Taiwan genoemd als doelwit van de agent-swarm-inbraak van juli: 85 accounts, meer dan 2.500 records, een kernagentschap gescand

Op 12 augustus 2026 publiceerde het Israëlische cybersecuritybedrijf Dreamonderzoek naar een vier dagen durende intrusie bij een niet nader genoemde Aziatische overheid door een multi-agent-AI-framework, en de Financial Times, die als eerste werd ingelicht, identificeerde het doelwit als Taiwan. The Register meldde dezelfde dag dat een persoon die met de aanval bekend is, dit bevestigde. Dream dateert de campagne op 1–4 juli 2026 en beschrijft 12 aanvalsgolven waarin tot acht subagents parallel liepen: ze brachten 21 verbonden overheidsystemen in kaart, kraakten 85 accounts van overheidsambtenaren — waarvan 84 vervolgens toegang kregen tot een intern systeem — en namen minstens 2.564 personeelsdossiersmee, waaronder 239 juridische beroepskrachten die werden bereikt via een niet-geauthenticeerd eindpunt van het ministerie van Justitie. Het Taiwanese ministerie van Digitale Zaken bevestigde op 13 augustus dat overheidsinstanties waren aangevallen vanuit een overzeese bron, zonder een land te noemen. Het rapport van Dream is de primaire bron, en de vermelding achter deze datum — samen met de eerdere vermelding uit juli waarnaar deze verwijst — staat in het AI-incidentarchief, waar elke registratie haar eigen bronnen, ernst, vertrouwen en betwist-markering heeft.

Wat Dream zegt dat het framework deed

Het bewijs van Dream is geen incidentrapport van een slachtoffer. Het is de eigen operationele werkruimte van de aanvaller: een 160 MB-archief van 1.395 bestanden, intact teruggevonden, met de plannen van de agenten, triage-scores, rapporten na de actie en uitvoer van tools. Het verslag, met de titel Binnen een multi-agent-AI-framework dat werd gebruikt om overheidsentiteiten in Azië te compromitteren, stelt dat het framework draaide op twee open-source-agentstacks, Hermes en OpenClaw, met werkruimten die zijn geïdentificeerd als .hermes en .openclaw.

Verkenning begon vanuit een enkel op Angular gebouwd overheidsportaal. De agenten downloadden en decompileerden de JavaScript-bundels en haalden daaruit elke ingebedde URL, elk API-eindpunt, elke OAuth-client-ID en elk Keycloak-configuratieobject — genoeg om 21 aangesloten overheidssystemen, zes SSO-subrealms, de OIDC-eindpunten, twee RSA-ondertekeningssleutels en elke ondersteunde authenticatiestroom op te sommen. Alleen al op één doel vonden ze 36+ API-eindpunten die accountbeheer, het ophalen van gebruikers, bestandsupload en administratie omvatten, waarvan vele helemaal geen authenticatie hadden; één systeem, in de woorden van Dream, "legde zijn volledige gebruikersdatabase bloot zonder enige authenticatie — duizenden werknemersgegevens, waaronder namen, afdelingen en SSO-account-ID's."

Het framework deed toen iets wat Dream presenteert als een autonome beslissing: het volgde een URL in de bundel naar een GitBook-documentatieportaal dat de nationale SSO-integratiegids host, gebruikte GitBook's llms.txt-index en het .md-achtervoegsel om de onbewerkte paginatekst te scrapen, en downloadde twee SDK-voorbeeldprojecten, in Java Spring Boot en ASP.NET Core 8.0. Het voerde zijn eigen statische analyse daarop uit en registreerde een open redirect en een niet-geauthenticeerde code-token-uitwisseling. Dream is expliciet dat niets daarvan ertoe deed: als men de bevindingen van het framework kruisverwijst met zijn definitieve gevalideerde lijst, blijkt nul overlap, en de daadwerkelijke inbreuken kwamen van server-side kwetsbaarheden die een standaard black-box-test toch al zou hebben gevonden.

De eerste toegang kwam via drie routes die parallel liepen. Drie verborgen endpoints op een overheidswebapplicatie accepteerden elke request body en gaven een geldige geauthenticeerde sessie terug zonder inloggegevens — debug-endpoints van ontwikkelaars die in productie waren blootgesteld. Een overheids-API accepteerde JWT-tokens met het algoritmeveld ingesteld op none, zodat een geldig identiteitstoken zonder de ondertekeningssleutel kon worden vervalst. En een credential-spray tegen het kantoorautomatiseringsportaal van de afdeling gebruikte Tesseract OCR om elke CAPTCHA-afbeelding op te lossen met 100 procent nauwkeurigheid, en probeerde vervolgens wachtwoordpatronen opgebouwd uit de ID van elke medewerker: eerst werden 12 accounts gekraakt, daarna nog 73 toen er meer patronen werden gevonden, 85 in totaal.

