台湾が7月のエージェント・スワーム侵入の標的に：85アカウント、2,500件超の記録、原子力機関もスキャン

2026年8月12日、イスラエルのサイバーセキュリティ企業Dreamは、マルチエージェントAIフレームワークによる、名称不明のアジア政府への4日間にわたる侵入に関する調査結果を公表した。最初に情報提供を受けたFinancial Timesは、標的を台湾と特定した。The Registerは同日、攻撃に詳しい人物がそれを確認したと報じた。Dreamはこの攻撃キャンペーンを2026年7月1～4日と位置づけ、最大8つのサブエージェントが並行して実行された12波の攻撃について説明している。エージェントらは政府の接続システム21件をマッピングし、政府職員85名分のアカウントを突破した。そのうち84件はさらに内部システムへの認証に成功し、少なくとも2,564件の人事記録を取得した。これには、認証不要の法務省エンドポイント経由で到達した239名の法律専門職が含まれる。Dreamの報告書は一次資料であり、この日付に対応する項目は、それが指し示す7月の先行項目と並んで、AIインシデントアーカイブに収められている。そこでは各記録に独自の情報源、重大度、信頼度、異議フラグが付されている。

Dreamがフレームワークが行ったと述べていること

Dreamの証拠は被害者のインシデント報告書ではない。それは攻撃者自身の運用ワークスペース、すなわち1,395ファイル、160 MBのアーカイブであり、無傷で回収され、エージェントの計画、トリアージスコア、活動後報告書、ツール出力を含んでいた。解説記事「アジアの政府機関を侵害するために使用されたマルチエージェントAIフレームワークの内部」によると、このフレームワークは2つのオープンソースのエージェントスタック、HermesとOpenClaw上で動作し、ワークスペースは.hermesおよび.openclawとして識別された。

偵察は単一のAngular政府ポータルから始まった。エージェントはそのJavaScriptバンドルをダウンロードしてデコンパイルし、そこに含まれるすべての埋め込みURL、APIエンドポイント、OAuthクライアントID、Keycloak設定オブジェクトを抽出した——これにより21の接続済み政府システム、6つのSSOサブレルム、OIDCエンドポイント、2つのRSA署名鍵、およびサポートされるすべての認証フローを列挙するのに十分だった。1つのターゲットだけで彼らは36以上のAPIエンドポイントを発見した。それらはアカウント管理、ユーザー取得、ファイルアップロード、管理にわたり、多くは認証がまったくない。あるシステムは、Dreamの言葉によれば、「認証なしでそのユーザーデータベース全体を露出していた——名前、部門、SSOアカウントIDを含む数千の従業員記録」だった。

その後フレームワークは、Dreamが自律的な判断として提示する行為を行った。バンドル内のURLをたどり、国のSSO連携ガイドをホストするGitBookドキュメントポータルへアクセスし、GitBookのllms.txtインデックスと.mdサフィックスを使って生のページテキストをスクレイピングし、Java Spring BootとASP.NET Core 8.0の2つのSDKサンプルプロジェクトをダウンロードした。フレームワークはそれらに対して独自の静的解析を実行し、オープンリダイレクトと未認証のコード・トゥ・トークン交換を記録した。Dreamは、そうしたことのいずれも重要ではなかったと明言している。フレームワークの発見を最終的な検証済みリストと照合すると、重複はゼロであることが示され、実際の侵害は、標準的なブラックボックステストでも当然見つかったであろうサーバー側の欠陥に由来していた。

初期アクセスは、並行して実行された3つの経路からもたらされました。政府のWebアプリケーションにある3つの隠しエンドポイントは、任意のリクエスト本文を受け入れ、認証情報なしで有効な認証済みセッションを返しました。開発者向けデバッグエンドポイントが本番環境に露出したままになっていました。政府のAPIは、アルゴリズムフィールドがnoneに設定されたJWTトークンを受け入れたため、署名鍵なしで有効なIDトークンを偽造できました。また、部門のオフィスオートメーションポータルに対するクレデンシャルスプレーでは、Tesseract OCRを使用して各CAPTCHA画像を100パーセントの精度で解読し、各従業員のIDから構築したパスワードパターンを試しました。最初に12アカウントが突破され、その後、さらなるパターンが見つかるにつれて73アカウントが追加で突破され、合計85アカウント。

85のうち実際に重要だったのは84だけだった。残りは単一のSSOブリッジが担っていた。接続された各内部システムは、追加の認証、MFA、ユーザー確認を一切必要とせず、オフィスオートメーションのセッションを自動的に信頼するエントリポイントを公開していた。84アカウント、98.8パーセントが部門の内部情報システムへと認証を通過し、内部ダッシュボード、設備管理インターフェース、人事統計ページに到達した。フレームワークは、すべての認証情報を、接続されたすべてのシステムに対して並列にテストした。

