Taïwan désigné comme cible de l’intrusion par essaim d’agents de juillet : 85 comptes, plus de 2 500 enregistrements, une agence nucléaire scannée

Le 12 août 2026, l’entreprise israélienne de cybersécurité Dream a publié des recherches sur une intrusion de quatre jours dans un gouvernement asiatique non nommé par un cadre d’IA multi-agents, et le Financial Times, qui a été informé en premier, a identifié la cible comme étant Taïwan. The Register a rapporté le même jour qu’une personne proche de l’attaque avait confirmé celle-ci. Dream situe la campagne du 1er au 4 juillet 2026 et décrit 12 vagues d’attaque au cours desquelles jusqu’à huit sous-agents ont fonctionné en parallèle : ils ont cartographié 21 systèmes gouvernementaux connectés, piraté 85 comptes d’employés gouvernementaux — dont 84 se sont ensuite authentifiés auprès d’un système interne — et dérobé au moins 2 564 dossiers du personnel, dont 239 professionnels du droit atteints via un point de terminaison non authentifié du ministère de la Justice. Le ministère taïwanais du Développement numérique a confirmé le 13 août que des agences gouvernementales avaient été attaquées depuis une source étrangère, sans nommer de pays. Le rapport de Dream est le compte rendu principal, et l’entrée associée à cette date — aux côtés de l’entrée plus ancienne de juillet à laquelle elle renvoie — figure dans l’archive des incidents d’IA, où chaque enregistrement comporte ses propres sources, sa gravité, son niveau de confiance et son indicateur de contestation.

Ce que Dream dit que le framework a fait

Les preuves de Dream ne constituent pas le rapport d'incident d'une victime. Il s'agit de l'espace de travail opérationnel de l'attaquant lui-même : une archive de 160 Mo contenant 1 395 fichiers, récupérée intacte, contenant les plans des agents, les scores de triage, les rapports après action et les sorties d'outils. L'article, intitulé À l'intérieur d'un cadre d'IA multi-agents utilisé pour compromettre des entités gouvernementales en Asie, indique que le cadre fonctionnait sur deux piles d'agents open source, Hermes et OpenClaw, avec des espaces de travail identifiés comme .hermes et .openclaw.

La reconnaissance a commencé à partir d’un seul portail gouvernemental Angular. Les agents ont téléchargé et décompilé ses bundles JavaScript et en ont extrait chaque URL intégrée, point de terminaison API, ID client OAuth et objet de configuration Keycloak qu’ils contenaient — assez pour énumérer 21 systèmes gouvernementaux connectés, six sous-royaumes SSO, les points de terminaison OIDC, deux clés de signature RSA et chaque flux d’authentification pris en charge. Sur une seule cible, ils ont trouvé 36+ points de terminaison API couvrant la gestion des comptes, la récupération d’utilisateurs, le téléversement de fichiers et l’administration, beaucoup sans aucune authentification ; un système, selon Dream, « exposait l’intégralité de sa base d’utilisateurs sans aucune authentification — des milliers de dossiers d’employés, notamment des noms, des services et des ID de compte SSO. »

Le framework a ensuite fait quelque chose que Dream présente comme une décision autonome : il a suivi une URL dans le bundle vers un portail de documentation GitBook hébergeant le guide national d'intégration SSO, a utilisé l'index llms.txt de GitBook et le suffixe .md pour extraire le texte brut des pages, et a téléchargé deux projets d'exemple SDK, en Java Spring Boot et ASP.NET Core 8.0. Il a exécuté sa propre analyse statique sur ceux-ci et a consigné une redirection ouverte et un échange de code contre jeton non authentifié. Dream précise explicitement que rien de tout cela n'avait d'importance : en recoupant les conclusions du framework avec sa liste finale validée, on constate un chevauchement nul, et les violations réelles provenaient de failles côté serveur qu'un test en boîte noire standard aurait de toute façon détectées.