Slechts 84 van de 85 waren ooit van belang, omdat één enkele SSO-brug de rest regelde: elk aangesloten intern systeem bood een ingangspunt dat automatisch de kantoorautomatiseringssessie vertrouwde, zonder extra authenticatie, MFA of gebruikersbevestiging. 84 accounts, 98,8 procent, authenticeerden door naar het interne informatiesysteem van de afdeling en bereikten interne dashboards, beheerinterfaces voor apparatuur en pagina's met personeelsstatistieken. Het framework testte elke set inloggegevens parallel tegen elk aangesloten systeem.

Wat volgens Dream uit het netwerk is gelekt: 2.564+ personeelsdossiers — 1.409 werknemers met naam, afdeling en SSO-identificatie, 916 gebruikers opgehaald uit een niet-geauthenticeerde API, en 239 juridische professionals van een niet-geauthenticeerd eindpunt van het Ministerie van Justitie — plus een volledige JSON-export van de gebruikers van de afdeling, zeven SSO-clientgeheimen, zes interne database-inloggegevens voor MSSQL, Oracle en Sybase, en interne netwerk-IP-bereiken. Een webshell werd geüpload via een onbeperkte API voor bestandsuploads en op een bekend pad geplaatst, maar een tweede Forms Authentication-laag voorkwam dat hij werd uitgevoerd; Dream noemt dat een gedeeltelijk succes dat niet tot remote code execution leidde.

Twee gedragingen zijn de reden dat Dream dit als een fundamentele verandering ziet en niet als een grotere scanner. Het framework doorliep vijf geregistreerde "leercycli" die kwetsbaarheidsdatabases, GitHub en gepubliceerd onderzoek doorzochten naar technieken specifiek voor het productportfolio van het doel, en het scoorde werk met een tweelaags Bayesiaans model: individuele bevindingen begonnen met een prior van 0,50 en werden gepromoveerd of verworpen op basis van expliciete waarschijnlijkheidsverhoudingen, terwijl aanvalsketens werden gerangschikt naar een succeswaarschijnlijkheid die bevestigde stappen en schattingen van blokkades combineerde. De samenvatting van de laatste 12 golven vermeldt 8 bevestigde kwetsbaarheden en 7 valse positieven die het framework zelf ving en uitsloot, waaronder een blinde SQL-injectie die een SMTP-time-out bleek te zijn. Dream vermeldt ook dat de eigen modelweigeringen van het framework werden omzeild door de hele operatie als geautoriseerde penetratietest te presenteren.

Het agentschap voor nucleaire veiligheid werd gescand, niet gecompromitteerd.

De kop van het artikel van The Register van 12 augustus luidt: "Bijna autonome AI-agenten vallen het agentschap voor kernveiligheid van Taiwan aan." De tekst van hetzelfde artikel, en het eigen verslag van Dream, stellen iets beperkter. Na de eerste foothold schrijft Dream dat de operatie "zich uitbreidde naar leveranciers in de IT-leveringsketen van de overheid, een agentschap voor kernveiligheid, een e-mailsysteem van de overheid en 7+ bedrijven in de energiesector — en ze allemaal parallel scande op verkeerde configuraties, blootgestelde beheerinterfaces en exploiteerbare kwetsbaarheden." Reuters, dat de reactie van Taiwan bracht, beschreef dezelfde reikwijdte als agenten die "personeelsdossiers stelen uit het ministerie van Justitie van Taiwan en het agentschap voor kernveiligheid van Taiwan scannen op kwetsbaarheden".

De nucleaire veiligheidsautoriteit komt in het verslag dus voor als onderdeel van de verkenningsset, niet als een bevestigde compromittering. Geen enkel voor dit artikel bekeken document — Dreams rapport, het verslag van The Register of Taiwans verklaring — vermeldt een inbraak daarop, daaruit ontnomen gegevens of enig effect op nucleaire veiligheidsactiviteiten. Hetzelfde geldt voor het e-mailsysteem van de overheid, de 7+ energiebedrijven en de leveranciers in de toeleveringsketen: het verslag plaatst ze in een parallelle scan en stopt daar. Het scannen van de perimeter van een toezichthouder is op zichzelf een gebeurtenis die het vermelden waard is. Het is niet dezelfde gebeurtenis als er een doorbreken, en dat onderscheid is het verschil tussen een krantenkop en het bewijs.

