Taiwan wskazany jako cel lipcowej intruzji roju agentów: 85 kont, ponad 2500 rekordów, zeskanowana agencja jądrowa

12 sierpnia 2026 r. izraelska firma cyberbezpieczeństwa Dream opublikowała badanie dotyczące czterodniowego włamania dokonanego przez wieloagentowy framework AI do nieujawnionego rządu azjatyckiego, a Financial Times, któremu jako pierwszemu przekazano informacje, wskazał jako cel Tajwan. The Register poinformował tego samego dnia, że osoba zaznajomiona z atakiem potwierdziła go. Dream datuje kampanię na 1–4 lipca 2026 r. i opisuje 12 fal ataków, w których równolegle działało maksymalnie osiem podagentów: zmapowały one 21 połączonych systemów rządowych, złamały 85 kont pracowników rządowych — z których 84 uwierzytelniło się następnie w systemie wewnętrznym — i pozyskały co najmniej 2 564 rekordy personelu, w tym 239 specjalistów prawnych, do których dotarto przez nieuwierzytelniony punkt końcowy Ministerstwa Sprawiedliwości. Ministerstwo Spraw Cyfrowych Tajwanu potwierdziło 13 sierpnia, że agencje rządowe zostały zaatakowane ze źródła zagranicznego, nie podając kraju. Raport Dream jest podstawową relacją, a wpis stojący za tą datą — obok wcześniejszego wpisu z lipca, na który wskazuje — znajduje się w archiwum incydentów AI, gdzie każdy rekord ma własne źródła, dotkliwość, poziom pewności i oznaczenie sporności.

Co Dream mówi, że framework zrobił

Materiał dowodowy Dream nie jest raportem ofiary o incydencie. Jest to własna operacyjna przestrzeń robocza atakującego: archiwum 160 MB zawierające 1395 plików, odzyskane w nienaruszonym stanie, zawierające plany agentów, wyniki triage, raporty po akcji i dane wyjściowe narzędzi. Tekst zatytułowany Wewnątrz wieloagentowego frameworku AI wykorzystanego do skompromitowania podmiotów rządowych w Azji stwierdza, że framework działał na dwóch stosach agentów open source, Hermes i OpenClaw, a przestrzenie robocze zidentyfikowano jako .hermes i .openclaw.

Rekonesans rozpoczął się od pojedynczego rządowego portalu Angular. Agenci pobrali i zdekompilowali jego pakiety JavaScript, a następnie wydobyli każdy osadzony URL, punkt końcowy API, identyfikator klienta OAuth i obiekt konfiguracyjny Keycloak, jakie się w nich znajdowały — wystarczająco, by wyszczególnić 21 połączonych systemów rządowych, sześć podrealmów SSO, punkty końcowe OIDC, dwa klucze podpisywania RSA i każdy obsługiwany mechanizm uwierzytelniania. Już na jednym celu znaleźli ponad 36 punktów końcowych API obejmujących zarządzanie kontami, pobieranie danych użytkowników, przesyłanie plików i administrację, wiele z nich całkowicie bez uwierzytelniania; jeden system, mówiąc słowami Dreama, „ujawnił całą swoją bazę użytkowników bez żadnego uwierzytelniania — tysiące rekordów pracowników, w tym nazwiska, działy i identyfikatory kont SSO”.

Framework zrobił następnie coś, co Dream przedstawia jako autonomiczną decyzję: podążył za adresem URL w pakiecie do portalu dokumentacji GitBook hostującego krajowy przewodnik integracji SSO, użył indeksu GitBooka llms.txt oraz sufiksu .md, aby pobrać surowy tekst strony, i ściągnął dwa przykładowe projekty SDK, w Java Spring Boot i ASP.NET Core 8.0. Przeprowadził na nich własną analizę statyczną i odnotował otwarte przekierowanie oraz nieuwierzytelnioną wymianę kodu na token. Dream wyraźnie stwierdza, że nic z tego nie miało znaczenia: zestawienie ustaleń frameworka z jego ostateczną zweryfikowaną listą pokazuje zerowe pokrycie, a rzeczywiste naruszenia wynikały z luk po stronie serwera, które standardowy test black-box i tak by wykrył.

Dostęp początkowy uzyskano trzema równoległymi drogami. Trzy ukryte punkty końcowe w rządowej aplikacji internetowej akceptowały dowolną treść żądania i zwracały prawidłową uwierzytelnioną sesję bez podania poświadczeń — deweloperskie punkty końcowe debugowania pozostawione bez zabezpieczeń w środowisku produkcyjnym. API rządowe akceptowało tokeny JWT z polem algorytmu ustawionym na none, więc można było sfałszować ważny token tożsamości bez klucza podpisującego. Atak typu credential spray przeciwko portalowi automatyki biurowej departamentu wykorzystał Tesseract OCR do rozwiązywania każdego obrazu CAPTCHA z 100-procentową dokładnością, następnie wypróbował wzorce haseł zbudowane z identyfikatora każdego pracownika: początkowo złamano 12 kont, potem 73 kolejne, gdy znajdowano dalsze wzorce, łącznie 85.

