Taiwan indicata come obiettivo dell'intrusione di luglio tramite sciame di agenti: 85 account, oltre 2.500 record, un'agenzia nucleare scansionata

Il 12 agosto 2026 l'azienda israeliana di cybersecurity Dream ha pubblicato una ricerca su un'intrusione durata quattro giorni ai danni di un governo asiatico non identificato, condotta tramite un framework di IA multi-agente, e il Financial Times, che è stato informato per primo, ha identificato Taiwan come obiettivo. The Register ha riportato lo stesso giorno che una persona a conoscenza dell'attacco lo ha confermato. Dream colloca la campagna tra il 1° e il 4 luglio 2026 e descrive 12 ondate di attacco in cui fino a otto sotto-agenti hanno operato in parallelo: hanno mappato 21 sistemi governativi connessi, violato 85 account di dipendenti governativi — 84 dei quali sono stati quindi usati per autenticarsi a un sistema interno — e prelevato almeno 2.564 fascicoli del personale, inclusi 239 professionisti legali raggiunti tramite un endpoint non autenticato del Ministero della Giustizia. Il Ministero degli Affari Digitali di Taiwan ha confermato il 13 agosto che agenzie governative erano state attaccate da una fonte estera, senza nominare un Paese. Il rapporto di Dream è il resoconto principale, e la voce alla base di questa data — insieme alla voce precedente di luglio a cui rimanda — si trova in l'archivio degli incidenti AI, dove ogni record riporta le proprie fonti, gravità, attendibilità e un indicatore di contestazione.

Cosa dice Dream che il framework abbia fatto

Le prove di Dream non sono il resoconto di un incidente da parte della vittima. Sono lo spazio di lavoro operativo dell'attaccante stesso: un archivio da 160 MB di 1.395 file, recuperato intatto, contenente i piani degli agenti, i punteggi di triage, i rapporti post-azione e l'output degli strumenti. Il report, intitolato Inside a Multi-Agent AI Framework Used to Compromise Government Entities in Asia, afferma che il framework girava su due stack di agenti open-source, Hermes e OpenClaw, con workspace identificati come .hermes e .openclaw.

La ricognizione è iniziata da un singolo portale governativo Angular. Gli agent hanno scaricato e decompilato i suoi bundle JavaScript ed estratto ogni URL incorporato, endpoint API, client ID OAuth e oggetto di configurazione Keycloak in essi contenuti — abbastanza per enumerare 21 sistemi governativi connessi, sei sotto-realm SSO, gli endpoint OIDC, due chiavi di firma RSA e ogni flusso di autenticazione supportato. Su un solo target hanno trovato 36+ endpoint API che coprivano gestione degli account, recupero utenti, upload di file e amministrazione, molti dei quali senza alcuna autenticazione; un sistema, nelle parole di Dream, "esponeva il proprio intero database utenti senza alcuna autenticazione — migliaia di record dei dipendenti, inclusi nomi, reparti e ID degli account SSO."

Il framework ha poi fatto qualcosa che Dream presenta come una decisione autonoma: ha seguito un URL nel bundle verso un portale di documentazione GitBook che ospita la guida all'integrazione SSO nazionale, ha usato l'indice llms.txt di GitBook e il suffisso .md per estrarre il testo grezzo delle pagine, e ha scaricato due progetti SDK di esempio, in Java Spring Boot e ASP.NET Core 8.0. Ha eseguito la propria analisi statica su di essi e ha registrato un open redirect e uno scambio code-to-token non autenticato. Dream afferma esplicitamente che nulla di tutto ciò ha avuto importanza: incrociando i risultati del framework con la sua lista finale convalidata emerge zero sovrapposizione, e le violazioni effettive derivavano da difetti lato server che un test black-box standard avrebbe comunque individuato.

L'accesso iniziale è avvenuto tramite tre percorsi eseguiti in parallelo. Tre endpoint nascosti su un'applicazione web governativa accettavano qualsiasi corpo della richiesta e restituivano una sessione autenticata valida senza credenziali — endpoint di debug per sviluppatori lasciati esposti in produzione. Un'API governativa accettava token JWT con il campo dell'algoritmo impostato su none, quindi un token di identità valido poteva essere falsificato senza la chiave di firma. E uno spray di credenziali contro il portale di automazione d'ufficio del dipartimento ha utilizzato Tesseract OCR per risolvere ogni immagine CAPTCHA con accuratezza del 100 per cento, poi ha provato schemi di password costruiti dall'ID di ciascun dipendente: inizialmente 12 account compromessi, poi altri 73 man mano che venivano trovati ulteriori schemi, 85 in totale.