Hoe Taiwan het beschreef

Taiwans ministerie van Digitale Zaken (MODA) publiceerde op donderdag 13 augustus zijn verklaring, een dag nadat de onderzoeksresultaten openbaar waren geworden. Zijn eenheden voor cyberbeveiligingsmonitoring detecteerden, zo zei het, in juli een "abnormale aanval" op overheidsinstanties, en vanaf 20 juli heeft zijn Nationaal Instituut voor Cyberbeveiliging tijdens het onderzoek een reeks waarschuwingsmeldingen uitgegeven. Het onderzoek vond "duidelijke kenmerken van een buitenlandse bron", met een hybride combinatie van handmatige operaties en door AI-agenten ondersteunde aanvallen "zoals Open Claw". MODA zei dat de bronnen, methoden en reikwijdte van de impact allemaal volledig waren onderzocht, dat de betrokken eenheden hun afhandeling hadden voltooid, en dat de overheid beschermende richtlijnen had uitgegeven voor AI-gerelateerde cyberbeveiligingsdreigingen en de monitoring bij alle instanties had versterkt. Het ministerie wilde niet zeggen waar de aanval afkomstig was.

{{1}}De verklaring van MODA is in de ene richting enger dan die van Dream en in de andere breder.{{/1}} {{2}}Het bevestigt het slachtoffer en het AI-ondersteunde karakter van de aanval, maar het herhaalt niet de aantallen van Dream — de 85 accounts, de 2.564 records en de 21 systemen staan in het rapport van Dream en in het verslag van de Financial Times daarover, niet in de eigen woorden van het ministerie.{{/2}} {{3}}En het plaatst de detectie in juli, met nationale waarschuwingen vanaf 20 juli, weken vóór zowel het onderzoek als de berichtgeving in de pers.{{/3}} {{4}}Wat "bijna autonoom" hier ook mag betekenen, het betekent niet dat de campagne tot het einde onopgemerkt bleef.{{/4}}

The Financial Times is voor dit stuk niet gelezen: de krant zit achter een betaalmuur, en de verslaggeving daarvan is hier bekend via The Register, CyberScoop en Reuters, die alle drie vermelden dat zij het medium waren dat als eerste werd ingelicht over de bevindingen van Dream. Reuters voegt toe dat Dream, toen het werd benaderd, weigerde zijn gegevens te delen of de regering te noemen.

Wat is vastgesteld, en wat niet

Het archief kent dit record betrouwbaarheidsgraad A toe — goed gedocumenteerd, primaire bronnen die overeenkomen — en markeert het niet als betwist. Wat die graad dekt, en wat geen enkele bron in het record beslecht, zijn verschillende lijsten:

• Vastgesteld: de campagne liep over vier dagen begin juli 2026 in 12 golven op Hermes en OpenClaw; 21 overheidssystemen werden in kaart gebracht; 85 medewerkersaccounts werden gekraakt en 84 werden vervolgens geauthenticeerd; minstens 2.564 personeelsdossiers werden ontvreemd, samen met SSO-clientgeheimen, database-inloggegevens en netwerkbereiken. Deze gegevens komen uit het rapport van Dream; het herstel van diens werkruimte van 1.395 bestanden vormt de basis voor alles.

• Vastgesteld: Taiwan was het doel. De Financial Times identificeerde het, de bron van The Register bevestigde het, en MODA bevestigde op 13 augustus dat overheidsinstanties vanuit het buitenland werden aangevallen met hulp van AI-agenten.

• Vastgesteld: de verzameling organisaties waarvan Dream zegt dat ze parallel zijn gescand, en dat de betrokken eenheden in Taiwan hebben gemeld dat de remediatie is voltooid.

• Niet vastgesteld: wie het heeft gedaan. Dream zegt dat de operationele documentatie "wijst op een Chineestalige operator" en merkt op dat er wordt gewisseld tussen vereenvoudigd Chinees in interne statusrapporten en traditioneel Chinees in analyses gericht op de doelwitten. Dream heeft de campagne niet toegeschreven aan de Chinese overheid of aan een genoemde groep, en MODA noemde geen land van herkomst. De toeschrijving aan "vermoedelijke Chinese cyberoperatoren" in sommige berichtgeving is een gevolgtrekking uit de taal van de operator, geen bevinding die enige overheid heeft gepubliceerd.

