AI Safety Incidents

טייוואן צוינה כיעד של חדירת נחיל הסוכנים ביולי: 85 חשבונות, 2,500+ רשומות, סוכנות גרעינית נסרקה

מחבר

Magnus Corvin

תאריך פרסום

Oct 29, 2026

מודלים אחרונים · 20צפו בכל המודלים →

בנצ'מרקים: Artificial Analysis · מתעדכן יומית

חזרה לכל הפוסטים

ב-12 באוגוסט 2026 חברת הסייבר הישראלית Dreamפרסמה מחקר על חדירה בת ארבעה ימים לממשל אסייתי שלא נקב בשמו, באמצעות מסגרת בינה מלאכותית מרובת-סוכנים, וFinancial Times, אשר קיבל תדרוך ראשון, זיהה את היעד כטייוואן. The Registerדיווח באותו יום שאדם המכיר את התקיפה אישר אותה. Dream מתארכת את המערכה ל-1–4 ביולי 2026 ומתארת 12 גלי תקיפה שבהם עד שמונה תתי-סוכנים פעלו במקביל: הם מיפו 21 מערכות ממשלתיות מחוברות, פרצו 85 חשבונות של עובדי ממשל — 84 מהם אומתו בהמשך למערכת פנימית — ולקחו לפחות 2,564 רשומות כוח אדם, כולל 239 אנשי מקצועות משפטיים שאליהם הגיעו דרך נקודת קצה לא מאומתת של משרד המשפטים. משרד העניינים הדיגיטליים של טייוואן אישר ב-13 באוגוסט שסוכנויות ממשלתיות הותקפו ממקור מעבר לים, בלי לנקוב בשם מדינה. הדוח של Dream הוא התיאור הראשי, והרשומה שמאחורי תאריך זה — לצד הרשומה המוקדמת מיולי שאליה היא מפנה — נמצאת בארכיון אירועי הבינה המלאכותית, שבו כל רשומה נושאת מקורות משלה, חומרה, רמת ביטחון ודגל מחלוקת.

מה שדרים אומר שהמסגרת עשתה

הראיה של Dream אינה דוח תקרית של קורבן. מדובר בסביבת העבודה המבצעית של התוקף עצמו: ארכיון בגודל 160 MB של 1,395 קבצים, ששוחזר בשלמותו, ומכיל את תוכניות הסוכנים, ציוני טריאז', דוחות לאחר-פעולה ופלט כלים. הניתוח, שכותרתו בתוך מסגרת AI רב-סוכנית ששימשה לפגיעה בגופים ממשלתיים באסיה, קובע שהמסגרת הורצה על שתי ערימות סוכנים בקוד פתוח, Hermesו-OpenClaw, כאשר סביבות העבודה זוהו כ-.hermes וכ-.openclaw.

הסיור החל מפורטל ממשלתי יחיד מבוסס Angular. הסוכנים הורידו ופירקו את חבילות ה-JavaScript שלו והוציאו מתוכן את כל כתובות ה-URL המוטמעות, נקודות הקצה של API, מזהי לקוח OAuth ואובייקטי תצורה של Keycloak שהיו בהן — די בכך כדי למנות 21 מערכות ממשלתיות מחוברות, שש תתי-ממלכות SSO, נקודות הקצה של OIDC, שני מפתחות חתימה RSA וכל תהליך אימות נתמך. ביעד אחד בלבד הם מצאו 36+ נקודות קצה API המשתרעות על ניהול חשבונות, שליפת משתמשים, העלאת קבצים וניהול מערכת, שרבות מהן ללא אימות כלל; מערכת אחת, בניסוח של Dream, "חשפה את כל מאגר המשתמשים שלה ללא כל אימות — אלפי רשומות עובדים, כולל שמות, מחלקות ומזהי חשבון SSO."