Dreamによれば、ネットワークから流出したもの：2,564件以上の人事記録 — 氏名、部署、SSO識別子を含む従業員1,409人、認証なしのAPIから取得されたユーザー916人、認証なしの法務省エンドポイントから取得された法律専門家239人。さらに、同部門のユーザーの完全なJSONエクスポート、SSOクライアントシークレット7件、MSSQL、Oracle、Sybaseにまたがる内部データベース認証情報6件、内部ネットワークのIP範囲。ウェブシェルは制限なしのファイルアップロードAPIを通じてアップロードされ、既知のパスに配置されたが、2つ目のForms Authenticationレイヤーがその実行を阻止した。Dreamはこれを、リモートコード実行には至らなかった部分的な成功と呼んでいる。

Dreamがこれを単なる大型スキャナーではなく飛躍的な変化と捉えているのは、2つの挙動によるものです。フレームワークは、記録された5回の「学習サイクル」を実行し、標的の製品群に固有の手法を脆弱性データベース、GitHub、公開された研究成果から検索しました。また、作業を2層のベイズモデルで採点しました。個々の発見は0.50の事前確率から始まり、明示的な尤度比に基づいて昇格または破棄されました。一方、攻撃チェーンは、確認済みのステップと阻害要因の推定値を組み合わせた成功確率によって順位付けされました。最終的な12波の概要では、以下のものが列挙されています：8件の確認済み脆弱性と7件の誤検知。後者の7件はフレームワーク自体が捕捉して除外したもので、その中には、実はSMTPタイムアウトだったブラインドSQLインジェクションも含まれていました。Dreamはまた、作戦全体を許可されたペネトレーションテストとして位置づけることで、フレームワーク自身のモデルの拒否が回避されたことも記録しています。

原子力安全機関はスキャンされたが、侵害されなかった

The Registerの8月12日の記事の見出しは「準自律型AIエージェントが台湾の原子力安全機関を攻撃」となっている。同じ記事の本文とDream自身の報告書は、より狭い内容を述べている。初期の足場を確立した後、同作戦は「政府のITサプライチェーンベンダー、原子力安全機関、政府のメールシステム、および7社以上のエネルギー業界企業に拡大し、設定不備、露出した管理インターフェース、悪用可能な脆弱性がないか、それらすべてを並行してスキャンした」とDreamは書いている。台湾の対応を伝えたReutersは、同じ範囲を、エージェントが「台湾の法務部から人事記録を窃取し、その原子力安全機関の脆弱性をスキャンする」ものとして説明した。

したがって、原子力安全機関は記録上、偵察対象の集合の一部として登場しており、侵害が確認された対象としてではない。本記事のために確認した文書——Dreamの報告書、The Registerの記事、台湾の声明——のいずれにも、同機関への侵入、同機関からのデータ持ち出し、あるいは原子力安全業務への影響は記録されていない。政府のメールシステム、7+社のエネルギー企業、サプライチェーンのベンダーについても同様である。記録はそれらを並行して行われたスキャンの対象として位置づけており、それ以上には踏み込んでいない。規制機関の周辺部をスキャンすること自体は、記録に値する事象である。それは規制機関を突破したことと同じ事象ではなく、この区別こそが見出しと証拠の違いなのである。

台湾はそれをどう表現したか

台湾のデジタル発展部（MODA）は、調査結果が公表された翌日となる8月13日木曜日に、その説明を発表した。同部によると、サイバーセキュリティ監視部門が7月に政府機関に対する「異常な攻撃」を検知し、7月20日から、国家サイバーセキュリティ研究院（National Institute of Cyber Security）が調査を進めながら一連の警告を発した。調査では「海外を発生源とする明らかな特徴」が確認され、手動操作とAIエージェント支援による攻撃「Open Claw」などが混在していた。MODAは、発生源、手法、影響範囲のすべてが完全に調査され、影響を受けた機関は対応を完了しており、政府はAI関連のサイバーセキュリティ脅威に対する保護ガイドラインを発行し、各機関にわたる監視を強化したと述べた。攻撃の発生源については明らかにしなかった。

MODAの声明は、一方の方向ではDreamより狭く、別の方向では広い。被害者と攻撃のAI支援的な性格は確認しているが、Dreamの集計—85アカウント、2,564件の記録、21システム—は繰り返していない。これらはDreamの報告書とFinancial Timesのその報道に現れるもので、省自身の言葉ではない。また、検知を7月とし、7月20日からの全国警報を挙げている。これは研究または報道のいずれよりも数週間早い。ここで「near-autonomous」が何を意味するにせよ、キャンペーンが最後まで未検知で続いたという意味ではない。

この記事ではFinancial Timesを読んではいない。ペイウォールで有料化されており、その報道はここではThe Register、CyberScoop、Reutersを通じて知られている。いずれも、Dreamの発見について最初に説明を受けた媒体として同紙を挙げている。Reutersはさらに、Dreamは取材を受けた際にデータを共有せず、政府の名称も明かさなかったと付け加えている。

何が確立されており、何が確立されていないのか

アーカイブはこの記録の信頼度をAと評価している——十分に文書化され、一致する一次資料がある——そして論争中とは記していない。その評価が対象とする事柄と、記録内のどの資料でも決着しない事柄は、別のリストである：