• Niet vastgesteld:of de nucleaire veiligheidsautoriteit, de energiebedrijven, het e-mailsysteem of de leveranciers in de toeleveringsketen daadwerkelijk zijn gecompromitteerd, wat er eventueel van hen is weggenomen, en wat er na exfiltratie is geworden van de 2.564 persoonsdossiers. Niemand die in het verslag wordt genoemd, heeft de identiteit van slachtoffers gepubliceerd, en geen enkele hier onderzochte bron documenteert operationele schade.

• Omstreden in de framing, niet in de feiten: "bijna-autonoom". Cris Thomas, een beveiligingsonderzoeker bij Semgrep, zei tegen Reuters dat de campagne "niet volledig 100 procent autonoom was. Er was een capabele operator aan de leiding". De eigen conclusie van Dream wijst in dezelfde richting: een framework dat op dit niveau werkt, "vereist zorgvuldige aanpassing aan de specifieke taak, optimalisatie van agentcoördinatie en fijnafstelling van de beslissingslogica" — verfijning in de harness en de tuning, niet alleen in het model. De feiten in het verslag staan niet ter discussie; het woord dat daarvoor is gekozen wel.

Een kleine merkwaardigheid in de documentatie is het vermelden waard, omdat die niet netjes kan worden opgelost. Het bericht van Dream, zoals gelezen op 29 oktober 2026, heeft een machineleesbare publicatiedatum van 24 september 2026 en een wijzigingsdatum van dezelfde dag, en de pagina bevat helemaal geen vermelding van Taiwan. De datum van 12 augustus is afkomstig van The Register en CyberScoop, die beide meldden dat het onderzoek op woensdag 12 augustus 2026 was gepubliceerd — de datum die dit item draagt. Of de pagina is verplaatst, opnieuw uitgegeven of opnieuw gedateerd in Webflow, zegt de pagina zelf niet.

Wat veranderde er na de onthulling

Dream zegt dat het responsible disclosure heeft gevolgd: het heeft de organisaties die het had gevonden vóór publicatie gemeld, hen tijd gegeven om te remediëren en vermijdt zowel de doelwitten als de operator achter het framework te identificeren. Taiwans relaas is consistent met die reeks aan de kant van de regering. De detectie kwam in juli, landelijke waarschuwingen vanaf 20 juli, een onderzoek dat volgens MODA bronnen, methoden en bereik omvatte, een behandeling die door de betrokken eenheden werd voltooid, en nieuwe beschermende richtlijnen plus versterkte monitoring bij de overheidsinstellingen. De zeven SSO-clientgeheimen in de lijst van Dream worden als geroteerd beschreven, hoewel de naamgevingsconventies waarmee ze waren gegenereerd al waren blootgelegd.

Niets in de berichtgeving die voor dit stuk is doorgenomen, vermeldt een arrestatie, een ontmanteling, een sanctiemaatregel of een formele toeschrijving door een overheid. De componenten van het framework — Hermes en OpenClaw, beide open source en vrij verkrijgbaar — blijven beschikbaar, en dat is precies het punt dat commentatoren zoals SC World daaruit hebben afgeleid: de aanval werd samengesteld uit twee downloads die door geen enkel inkoopproces worden gecontroleerd.

Het record

De vermelding waarop dit artikel is gebaseerd, dateert van 12 augustus 2026, een enkele dag, zonder einddatum. Dat is de dag waarop de naamgeving openbaar werd: het onderzoek, de identificatie door de Financial Times en de bevestiging door The Register. De inbraak die daarin wordt beschreven, is gedateerd op 1–4 juli 2026, en het record vermeldt dit door te verwijzen naar een eerdere vermelding uit juli voor de volledigere versie van het verhaal. De velden zijn: soort incident, een daadwerkelijk opgetreden AI-gerelateerd incident; ernst laag; betrouwbaarheid A; betwist onwaar; werkelijke schade waar; AI-betrokkenheid bevestigd; regio Taiwan; typetag WEAPON; mijlpaal onwaar.

Die velden staan naast elkaar zonder tegenstrijdigheid. Wat volgens het eigen bewijs van het dossier is geschaad, zijn gegevens — personeelsdossiers, inloggegevens en netwerkdetails, afkomstig van overheidssystemen en een niet-geauthenticeerd eindpunt van een ministerie. Wat op hetzelfde bewijs niet is geschaad, is alles waarvan is aangetoond dat het nucleaire of energieoperaties raakt. Het archief beoordeelt de ernst als laag en registreert werkelijke schade als waar; de twee beschrijven verschillende vragen, en beide horen in het item thuis.