לאחר מכן הפריימוורק עשה משהו ש-Dream מציגה כהחלטה אוטונומית: הוא עקב אחר כתובת URL בחבילה אל פורטל התיעוד של GitBook המארח את מדריך האינטגרציה הלאומי של SSO, השתמש באינדקס llms.txt של GitBook ובסיומת .md כדי לגרד טקסט גולמי של הדף, והוריד שני פרויקטי דוגמה של SDK, ב-Java Spring Boot וב-ASP.NET Core 8.0. הוא ביצע עליהם ניתוח סטטי משלו ותיעד הפניה פתוחה והחלפת קוד בטוקן ללא אימות. Dream מציינת במפורש ששום דבר מזה לא היה חשוב: הצלבת ממצאי הפריימוורק עם הרשימה המאומתת הסופית שלו מראה אפס חפיפה, והפרצות בפועל נבעו מפגמים בצד השרת שבדיקת black-box סטנדרטית הייתה מוצאת בכל מקרה.

הגישה הראשונית הגיעה משלושה מסלולים שפעלו במקביל. שלושה נקודות קצה נסתרות באפליקציית אינטרנט ממשלתית קיבלו כל גוף בקשה והחזירו סשן מאומת תקף ללא פרטי התחברות — נקודות קצה לניפוי באגים של מפתחים שהושארו חשופות בסביבת הייצור. API ממשלתי קיבל טוקני JWT ששדה האלגוריתם שלהם מוגדר ל-none, כך שניתן היה לזייף טוקן זהות תקף ללא מפתח החתימה. והתזת פרטי התחברות נגד פורטל האוטומציה המשרדית של המחלקה השתמשה ב-Tesseract OCR כדי לפתור כל תמונת CAPTCHA ברמת דיוק של 100 אחוז, ואז ניסתה תבניות סיסמה שנבנו ממזהה העובד של כל עובד: בתחילה פוצחו 12 חשבונות, ואז עוד 73 כשנמצאו תבניות נוספות, 85 בסך הכול.

רק 84 מתוך 85 היו בעלי חשיבות כלשהי, משום שגשר SSO יחיד עשה את השאר: כל מערכת פנימית מחוברת חשפה נקודת כניסה שסמכה אוטומטית על הפעלת האוטומציה המשרדית, ללא אימות נוסף, MFA או אישור משתמש. 84 חשבונות, 98.8 אחוז, עברו אימות והמשיכו אל מערכת המידע הפנימית של המחלקה, והגיעו ללוחות בקרה פנימיים, לממשקי ניהול ציוד ולדפי סטטיסטיקה של כוח אדם. המסגרת בדקה כל אישור גישה מול כל מערכת מחוברת במקביל.

מה יצא מהרשת, לפי Dream: 2,564+ רשומות כוח אדם — 1,409 עובדים עם שם, מחלקה ומזהה SSO, 916 משתמשים שנשלפו מ-API ללא אימות, ו-239 אנשי מקצועות משפטיים מנקודת קצה לא מאומתת של משרד המשפטים — בנוסף לייצוא JSON מלא של משתמשי המחלקה, שבעה סודות לקוח של SSO, שישה פרטי גישה פנימיים לבסיסי נתונים ב-MSSQL, Oracle ו-Sybase, וטווחי IP פנימיים של הרשת. וובשל הועלה דרך API לא מוגבל להעלאת קבצים והוצב בנתיב ידוע, אך שכבת אימות שנייה של Forms Authentication מנעה את הפעלתו; Dream מכנה זאת הצלחה חלקית שלא הגיעה להשגת הרצת קוד מרחוק.

שני דפוסי התנהגות הם הסיבה ש-Dream מתייחס לכך כאל קפיצת מדרגה ולא כאל סורק גדול יותר. המערכת הפעילה חמישה "מחזורי למידה" מתועדים שחיפשו במאגרי פגיעויות, ב-GitHub ובמחקרים שפורסמו אחר טכניקות המותאמות למערך המוצרים של היעד, והעריכה את העבודה באמצעות מודל בייסיאני דו-שכבתי: ממצאים בודדים החלו בהסתברות קודמת של 0.50 וקודמו או נזנחו לפי יחסי נראות מפורשים, בעוד ששרשראות תקיפה דורגו לפי הסתברות הצלחה המשלבת שלבים מאומתים והערכות של חוסמים. סיכום 12 הגלים הסופי מפרט 8 פגיעויות מאומתות ו-7 חיוביים שגויים שהמערכת עצמה תפסה והדירה, כולל הזרקת SQL עיוורת שהתבררה כפסק זמן SMTP. Dream גם מתעד שסירובי המודל של המערכת עצמה נעקפו באמצעות הצגת כל הפעולה כבדיקת חדירות מורשית.