Znaczenie miało tylko 84 z 85, ponieważ resztę załatwiał pojedynczy most SSO: każdy podłączony system wewnętrzny udostępniał punkt wejścia, który automatycznie ufał sesji automatyki biurowej, bez dodatkowego uwierzytelniania, MFA czy potwierdzenia użytkownika. 84 konta, 98,8 procent, uwierzytelniały się dalej w wewnętrznym systemie informacyjnym departamentu, docierając do wewnętrznych pulpitów, interfejsów zarządzania sprzętem i stron ze statystykami personelu. Framework testował każde poświadczenie względem każdego podłączonego systemu równolegle.

Co wyciekło z sieci według Dream: 2 564+ rekordów personelu — 1409 pracowników z imieniem i nazwiskiem, działem i identyfikatorem SSO, 916 użytkowników pobranych z nieuwierzytelnionego API oraz 239 prawników z nieuwierzytelnionego punktu końcowego Ministerstwa Sprawiedliwości — a do tego pełny eksport JSON użytkowników departamentu, siedem sekretów klientów SSO, sześć wewnętrznych poświadczeń baz danych w MSSQL, Oracle i Sybase oraz zakresy adresów IP sieci wewnętrznej. Przez API do przesyłania plików bez ograniczeń przesłano web shell i umieszczono go w znanej ścieżce, ale druga warstwa Forms Authentication uniemożliwiła jego wykonanie; Dream nazywa to częściowym sukcesem, który nie osiągnął zdalnego wykonania kodu.

Dwa zachowania sprawiają, że Dream traktuje to jako skokowy postęp, a nie większy skaner. Framework przeprowadził pięć zapisanych „cykli uczenia się”, które przeszukiwały bazy danych podatności, GitHub oraz opublikowane badania pod kątem technik specyficznych dla portfolio produktów celu, i oceniał pracę za pomocą dwuwarstwowego modelu bayesowskiego: pojedyncze ustalenia zaczynały się od prioru 0,50 i były promowane lub odrzucane na podstawie jawnych ilorazów wiarygodności, natomiast łańcuchy ataków były szeregowane według prawdopodobieństwa sukcesu łączącego potwierdzone etapy i szacunki blokerów. Podsumowanie końcowe 12 fal wymienia 8 potwierdzonych podatności i 7 fałszywych alarmów, które framework sam wychwycił i wykluczył, w tym ślepą iniekcję SQL, która okazała się przekroczeniem limitu czasu SMTP. Dream odnotowuje również, że odmowy własnego modelu frameworka zostały ominięte poprzez przedstawienie całej operacji jako autoryzowanego testu penetracyjnego.

Agencja ds. bezpieczeństwa jądrowego została przeskanowana, ale nie doszło do naruszenia jej zabezpieczeń.

Nagłówek artykułu The Register z 12 sierpnia brzmi: „Prawie autonomiczne agenty AI atakują tajwańską agencję bezpieczeństwa jądrowego”. Treść tego samego artykułu oraz własny materiał Dream mówią o czymś węższym. Jak pisze Dream, po uzyskaniu pierwszego punktu zaczepienia operacja „rozszerzyła się na dostawców w łańcuchu dostaw IT dla administracji rządowej, agencję bezpieczeństwa jądrowego, rządowy system poczty elektronicznej oraz ponad 7 firm z sektora energetycznego — skanując je wszystkie równolegle w poszukiwaniu błędów konfiguracji, ujawnionych interfejsów administracyjnych i podatności nadających się do wykorzystania”. Reuters, relacjonując reakcję Tajwanu, opisał ten sam zakres jako działania agentów, które „wykradają dane personelu z tajwańskiego ministerstwa sprawiedliwości i skanują tajwańską agencję bezpieczeństwa jądrowego w poszukiwaniu podatności”.