• 判明したこと：このキャンペーンは2026年7月初旬の4日間にわたり、HermesとOpenClaw上で12の波に分けて実施された。21の政府システムが洗い出され、85の従業員アカウントが突破され、そのうち84がさらに認証を通過した。少なくとも2,564件の人事記録が持ち出され、さらにSSOクライアントシークレット、データベース認証情報、ネットワークレンジも取得された。これらはすべてDreamの報告書に基づくもので、その1,395ファイルのワークスペースの復元がその全容の根拠となっている。

• 判明: 台湾が標的だった。Financial Timesが特定し、The Registerの情報源が確認し、MODAは8月13日、政府機関が海外からAIエージェントの支援を受けて攻撃されたことを確認した。

• 確定:Dreamが並行してスキャンされたと述べている組織の集合、および台湾の影響を受けた部門によって修復が完了したと報告されたこと。

• 未確定:誰が実行したか。Dreamは、運用文書が「中国語を話すオペレーターを指し示している」と述べ、内部の状況報告では簡体字中国語、標的向け分析では繁体字中国語と、コードスイッチングが行われていると指摘している。Dreamはこのキャンペーンを中国政府や特定の名称のグループに帰属させておらず、MODAも起源国を特定していない。一部報道における「中国のサイバー工作員とみられる」という帰属は、オペレーターの言語からの推測であり、どの政府も公表した調査結果ではない。

• 未確認:原子力安全機関、エネルギー企業、メールシステム、サプライチェーン業者のいずれかが実際に侵害されたのか、侵害されたとして何が持ち出されたのか、また、2,564件の人事記録が外部流出後にどうなったのかは立証されていない。記録に名前が挙がっている人物は誰も被害者の身元を公表しておらず、本稿で確認したどの情報源も運用上の被害を裏付けていない。

• 争点は事実ではなく表現にある：「ほぼ自律的」。Semgrepのセキュリティ研究者Cris Thomasはロイターに対し、このキャンペーンは「完全に100パーセント自律的ではない。有能なオペレーターが指揮していた」と語った。Dream自身の結論も同じ方向を示しており、このレベルで機能するフレームワークは「特定のタスクへの慎重な調整、エージェント調整の最適化、意思決定ロジックの微調整」を「要求する」と述べている——つまり高度さはハーネスとチューニングにあり、モデル単体にあるのではない。記録上の事実に異論はない。異論があるのは、それらに当てられた言葉の方である。

記録しておく価値のある、資料上の小さな不可解な点がある。というのも、それはきれいに解決しないからだ。2026年10月29日に読んだ時点で、Dreamの投稿には機械可読な公開日として2026年9月24日が記され、更新日も同じ日になっており、ページには台湾についての言及がまったくない。8月12日という日付はThe RegisterとCyberScoopに由来し、両媒体とも、この研究が2026年8月12日水曜日に公開されたものとして報じている——本項目が採用している日付である。そのページがWebflow内で移動されたのか、再発行されたのか、日付を付け直されたのかは、ページ自体には書かれていない。

開示後に何が変わりましたか

Dreamは責任ある開示に従ったと述べている。発見した組織には公表前に通知し、修正のための時間を与え、標的やフレームワークの背後にいる運用者のいずれも特定しないようにしている。台湾側の説明は、政府側におけるその一連の流れと整合している。検知は7月、全国的な警告は7月20日から、MODAによれば調査は情報源、手法、範囲を対象とし、影響を受けた各機関による対応が完了し、新たな保護ガイドラインと各省庁にわたる監視強化が行われた。Dreamのリストにある7つのSSOクライアントシークレットはローテーション済みと説明されているが、それらを生成した命名規則はすでに露出していた。

本稿のために精査した報道のいずれにも、逮捕、テイクダウン、制裁措置、またはいかなる政府による正式な帰属の記録はない。フレームワークの構成要素——いずれもオープンソースで自由に入手できるHermesとOpenClaw——は依然として入手可能であり、これがSC Worldのような論者たちがこの件から引き出した論点だ。この攻撃は、いかなる調達プロセスも審査しない2つのダウンロードから組み立てられた。

その記録

この記事の基になっている項目の日付は2026年8月12日で、単一日のみで、終了日はありません。それが名称の公表日です。すなわち、調査、Financial Timesによる特定、The Registerによる確認です。それが記述する侵入は2026年7月1～4日付で、記録はより詳しい経緯について7月の先行項目を参照することでそう述べています。そのフィールドは、種別はインシデント（実際に発生したAI関連インシデント）、重大度は低、信頼度はA、係争はfalse、実害はtrue、AI関与は確認済み、地域は台湾、種別タグはWEAPON、画期的かはfalseです。

それらの項目は矛盾することなく隣り合っている。記録自体の証拠に基づけば、被害を受けたのはデータである——政府システムと認証されていない省庁のエンドポイントから取得された、人事記録、認証情報、ネットワーク詳細。同じ証拠に基づけば、核またはエネルギー運用に関わることが示されたものは何も被害を受けていない。アーカイブは重大度を低く評価し、実際の被害を true として記録している。この二つは異なる問いを表しており、どちらもエントリに含めるべきである。