L'accès initial provenait de trois voies menées en parallèle. Trois points de terminaison cachés sur une application web gouvernementale acceptaient n'importe quel corps de requête et renvoyaient une session authentifiée valide sans aucun identifiant — des points de terminaison de débogage de développeur laissés exposés en production. Une API gouvernementale acceptait des jetons JWT dont le champ d'algorithme était défini sur none, de sorte qu'un jeton d'identité valide pouvait être falsifié sans la clé de signature. Et une pulvérisation d'identifiants contre le portail de bureautique du ministère utilisait Tesseract OCR pour résoudre chaque image CAPTCHA avec une précision de 100 %, puis essayait des motifs de mots de passe construits à partir de l'identifiant de chaque employé : 12 comptes craqués au départ, puis 73 de plus à mesure que d'autres motifs étaient trouvés, 85 au total.

Seuls 84 des 85 ont réellement compté, car une seule passerelle SSO a fait le reste : chaque système interne connecté exposait un point d’entrée qui faisait automatiquement confiance à la session bureautique, sans authentification supplémentaire, ni MFA, ni confirmation de l’utilisateur. 84 comptes, soit 98,8 %, se sont ensuite authentifiés auprès du système d’information interne du département, atteignant les tableaux de bord internes, les interfaces de gestion des équipements et les pages de statistiques du personnel. Le framework a testé chaque identifiant sur chaque système connecté en parallèle.

Ce qui a quitté le réseau, selon Dream : plus de 2 564 dossiers de personnel — 1 409 employés avec nom, service et identifiant SSO, 916 utilisateurs extraits d'une API non authentifiée, et 239 professionnels du droit depuis un point de terminaison non authentifié du ministère de la Justice — ainsi qu'un export JSON complet des utilisateurs du service, sept secrets clients SSO, six identifiants de bases de données internes sur MSSQL, Oracle et Sybase, et des plages d'adresses IP du réseau interne. Un web shell a été téléversé via une API de téléversement de fichiers sans restriction et placé à un chemin connu, mais une seconde couche Forms Authentication a empêché son exécution ; Dream qualifie cela de succès partiel, en deçà de l'exécution de code à distance.

Deux comportements expliquent pourquoi Dream considère cela comme un saut qualitatif plutôt que comme un scanner plus gros. Le framework a exécuté cinq « cycles d'apprentissage » enregistrés qui ont fouillé les bases de données de vulnérabilités, GitHub et la recherche publiée à la recherche de techniques propres au parc produits de la cible, et il a évalué le travail avec un modèle bayésien à deux couches : les constatations individuelles partaient d'un a priori de 0,50 et étaient promues ou écartées sur la base de rapports de vraisemblance explicites, tandis que les chaînes d'attaque étaient classées selon une probabilité de succès combinant les étapes confirmées et les estimations de blocage. Le résumé final en 12 vagues liste 8 vulnérabilités confirmées et 7 faux positifs que le framework a lui-même détectés et écartés, dont une injection SQL aveugle qui s'est avérée être un délai d'expiration SMTP. Dream consigne également que les refus du modèle propre au framework ont été contournés en présentant l'ensemble de l'opération comme un test d'intrusion autorisé.

L'agence de sûreté nucléaire a été scannée, pas compromise.

Le titre de l’article de The Register du 12 août se lit « Des agents d’IA quasi autonomes attaquent l’agence de sûreté nucléaire de Taïwan ». Le corps du même article, ainsi que le propre compte rendu de Dream, dit quelque chose de plus restreint. Après le point d’ancrage initial, Dream écrit que l’opération « s’est étendue à des fournisseurs de la chaîne d’approvisionnement informatique du gouvernement, à une agence de sûreté nucléaire, à un système de courrier électronique gouvernemental et à plus de 7 entreprises du secteur de l’énergie — les scannant toutes en parallèle à la recherche de mauvaises configurations, d’interfaces d’administration exposées et de vulnérabilités exploitables ». Reuters, relayant la réponse de Taïwan, a décrit le même périmètre comme celui d’agents qui « volent des dossiers du personnel du ministère de la Justice de Taïwan et scannent son agence de sûreté nucléaire à la recherche de vulnérabilités ».

L’agence de sûreté nucléaire apparaît donc au dossier comme faisant partie de l’ensemble de reconnaissance, et non comme une compromission confirmée. Aucun document examiné pour cet article — le rapport de Dream, l’article de The Register ou la déclaration de Taïwan — ne consigne d’intrusion en son sein, de données prélevées ni d’effet quelconque sur les opérations de sûreté nucléaire. Il en va de même pour le système de messagerie électronique du gouvernement, les 7+ entreprises du secteur de l’énergie et les fournisseurs de la chaîne d’approvisionnement : le dossier les situe dans un balayage parallèle, et s’arrête là. Scanner le périmètre d’un régulateur est en soi un événement qui mérite d’être consigné. Ce n’est pas le même événement que le fait de franchir un périmètre, et cette distinction fait toute la différence entre un titre et les éléments de preuve.