Agencja ds. bezpieczeństwa jądrowego pojawia się w materiale jako część zbioru rozpoznawczego, a nie jako potwierdzone naruszenie. Żaden dokument przejrzany do tego artykułu — raport Dream, relacja The Register ani oświadczenie Tajwanu — nie odnotowuje włamania do niej, zabranych z niej danych ani jakiegokolwiek wpływu na działania w zakresie bezpieczeństwa jądrowego. To samo dotyczy rządowego systemu poczty elektronicznej, ponad 7 firm energetycznych i dostawców w łańcuchu dostaw: materiał umieszcza je w równoległym skanie i na tym poprzestaje. Skanowanie perymetru organu regulacyjnego samo w sobie jest wydarzeniem wartym odnotowania. To nie jest to samo wydarzenie co sforsowanie perymetru, a ta różnica to różnica między nagłówkiem a dowodami.

Jak Tajwan to opisał

Ministerstwo Spraw Cyfrowych Tajwanu (MODA) wydało swoje oświadczenie w czwartek 13 sierpnia, dzień po upublicznieniu badania. Jak podało, jego jednostki monitorujące cyberbezpieczeństwo wykryły w lipcu „nietypowy atak” na agencje rządowe, a od 20 lipca jego Krajowy Instytut Bezpieczeństwa Cybernetycznego wydał serię alertów ostrzegawczych w trakcie prowadzonego śledztwa. Śledztwo wykazało „wyraźne cechy zagranicznego źródła” oraz hybrydę działań ręcznych i ataków wspomaganych przez agentów AI "takich jak Open Claw". MODA podało, że źródła, metody i zakres wpływu zostały całkowicie zbadane, że dotknięte jednostki zakończyły już swoje działania, a rząd wydał wytyczne ochronne dotyczące zagrożeń cyberbezpieczeństwa związanych z AI oraz wzmocnił monitorowanie we wszystkich agencjach. Odmówiło podania, skąd pochodził atak.

Oświadczenie MODA jest węższe niż Dream w jednym kierunku, a szersze w innym. Potwierdza ofiarę oraz wspomagany przez AI charakter ataku, nie powtarza jednak liczb podanych przez Dream — 85 kont, 2 564 rekordów i 21 systemów pojawia się w raporcie Dream oraz w relacji „Financial Times” na jego temat, a nie w słowach samego ministerstwa. Wykrycie datuje na lipiec, a krajowe alerty na 20 lipca — tygodnie przed badaniami i publikacjami prasowymi. Cokolwiek „near-autonomous” oznacza w tym kontekście, nie oznacza, że kampania pozostawała niewykryta do końca.

The Financial Times nie został przeczytany na potrzeby tego artykułu: dostęp jest płatny, a o jego materiałach wiadomo tu za pośrednictwem The Register, CyberScoop i Reuters, które wszystkie wskazują go jako redakcję, której jako pierwszej przekazano informacje o ustaleniach Dream. Reuters dodaje, że Dream odmówił udostępnienia swoich danych lub wskazania rządu, gdy się z nim skontaktowano.

Co jest ustalone, a co nie

Archiwum przyznaje temu rekordowi ocenę wiarygodności A — dobrze udokumentowany, źródła pierwotne są zgodne — i nie oznacza go jako spornego. To, co ta ocena obejmuje, i to, czego żadne źródło w rekordzie nie rozstrzyga, to różne listy:

• Ustalono: kampania trwała przez cztery dni na początku lipca 2026 r., w 12 falach, na Hermes i OpenClaw; zmapowano 21 systemów rządowych; przełamano 85 kont pracowników, a 84 uwierzytelniono dalej; pozyskano co najmniej 2 564 rekordy personelu, a także sekrety klientów SSO, dane uwierzytelniające do baz danych i zakresy sieci. Pochodzą one z raportu Dream, którego odzyskanie 1 395-plikowego obszaru roboczego jest podstawą dla całości.

• Ustalono: Celem był Tajwan. Zidentyfikował go „Financial Times”, źródło „The Register” potwierdziło to, a MODA potwierdziła 13 sierpnia, że agencje rządowe zostały zaatakowane z zagranicy przy wsparciu agentów AI.

• Ustalono: zbiór organizacji, które według Dream zostały przeskanowane równolegle, oraz że dotknięte jednostki na Tajwanie zgłosiły zakończenie działań naprawczych.

• Nie ustalono: kto to zrobił. Dream twierdzi, że dokumentacja operacyjna „wskazuje na chińskojęzycznego operatora”, i odnotowuje przełączanie się między uproszczonym chińskim w wewnętrznych raportach statusowych a tradycyjnym chińskim w analizach skierowanych do odbiorców. Dream nie przypisał kampanii rządowi chińskiemu ani żadnej nazwanej grupie, a MODA nie wskazała kraju pochodzenia. Przypisanie „podejrzewanym chińskim cyberoperatorom” w niektórych relacjach wynika z języka operatora, a nie z ustaleń opublikowanych przez jakikolwiek rząd.