HTML card titled 'Four days, twelve waves', kicked 'OrcaRouter - AI incident archive - 2026-08-12', subtitled 'Architecture of the documented campaign. Every figure is Dream's, drawn from the attacker's own workspace rather than a victim report.' Four chips read: workspace recovered 1,395 files; systems mapped 21; sub-agents per wave up to 8; attack waves 12. Three columns. 'How it got in' lists three hidden debug endpoints returning a valid session with no credentials, a JWT check accepting algorithm none, Tesseract OCR solving CAPTCHAs at 100 percent with passwords sprayed from employee IDs, and 85 accounts cracked in two rounds of 12 then 73. 'What it reached' lists an SSO bridge that trusted the office-automation session with no MFA, 84 of 85 accounts (98.8%) pivoting to the internal information system, a web shell blocked by Forms Authentication, and 8 confirmed vulnerabilities against 7 self-caught false positives. 'How it chose' lists two-layer Bayesian scoring from a 0.50 prior, likelihood ratios of 6.0 to 10.0, five learning cycles, and model refusals bypassed by framing the work as authorised penetration testing. A dark band repeats 1,395 files recovered, 85 accounts cracked, and 2,564+ personnel records. A footer reads 'Dream's own conclusion: a system that works at this level takes careful adjustment to the task, agent coordination and decision logic, not merely a capable model.'

הסוכנות לבטיחות גרעינית נסרקה, לא נפרצה

הכותרת של הכתבה של The Register מ-12 באוגוסט אומרת "סוכני AI כמעט-אוטונומיים תוקפים את סוכנות הבטיחות הגרעינית של טאיוואן." גוף הכתבה עצמה, והתיאור של Dream בעצמו, אומרים משהו מצומצם יותר. לאחר האחיזה הראשונית, כותב Dream, הפעולה "התרחבה לספקים בשרשרת האספקה של מחשוב ממשלתי, לסוכנות בטיחות גרעינית, למערכת דואר אלקטרוני ממשלתית וליותר מ-7 חברות במגזר האנרגיה — וסרקה את כולן במקביל לאיתור תצורות שגויות, ממשקי ניהול חשופים ופגיעויות ניתנות לניצול." רויטרס, שהביאה את תגובת טאיוואן, תיארה את אותו היקף כסוכנים ש"גונבים רשומות כוח אדם ממשרד המשפטים של טאיוואן, וסורקים את סוכנות הבטיחות הגרעינית שלה לאיתור פגיעויות".

אז סוכנות הבטיחות הגרעינית מופיעה בתיעוד כחלק ממכלול הסיור, ולא כפגיעה מאומתת. אף מסמך שנבחן עבור כתבה זו — הדוח של Dream, הדיווח של The Register או הצהרת טייוואן — אינו מתעד חדירה אליה, נתונים שנלקחו ממנה, או השפעה כלשהי על פעולות הבטיחות הגרעינית. הדבר נכון גם לגבי מערכת הדואר האלקטרוני הממשלתית, יותר מ-7 חברות האנרגיה וספקי שרשרת האספקה: התיעוד מציב אותם בסריקה מקבילה, ושם זה נעצר. סריקת ההיקף של רגולטור היא כשלעצמה אירוע שראוי לתיעוד. זה אינו אותו אירוע כמו פריצה אליו, וההבחנה הזו היא ההבדל בין כותרת לבין הראיות.