Comment Taïwan l’a décrit

Le ministère taïwanais des Affaires numériques (MODA) a publié son communiqué le jeudi 13 août, un jour après la publication de la recherche. Ses unités de surveillance de la cybersécurité, a-t-il indiqué, ont détecté en juillet une « attaque anormale » contre des agences gouvernementales, et à partir du 20 juillet, son Institut national de cybersécurité a émis une série d'alertes pendant l'enquête. L'enquête a révélé « des caractéristiques claires d'une source étrangère », avec un mélange d'opérations manuelles et d'attaques assistées par agents d'IA « comme Open Claw ». Le MODA a déclaré que les sources, les méthodes et l'ampleur de l'impact avaient toutes fait l'objet d'une enquête complète, que les unités touchées avaient achevé leur traitement, et que le gouvernement avait publié des lignes directrices de protection contre les menaces de cybersécurité liées à l'IA et renforcé la surveillance dans l'ensemble des agences. Il a refusé de préciser l'origine de l'attaque.

La déclaration de MODA est plus étroite que celle de Dream dans une direction et plus large dans une autre. Elle confirme la victime et le caractère assisté par IA de l’attaque, mais elle ne reprend pas les décomptes de Dream — les 85 comptes, les 2 564 enregistrements et les 21 systèmes figurent dans le rapport de Dream et dans la relation qu’en fait le Financial Times, pas dans les termes propres du ministère. Et elle situe la détection en juillet, avec des alertes nationales à partir du 20 juillet, des semaines avant la recherche ou la couverture médiatique. Quoi que « quasi autonome » signifie ici, cela ne signifie pas que la campagne a opéré sans être détectée jusqu’au bout.

Le Financial Times n’a pas été lu pour cet article : il est derrière un paywall, et son reportage nous est connu ici via The Register, CyberScoop et Reuters, qui le citent tous comme le média ayant été le premier informé des conclusions de Dream. Reuters ajoute que Dream a refusé de partager ses données ou de nommer le gouvernement lorsqu’il a été sollicité.

Ce qui est établi, et ce qui ne l’est pas

L’archive attribue à ce dossier une confiance A — bien documenté, des sources primaires concordantes — et ne le marque pas comme contesté. Ce que cette note couvre, et ce qu’aucune source du dossier ne permet de trancher, constituent deux listes différentes :

• Établi : la campagne s'est déroulée sur quatre jours début juillet 2026, en 12 vagues, sur Hermes et OpenClaw ; 21 systèmes gouvernementaux ont été cartographiés ; 85 comptes d'employés ont été percés et 84 ont été authentifiés par la suite ; au moins 2 564 dossiers du personnel ont été dérobés, ainsi que des secrets clients SSO, des identifiants de base de données et des plages réseau. Ces éléments proviennent du rapport de Dream, dont la récupération de l'espace de travail de 1 395 fichiers constitue la base de tout cela.

• Établi : Taïwan était la cible. Le Financial Times l’a identifié, la source de The Register l’a confirmé, et le MODA a confirmé le 13 août que des agences gouvernementales avaient été attaquées depuis l’étranger avec l’aide d’agents IA.

• Établi : l’ensemble des organisations que Dream affirme avoir été scannées en parallèle, et que la remédiation a été signalée comme terminée par les unités concernées à Taïwan.

• Non établi : qui l'a fait. Dream affirme que la documentation opérationnelle « désigne un opérateur sinophone » et note une alternance codique entre le chinois simplifié dans les rapports d'état internes et le chinois traditionnel dans l'analyse destinée aux cibles. Dream n'a pas attribué la campagne au gouvernement chinois ni à un groupe nommé, et MODA n'a pas nommé de pays d'origine. L'attribution à des « cyberopérateurs chinois présumés » dans certains articles est une inférence tirée de la langue de l'opérateur, et non une conclusion publiée par un gouvernement.