• Nie ustalono:czy doszło w rzeczywistości do naruszenia bezpieczeństwa w agencji ds. bezpieczeństwa jądrowego, spółkach energetycznych, systemie poczty elektronicznej lub u dostawców z łańcucha dostaw, co im zabrano, jeśli w ogóle cokolwiek, oraz co stało się z 2 564 aktami personelu po eksfiltracji danych. Nikt wymieniony w dokumencie nie ujawnił tożsamości ofiar, a żadne przeanalizowane tu źródło nie dokumentuje szkód operacyjnych.

• Spór dotyczy ujęcia, nie faktów:„niemal autonomiczna”. Cris Thomas, badacz bezpieczeństwa w Semgrep, powiedział Reutersowi, że kampania „nie jest całkowicie, w 100 procentach autonomiczna. W jej ramach działał kompetentny operator”. Wniosek samego Dreama wskazuje w tym samym kierunku: stwierdza, że framework działający na tym poziomie „wymaga starannego dostosowania do konkretnego zadania, optymalizacji koordynacji agentów i dostrojenia logiki decyzyjnej” — wyrafinowanie tkwi w harnessie i w dostrajaniu, a nie w samym modelu. Fakty w tym opisie nie są sporne; sporne jest słowo, które dla nich wybrano.

Warto odnotować jedną małą osobliwość dokumentacyjną, ponieważ nie daje się jej jednoznacznie rozstrzygnąć. Post Dreama, w postaci odczytanej 29 października 2026 r., ma czytelną maszynowo datę publikacji 24 września 2026, a datę modyfikacji tego samego dnia, i strona w ogóle nie wspomina o Tajwanie. Data 12 sierpnia pochodzi z The Register i CyberScoop, które podały, że badanie opublikowano w środę 12 sierpnia 2026 r. — data, którą nosi ten wpis. Czy stronę przeniesiono, wydano ponownie lub zmieniono jej datę w Webflow, tego sama strona nie mówi.

Co zmieniło się po ujawnieniu

Dream twierdzi, że postąpił zgodnie z zasadami odpowiedzialnego ujawniania: powiadomił organizacje, które wykrył, przed publikacją, dał im czas na usunięcie problemu i unika identyfikowania zarówno celów, jak i operatora stojącego za frameworkiem. Relacja Tajwanu jest spójna z tą sekwencją po stronie rządowej. Wykrycie nastąpiło w lipcu, krajowe alerty od 20 lipca, dochodzenie, które według MODA obejmowało źródła, metody i zakres, obsługa zakończona przez dotknięte jednostki oraz nowe wytyczne ochronne i wzmocniony monitoring w agencjach. Siedem sekretów klienta SSO w liście Dream opisano jako zrotowane, choć konwencje nazewnicze, które je wygenerowały, zostały już ujawnione.

Nic w materiałach przejrzanych na potrzeby tego tekstu nie odnotowuje aresztowania, działań likwidacyjnych, działania sankcyjnego ani formalnego wskazania sprawcy przez jakikolwiek rząd. Komponenty tego frameworka — Hermes i OpenClaw, oba open source i dostępne za darmo — pozostają dostępne, i właśnie taki wniosek wyciągnęli z tego komentatorzy tacy jak SC World: atak zmontowano z dwóch pobrań, których nie weryfikuje żaden proces zakupowy.

Rekord

Wpis, na którym opiera się ten artykuł, ma datę 12 sierpnia 2026, czyli pojedynczy dzień, bez daty końcowej. Jest to dzień, w którym nazwa stała się publiczna: badania, identyfikacja przez Financial Times i potwierdzenie przez The Register. Włamanie, które opisuje, datowane jest na 1–4 lipca 2026, a rekord mówi o tym, odsyłając do wcześniejszego wpisu z lipca, gdzie opisano pełniejszą historię. Jego pola to: rodzaj: incydent, zrealizowany incydent związany z AI; dotkliwość: niska; pewność: A; sporny: fałsz; rzeczywista szkoda: prawda; udział AI: potwierdzony; region: Tajwan; tag typu: WEAPON; przełomowy: fałsz.

Te pola znajdują się obok siebie bez sprzeczności. To, co zostało naruszone – według dowodów samego rekordu – to dane: akta personalne, poświadczenia i szczegóły sieci, pobrane z systemów rządowych oraz nieuwierzytelnionego punktu końcowego ministerstwa. Nie zostało natomiast naruszone – według tych samych dowodów – nic, co wykazano, że ma związek z operacjami jądrowymi lub energetycznymi. Archiwum ocenia dotkliwość jako niską i oznacza rzeczywistą szkodę jako prawdziwą; te dwa elementy opisują różne kwestie i oba należą do wpisu.