Solo 84 delle 85 hanno mai contato davvero, perché un unico bridge SSO ha fatto il resto: ogni sistema interno collegato esponeva un punto di ingresso che si fidava automaticamente della sessione di office automation, senza autenticazione aggiuntiva, MFA o conferma dell'utente. 84 account, il 98,8 percento, proseguivano l'autenticazione verso il sistema informativo interno del dipartimento, raggiungendo dashboard interne, interfacce di gestione delle attrezzature e pagine di statistiche del personale. Il framework ha testato ogni credenziale contro ogni sistema collegato in parallelo.

Cosa è uscito dalla rete, secondo Dream: 2.564+ record del personale — 1.409 dipendenti con nome, dipartimento e identificativo SSO, 916 utenti estratti da un'API non autenticata e 239 professionisti legali da un endpoint non autenticato del Ministero della Giustizia — oltre a un'esportazione JSON completa degli utenti del dipartimento, sette segreti client SSO, sei credenziali per database interni su MSSQL, Oracle e Sybase e intervalli IP della rete interna. Una web shell è stata caricata tramite un'API di caricamento file senza restrizioni e posizionata in un percorso noto, ma un secondo livello di Forms Authentication ne ha impedito l'esecuzione; Dream la definisce un successo parziale che non ha raggiunto l'esecuzione di codice remoto.

Due comportamenti sono la ragione per cui Dream considera questo un salto di qualità anziché un semplice scanner più grande. Il framework ha eseguito cinque "cicli di apprendimento" registrati che hanno cercato nei database delle vulnerabilità, su GitHub e nella ricerca pubblicata tecniche specifiche per il parco prodotti del target, e ha valutato il lavoro con un modello bayesiano a due livelli: i singoli risultati partivano da una probabilità a priori di 0,50 e venivano promossi o scartati in base a rapporti di verosimiglianza espliciti, mentre le catene di attacco erano classificate in base a una probabilità di successo che combinava passaggi confermati e stime dei blocchi. Il riepilogo finale in 12 ondate elenca 8 vulnerabilità confermate e 7 falsi positivi che il framework ha individuato ed escluso da sé, inclusa una SQL injection cieca che si è rivelata un timeout SMTP. Dream registra anche che i rifiuti del modello del framework stesso sono stati aggirati presentando l'intera operazione come test di penetrazione autorizzato.

L'Agenzia per la sicurezza nucleare è stata scansionata, non violata.

Il titolo dell'articolo di The Register del 12 agosto recita "Agenti di IA quasi autonomi attaccano l'agenzia per la sicurezza nucleare di Taiwan". Il corpo dello stesso articolo, e il resoconto dello stesso Dream, dicono qualcosa di più circoscritto. Dopo il punto d'appoggio iniziale, scrive Dream, l'operazione "si è estesa ai fornitori della catena di approvvigionamento IT governativa, a un'agenzia per la sicurezza nucleare, a un sistema di posta elettronica governativo e a oltre 7 aziende del settore energetico — scansionandole tutte in parallelo per misconfigurazioni, interfacce di amministrazione esposte e vulnerabilità sfruttabili". Reuters, riportando la risposta di Taiwan, ha descritto lo stesso ambito come agenti che "rubano registri del personale dal Ministero della Giustizia di Taiwan e scansionano la sua agenzia per la sicurezza nucleare alla ricerca di vulnerabilità".

L'agenzia per la sicurezza nucleare compare quindi agli atti come parte del set di ricognizione, non come compromissione confermata. Nessun documento esaminato per questo articolo — il report di Dream, il resoconto di The Register o la dichiarazione di Taiwan — registra un'intrusione al suo interno, dati prelevati da essa o alcun effetto sulle operazioni di sicurezza nucleare. Lo stesso vale per il sistema di posta elettronica governativo, per le oltre 7 aziende energetiche e per i fornitori della supply chain: il fascicolo li colloca in una scansione parallela, e si ferma lì. Scansionare il perimetro di un'agenzia di regolamentazione è di per sé un evento degno di essere registrato. Non è lo stesso evento di una sua violazione, e la distinzione è la differenza tra un titolo di giornale e la prova.