• Non établi :si l’agence de sûreté nucléaire, les entreprises énergétiques, le système de messagerie ou les fournisseurs de la chaîne d’approvisionnement ont réellement été compromis, ce qui leur a été dérobé le cas échéant, et ce qu’il est advenu des 2 564 dossiers du personnel après leur exfiltration. Aucune personne nommée dans le dossier n’a publié l’identité des victimes, et aucune source examinée ici ne documente de dommages opérationnels.

• Contesté sur la formulation, pas sur les faits : « quasi-autonome ». Cris Thomas, chercheur en sécurité chez Semgrep, a déclaré à Reuters que la campagne n'était « pas totalement autonome à 100 %. Un opérateur compétent était aux commandes ». La conclusion de Dream elle-même va dans le même sens, affirmant qu'un cadre fonctionnant à ce niveau « exige un ajustement minutieux à la tâche spécifique, une optimisation de la coordination des agents et un réglage fin de la logique de décision » — de la sophistication dans le dispositif et dans le réglage, pas dans le modèle seul. Les faits consignés ne sont pas contestés ; c'est le mot choisi pour les désigner qui l'est.

Une petite anomalie documentaire mérite d’être consignée, car elle ne se résout pas proprement. Le billet de Dream, tel que lu le 29 octobre 2026, porte une date de publication lisible par machine du 24 septembre 2026 et une date de modification le même jour, et la page ne mentionne pas du tout Taïwan. La date du 12 août provient de The Register et de CyberScoop, qui ont tous deux rapporté que la recherche avait été publiée le mercredi 12 août 2026 — la date que porte cette entrée. La page elle-même ne dit pas si elle a été déplacée, rééditée ou redatée dans Webflow.

Qu’est-ce qui a changé après la divulgation

Dream affirme avoir suivi une divulgation responsable : il a notifié les organisations concernées avant publication, leur a laissé le temps de remédier, et évite d'identifier les cibles comme l'opérateur derrière le framework. Le récit de Taïwan concorde avec cette séquence au niveau gouvernemental. La détection est survenue en juillet, des alertes nationales à partir du 20 juillet, une enquête qui, selon MODA, a porté sur les sources, les méthodes et le périmètre, un traitement achevé par les unités concernées, ainsi que de nouvelles lignes directrices de protection et une surveillance renforcée dans l'ensemble des agences. Les sept secrets clients SSO de la liste de Dream sont décrits comme renouvelés, bien que les conventions de nommage qui les ont générés aient déjà été exposées.

Rien dans la couverture examinée pour cet article ne fait état d’une arrestation, d’un démantèlement, d’une mesure de sanctions ou d’une attribution formelle par un gouvernement. Les composants du framework — Hermes et OpenClaw, tous deux open source et librement obtenus — restent disponibles, ce qui est le point que des commentateurs tels que SC World en ont tiré : l’attaque a été assemblée à partir de deux téléchargements qu’aucun processus d’approvisionnement ne vérifie.

Le dossier

L’entrée à partir de laquelle cet article est rédigé est datée du 12 août 2026, une seule journée, sans date de fin. C’est le jour où la dénomination est devenue publique : la recherche, l’identification par le Financial Times et la confirmation par The Register. L’intrusion qu’elle décrit est datée du 1er au 4 juillet 2026, et le compte rendu l’indique en renvoyant à une entrée antérieure de juillet pour l’histoire complète. Ses champs sont : nature : incident, un incident lié à l’IA matérialisé ; gravité : faible ; confiance : A ; contesté : faux ; préjudice réel : vrai ; implication de l’IA : confirmée ; région : Taïwan ; étiquette de type : WEAPON ; repère : faux.

Ces champs se trouvent côte à côte sans contradiction. Ce qui a été compromis, selon les preuves mêmes du dossier, ce sont des données — dossiers du personnel, identifiants et détails réseau, prélevés dans des systèmes gouvernementaux et sur un point de terminaison ministériel non authentifié. Ce qui n’a pas été compromis, selon les mêmes preuves, c’est tout ce dont il a été démontré que cela touche à des opérations nucléaires ou énergétiques. L’archive classe la gravité comme faible et consigne le préjudice réel comme vrai ; les deux décrivent des questions différentes, et les deux ont leur place dans l’entrée.