HTML card titled 'One target, then the scan set', kicked 'OrcaRouter - AI incident archive - 2026-08-12', subtitled 'What Dream documents as accessed, what it documents as taken, and what it only documents as scanned.' Four chips read: campaign window 1-4 July 2026; accounts cracked 85; personnel records 2,564+; confirmed compromise 1 department. Three columns. 'Confirmed access' lists a government department's office automation portal reached by password spray, 85 employee accounts cracked with 84 authenticated onward, and internal dashboards, equipment management interfaces and personnel statistics pages. 'Data taken' lists 2,564+ personnel records broken down as 1,409 employees, 916 from an unauthenticated API and 239 legal professionals from a Ministry of Justice endpoint, a full JSON export of department users, and 7 SSO client secrets plus 6 database credentials across MSSQL, Oracle and Sybase. 'Scanned, no compromise documented' lists a nuclear safety agency, a government email system, 7+ energy sector companies and government IT supply chain vendors. A dark band separates scan at the perimeter from breach, notes that no source reviewed records intrusion, data loss or effect on operations at those bodies, and that The Register's heading says attack while its body and Reuters say scan. A footer reads 'Dream recovered the attacker's own 160 MB workspace of 1,395 files and calls the operation near-autonomous. The scan set is described as targets for discovery, not as victims.'

איך טאיוואן תיארה את זה

משרד העניינים הדיגיטליים של טייוואן (MODA) פרסם את הודעתו ביום חמישי, 13 באוגוסט, יום לאחר שהמחקר פורסם. יחידות הניטור שלו בתחום הסייבר, כך נמסר, איתרו ביולי "תקיפה חריגה" נגד סוכנויות ממשלתיות, והחל מ-20 ביולי המכון הלאומי לאבטחת סייבר שלו הוציא סדרה של התראות אזהרה במהלך החקירה. החקירה מצאה "מאפיינים ברורים של מקור מעבר לים", עם שילוב של פעולות ידניות ותקיפות בסיוע סוכני AI "כגון Open Claw". MODA מסרה שהמקורות, השיטות והיקף ההשפעה נחקרו במלואם, שהיחידות שנפגעו השלימו את הטיפול בהן, ושהממשלה פרסמה הנחיות הגנה לאיומי סייבר הקשורים ל-AI וחיזקה את הניטור בכלל הסוכנויות. היא סירבה לומר מהיכן מקור התקיפה.

הצהרת MODA צרה יותר מזו של Dream בכיוון אחד, ורחבה יותר בכיוון אחר. היא מאשרת את זהות הקורבן ואת אופייה של המתקפה ככזו שנעשתה בסיוע AI, אך אינה חוזרת על המספרים של Dream — 85 החשבונות, 2,564 הרשומות ו-21 המערכות מופיעים בדוח של Dream ובתיאור שלו ב-Financial Times, ולא בדברי המשרד עצמו. היא גם מתארכת את מועד הגילוי ליולי, עם התראות לאומיות מ-20 ביולי, שבועות לפני המחקר או הסיקור העיתונאי. יהא אשר יהא פירושו של „כמעט-אוטונומית” כאן, אין זה אומר שהמערכה התנהלה בלי להתגלות עד הסוף.

The Financial Times לא נקרא לצורך הכתבה הזו: הוא נמצא מאחורי חומת תשלום, והדיווח שלו מוכר כאן דרך The Register, CyberScoop ו-Reuters, שכולם מציינים אותו ככלי התקשורת שאליו הועברו לראשונה ממצאיה של Dream. Reuters מוסיפה כי Dream סירבה לחלוק את הנתונים שלה או לנקוב בשם הממשלה כשפנו אליה.

מה מבוסס, ומה לא

הארכיון מדרג את הרשומה הזו ברמת מהימנות A — מתועדת היטב, מקורות ראשוניים תואמים — ואינו מסמן אותה כנתונה במחלוקת. מה שדירוג זה מכסה, לעומת מה שאף מקור ברשומה אינו מכריע, הם שתי רשימות שונות:

• נקבע:המבצע התנהל לאורך ארבעה ימים בתחילת יולי 2026 ב-12 גלים על Hermes ו-OpenClaw; מופו 21 מערכות ממשלתיות; פוצחו 85 חשבונות של עובדים ו-84 מהם עברו אימות להמשך; נלקחו לפחות 2,564 רשומות כוח אדם, לצד סודות לקוח של SSO, פרטי גישה למסדי נתונים וטווחי רשת. אלה מגיעים מהדוח של Dream, ששחזור מרחב העבודה שלו — הכולל 1,395 קבצים — הוא הבסיס לכל זה.

