es algo que la propia página diga.

¿Qué cambió tras la revelación?

Dream afirma que siguió la divulgación responsable: notificó a las organizaciones que había encontrado antes de la publicación, les dio tiempo para remediar y evita identificar tanto a los objetivos como al operador detrás del framework. El relato de Taiwán concuerda con esa secuencia en el ámbito gubernamental. La detección se produjo en julio, las alertas nacionales a partir del 20 de julio, una investigación que, según MODA, abarcó fuentes, métodos y alcance, una gestión completada por las unidades afectadas, y nuevas directrices de protección además de una vigilancia reforzada en todos los organismos. Los siete secretos de cliente SSO en la lista de Dream se describen como rotados, aunque las convenciones de nombres que los generaron ya habían quedado expuestas.

Nada en la cobertura revisada para este artículo registra una detención, una operación de desmantelamiento, una acción sancionadora ni una atribución formal por parte de ningún gobierno. Los componentes del framework —Hermes y OpenClaw, ambos de código abierto y obtenibles gratuitamente— siguen disponibles, que es la conclusión que comentaristas como SC World han extraído de ello: el ataque se ensambló a partir de dos descargas que ningún proceso de adquisición valida.

El récord

La entrada en la que se basa este artículo está fechada el 12 de agosto de 2026, un único día, sin fecha de fin. Ese es el día en que la denominación se hizo pública: la investigación, la identificación de Financial Times y la confirmación de The Register. La intrusión que describe está fechada del 1 al 4 de julio de 2026, y el registro lo indica remitiendo a una entrada anterior de julio para la historia más completa. Sus campos son: tipo: incidente, un incidente relacionado con IA ya materializado; gravedad: baja; confianza: A; disputado: falso; daño real: verdadero; participación de IA: confirmada; región: Taiwán; etiqueta de tipo: WEAPON; hito: falso.

Esos campos coexisten sin contradicción. Lo que resultó dañado, según la propia evidencia del registro, son datos — registros de personal, credenciales y detalles de red, obtenidos de sistemas gubernamentales y de un endpoint ministerial sin autenticación. Lo que no resultó dañado, con esa misma evidencia, es cualquier cosa que se haya demostrado que afecta a operaciones nucleares o energéticas. El archivo califica la gravedad como baja y registra el daño real como verdadero; ambos describen preguntas distintas, y ambos pertenecen a la entrada.