Come Taiwan lo ha descritto

Il Ministero degli Affari Digitali di Taiwan (MODA) ha pubblicato il proprio resoconto giovedì 13 agosto, un giorno dopo la divulgazione della ricerca. Le sue unità di monitoraggio della sicurezza informatica, ha affermato, hanno rilevato un "attacco anomalo" ai danni di agenzie governative a luglio e, dal 20 luglioil suo Istituto Nazionale per la Sicurezza Informatica ha emesso una serie di allerte di avviso nel corso delle indagini. L'indagine ha rilevato "chiare caratteristiche di una fonte estera", con un ibrido di operazioni manuali e attacchi assistiti da agenti AI "come Open Claw". Il MODA ha dichiarato che le fonti, i metodi e la portata dell'impatto erano stati tutti pienamente indagati, che le unità colpite avevano completato la loro gestione e che il governo aveva emesso linee guida di protezione per le minacce alla sicurezza informatica legate all'AI e rafforzato il monitoraggio in tutte le agenzie. Ha rifiutato di dire da dove avesse avuto origine l'attacco.

La dichiarazione di MODA è più ristretta di quella di Dream in una direzione e più ampia in un'altra. Conferma la vittima e il carattere assistito dall'IA dell'attacco, ma non ripete i conteggi di Dream — gli 85 account, i 2.564 record e i 21 sistemi compaiono nel rapporto di Dream e nel resoconto del Financial Times, non nelle parole del ministero. E colloca il rilevamento a luglio, con allerte nazionali dal 20 luglio, settimane prima sia della ricerca sia della copertura mediatica. Qualunque cosa significhi qui «near-autonomous», non significa che la campagna si sia svolta senza essere rilevata fino alla fine.

Il Financial Times non è stato letto per questo articolo: è a pagamento, e il suo resoconto è noto qui tramite The Register, CyberScoop e Reuters, che lo citano tutti come la testata informata per prima dei risultati di Dream. Reuters aggiunge che Dream ha rifiutato di condividere i propri dati o di nominare il governo quando è stata contattata.

Che cosa è stabilito e che cosa non lo è

L'archivio assegna a questo record un'affidabilità A — ben documentato, fonti primarie concordanti — e non lo contrassegna come contestato. Ciò che quel grado copre, e ciò che nessuna fonte nel record chiarisce, sono due elenchi diversi:

• Accertato: la campagna si è svolta in quattro giorni all'inizio di luglio 2026, in 12 ondate, su Hermes e OpenClaw; 21 sistemi governativi sono stati mappati; 85 account dei dipendenti sono stati violati e 84 hanno poi effettuato l'autenticazione; almeno 2.564 record del personale sono stati sottratti, insieme a segreti client SSO, credenziali di database e intervalli di rete. Questi provengono dal rapporto di Dream, il cui recupero del workspace di 1.395 file costituisce la base di tutto ciò.

• Accertato: Taiwan era l'obiettivo. Il Financial Times lo ha identificato, la fonte di The Register lo ha confermato, e il MODA ha confermato il 13 agosto che agenzie governative sono state attaccate dall'estero con l'ausilio di agenti IA.

• Stabilito: l'insieme delle organizzazioni che Dream afferma siano state scansionate in parallelo, e che la correzione sia stata segnalata come completata dalle unità interessate a Taiwan.

• Non stabilito: chi lo abbia fatto. Dream afferma che la documentazione operativa "indica un operatore di lingua cinese" e nota l'alternanza tra cinese semplificato nei rapporti di stato interni e cinese tradizionale nelle analisi rivolte ai target. Dream non ha attribuito la campagna al governo cinese né a un gruppo identificato per nome, e MODA non ha indicato un paese di origine. L'attribuzione a "sospetti operatori cyber cinesi" in alcuni resoconti è un'inferenza basata sulla lingua dell'operatore, non una conclusione pubblicata da alcun governo.