• נקבע: טייוואן הייתה היעד. The Financial Times זיהה אותה, המקור של The Register אישר זאת, ו-MODA אישרה ב-13 באוגוסט שסוכנויות ממשל הותקפו מחו"ל בסיוע סוכני בינה מלאכותית.

• נקבע: מכלול הארגונים שלפי Dream נסרקו במקביל, ושהטיפול דווח כהושלם על ידי היחידות המושפעות בטאיוואן.

• לא נקבע: מי עשה זאת. Dream אומרת שהתיעוד המבצעי "מצביע על מפעיל בשפה הסינית" ומציינת מעבר בין שפות בין סינית מפושטת בדוחות סטטוס פנימיים לבין סינית מסורתית בניתוח שמופנה ליעד. Dream לא ייחסה את הקמפיין לממשלת סין או לקבוצה בשם כלשהו, ו-MODA לא ציינה מדינת מוצא. הייחוס ל"מפעילי סייבר סיניים חשודים" בחלק מהסיקור הוא הסקה מהשפה של המפעיל, ולא ממצא שאף ממשלה פרסמה.

• לא נקבע: האם הסוכנות לבטיחות גרעינית, חברות האנרגיה, מערכת הדואר האלקטרוני או ספקי שרשרת האספקה נפרצו בפועל, מה נלקח מהן אם בכלל, ומה עלה בגורלן של 2,564 רשומות כוח אדם לאחר הברחתן. איש מהמוזכרים ברשומה לא פרסם זהויות נפגעים, ואין מקור שנסקר כאן המתעד נזק תפעולי.

• שנוי במחלוקת בניסוח, לא בעובדה: "כמעט אוטונומי". קריס תומאס, חוקר אבטחה ב-Semgrep, אמר לרויטרס שהקמפיין היה "לא אוטונומי לגמרי ב-100 אחוז. היה מפעיל מוכשר בהגה". גם מסקנתה של Dream עצמה מכוונת לאותו כיוון, באומרה שמסגרת שעובדת ברמה כזו "דורשת התאמה זהירה למשימה הספציפית, אופטימיזציה של תיאום הסוכנים, וכיוונון עדין של לוגיקת ההחלטות" — תחכום ברתמה ובכיוונון, ולא במודל בלבד. העובדות המתועדות אינן שנויות במחלוקת; המילה שנבחרה עבורן היא.

מוזרות תיעודית קטנה אחת ראויה לתיעוד, משום שהיא אינה מתבררת לאשורה. הפוסט של Dream, כפי שנקרא ב-29 באוקטובר 2026, נושא תאריך פרסום קריא למכונה של 24 בספטמבר 2026 ותאריך שינוי באותו יום, והעמוד אינו מזכיר את טאיוואן כלל. התאריך 12 באוגוסט מגיע מ-The Register ומ-CyberScoop, ששניהם דיווחו שהמחקר פורסם ביום רביעי, 12 באוגוסט 2026 — התאריך המופיע ברשומה זו. האם העמוד הועבר, הוצא מחדש או תאריכו שונה ב-Webflow — אין זה משהו שהעמוד עצמו מציין.

HTML card titled 'What is established, and what is not', kicked 'OrcaRouter - AI incident archive - 2026-08-12-agent-tai-wan-feng-qun', subtitled 'One originating research report, one government confirmation, and press reporting that names the victim. Confidence A, not disputed.' Three columns. 'Established' lists a four-day campaign of 1-4 July 2026 in 12 waves with up to 8 sub-agents on Hermes and OpenClaw; 21 systems mapped with 85 accounts cracked and 84 authenticated onward; 2,564+ personnel records plus SSO secrets, database credentials and IP ranges; Taiwan as target per the Financial Times, The Register's source and MODA on 13 August; and the scan set with remedial handling reported complete. 'Not established' lists formal attribution, since Dream points only to a Chinese-language operator and MODA named no country; any compromise of the nuclear agency, energy companies, email system or supply-chain vendors; the fate of the exfiltrated records; and victim identities. 'Contested in framing' lists the word near-autonomous, Semgrep's Cris Thomas telling Reuters it was not totally autonomous, his quote that somebody had to choose who to attack and give the directive, and Dream's own conclusion crediting harness tuning and agent coordination rather than the model alone. A dark band reads confidence A, disputed flag no, severity low. A footer reads 'The grade describes documentation quality, not attribution. The independent measurement is Taiwan's 13 August statement, and it confirms the victim and the AI assistance, not the counts.'