• Non stabilito: se l'agenzia per la sicurezza nucleare, le aziende energetiche, il sistema di posta elettronica o i fornitori della catena di approvvigionamento siano stati effettivamente compromessi, cosa sia stato loro sottratto, se qualcosa, e che fine abbiano fatto i 2.564 registri del personale dopo l'esfiltrazione. Nessuno dei soggetti citati nel documento ha pubblicato l'identità delle vittime, e nessuna fonte esaminata in questa sede documenta danni operativi.

• Contestato nella formulazione, non nei fatti: "quasi-autonoma". Cris Thomas, ricercatore di sicurezza presso Semgrep, ha dichiarato a Reuters che la campagna "non era totalmente autonoma al 100 per cento. C'era un operatore competente al comando". La conclusione dello stesso Dream va nella stessa direzione, affermando che un framework che funziona a questo livello "richiede un'attenta calibrazione rispetto al compito specifico, l'ottimizzazione del coordinamento degli agenti e la messa a punto della logica decisionale" — sofisticatezza nel sistema di orchestrazione e nella calibrazione, non solo nel modello. I fatti del resoconto non sono in discussione; la parola scelta per definirli sì.

Una piccola stranezza documentale merita di essere registrata, perché non si risolve in modo netto. Il post di Dream, così come lo si legge il 29 ottobre 2026, riporta una data di pubblicazione leggibile da macchina del 24 settembre 2026 e una data di modifica lo stesso giorno, e la pagina non contiene alcun accenno a Taiwan. La data del 12 agosto proviene da The Register e CyberScoop, entrambi i quali hanno riportato la ricerca come pubblicata mercoledì 12 agosto 2026 — la data che questa voce riporta. Se la pagina sia stata spostata, ripubblicata o ri-datata in Webflow non è qualcosa che la pagina stessa dica.

Cosa è cambiato dopo la divulgazione

Dream afferma di aver seguito la divulgazione responsabile: ha notificato le organizzazioni individuate prima della pubblicazione, ha dato loro il tempo di porre rimedio ed evita di identificare sia i bersagli sia l'operatore dietro il framework. Il resoconto di Taiwan è coerente con quella sequenza sul fronte governativo. Il rilevamento è avvenuto a luglio, le allerte nazionali sono partite dal 20 luglio, c'è stata un'indagine che, secondo MODA, ha riguardato fonti, metodi e portata, la gestione è stata completata dalle unità interessate, e sono arrivate nuove linee guida di protezione oltre a un monitoraggio rafforzato in tutte le agenzie. I sette client secret SSO nell'elenco di Dream sono descritti come ruotati, sebbene le convenzioni di denominazione che li hanno generati fossero già state esposte.

Nessuna delle fonti esaminate per questo articolo documenta un arresto, un takedown, un'azione sanzionatoria o un'attribuzione formale da parte di alcun governo. I componenti del framework — Hermes e OpenClaw, entrambi open source e reperibili gratuitamente — restano disponibili, ed è proprio questo il punto che commentatori come SC World hanno tratto: l'attacco è stato assemblato con due download che nessun processo di approvvigionamento sottopone a verifica.

Il record

La voce da cui è costruito questo articolo è datata 12 agosto 2026, un solo giorno, senza data di fine. È il giorno in cui la denominazione è diventata pubblica: la ricerca, l’identificazione del Financial Times e la conferma di The Register. L’intrusione che descrive è datata 1–4 luglio 2026, e la scheda lo indica rimandando a una voce precedente di luglio per il resoconto più completo. I suoi campi sono: kind: incidente, un incidente relativo all’IA effettivamente avvenuto; severity: bassa; confidence: A; disputed: falso; real harm: vero; AI involvement: confermato; region: Taiwan; type tag: WEAPON; landmark: falso.

Quei campi convivono senza contraddizione. Ciò che è stato danneggiato, secondo le prove del documento stesso, sono i dati — registrazioni del personale, credenziali e dettagli di rete, presi da sistemi governativi e da un endpoint ministeriale non autenticato. Ciò che non è stato danneggiato, secondo le stesse prove, è qualsiasi elemento sia stato dimostrato toccare operazioni nucleari o energetiche. L'archivio classifica la gravità come bassa e registra il danno reale come vero; i due descrivono questioni diverse, ed entrambi appartengono alla voce.