מה השתנה לאחר החשיפה

Dream אומרת שהיא פעלה לפי גילוי אחראי: היא הודיעה לארגונים שאותם מצאה לפני הפרסום, נתנה להם זמן לתקן, ונמנעת מלזהות גם את היעדים וגם את המפעיל מאחורי המסגרת. התיאור של טייוואן עקבי עם הרצף הזה בצד הממשלתי. הזיהוי התרחש ביולי, התראות לאומיות החל מ-20 ביולי, חקירה שלדברי MODA כיסתה מקורות, שיטות והיקף, טיפול שהושלם על ידי היחידות שנפגעו, והנחיות הגנה חדשות בתוספת ניטור מחוזק בכלל הסוכנויות. שבעת סודות הלקוח של SSO ברשימה של Dream מתוארים ככאלה שבוצעה להם רוטציה, אף שמוסכמות השמות שיצרו אותם כבר נחשפו.

שום דבר בסיקור שנבחן עבור כתבה זו אינו מתעד מעצר, השבתה, פעולת סנקציות או ייחוס רשמי מצד אף ממשלה. רכיבי המסגרת — Hermes ו-OpenClaw, שניהם בקוד פתוח וניתנים להשגה freely — נותרו זמינים, וזו הנקודה שמגיבים כמו SC World הסיקו ממנה: ההתקפה הורכבה משתי הורדות ששום תהליך רכש אינו בודק.

הרשומה

הרשומה שעליה מבוסס המאמר הזה מתוארכת ל-12 באוגוסט 2026, יום אחד בלבד, ללא תאריך סיום. זהו היום שבו הכינוי הפך לפומבי: המחקר, הזיהוי של Financial Times והאישור של The Register. הפריצה שהיא מתארת מתוארכת ל-1–4 ביולי 2026, והרשומה אומרת זאת בכך שהיא מפנה לרשומה מוקדמת יותר ביולי כדי לקבל את הסיפור המלא יותר. השדות שלה הם: סוג: תקרית — אירוע AI שהתממש; חומרה: נמוכה; ודאות: A; שנוי במחלוקת: לא; נזק ממשי: כן; מעורבות AI: מאושרת; אזור: טייוואן; תג סוג: WEAPON; ציון דרך: לא.

השדות הללו עומדים זה לצד זה בלי סתירה. מה שנפגע, לפי הראיות של הרשומה עצמה, הוא נתונים — רשומות כוח אדם, אישורי גישה ופרטי רשת, שנלקחו ממערכות ממשלתיות ומנקודת קצה משרדית ללא אימות. מה שלא נפגע, לפי אותן ראיות, הוא כל דבר שהוכח כנוגע לפעילות גרעינית או אנרגטית. הארכיון מדרג את החומרה כנמוכה ורושם פגיעה ממשית כאמיתית; השניים מתארים שאלות שונות, ושניהם מקומם ברשומה.

טייוואן צוינה כיעד של חדירת נחיל הסוכנים ביולי: 85 חשבונות, 2,500+ רשומות, סוכנות גרעינית נסרקה

מה שדרים אומר שהמסגרת עשתה

הסוכנות לבטיחות גרעינית נסרקה, לא נפרצה

איך טאיוואן תיארה את זה

מה מבוסס, ומה לא

מה השתנה לאחר החשיפה

הרשומה

מוצר

משאבים

לספקים

הצטרפו לקהילה שלנו

מהבלוג

ספקי מודלים