Taiwan é identificada como alvo da intrusão por enxame de agentes de julho: 85 contas, mais de 2.500 registros, uma agência nuclear escaneada

Em 12 de agosto de 2026, a empresa israelense de cibersegurança Dream publicou pesquisas sobre uma intrusão de quatro dias em um governo asiático não identificado por uma estrutura de IA multiagente, e o Financial Times, que foi informado primeiro, identificou o alvo como Taiwan. The Register noticiou no mesmo dia que uma pessoa familiarizada com o ataque confirmou o ocorrido. A Dream data a campanha entre 1 e 4 de julho de 2026 e descreve 12 ondas de ataque nas quais até oito subagentes operaram em paralelo: eles mapearam 21 sistemas governamentais conectados, invadiram 85 contas de funcionários do governo — 84 das quais se autenticaram subsequentemente em um sistema interno — e obtiveram pelo menos 2.564 registros de pessoal, incluindo 239 profissionais jurídicos alcançados por meio de um endpoint não autenticado do Ministério da Justiça. O Ministério de Assuntos Digitais de Taiwan confirmou em 13 de agosto que agências governamentais haviam sido atacadas a partir de uma fonte estrangeira, sem nomear um país. O relatório da Dream é o relato principal, e o registro por trás desta data — juntamente com o registro anterior de julho ao qual ele remete — encontra-se em o arquivo de incidentes de IA, onde cada registro traz suas próprias fontes, gravidade, confiança e sinalização de disputa.

O que Dream diz que o framework fez

As evidências do Dream não são um relato de incidente da vítima. São o próprio espaço de trabalho operacional do atacante: um arquivo de 160 MB com 1.395 arquivos, recuperado intacto, contendo os planos dos agentes, pontuações de triagem, relatórios pós-ação e a saída das ferramentas. O relatório, intitulado Por dentro de um framework de IA multiagente usado para comprometer entidades governamentais na Ásia, afirma que o framework foi executado em duas pilhas de agentes de código aberto, Hermes e OpenClaw, com espaços de trabalho identificados como .hermes e .openclaw.

O reconhecimento começou a partir de um único portal governamental Angular. Os agentes baixaram e descompilaram seus bundles JavaScript e extraíram todas as URLs embutidas, endpoints de API, IDs de cliente OAuth e objetos de configuração do Keycloak que eles continham — o suficiente para enumerar 21 sistemas governamentais conectados, seis sub-reinos de SSO, os endpoints OIDC, duas chaves de assinatura RSA e todos os fluxos de autenticação suportados. Em um único alvo, encontraram mais de 36 endpoints de API abrangendo gerenciamento de contas, recuperação de usuários, upload de arquivos e administração, muitos sem qualquer autenticação; um sistema, nas palavras de Dream, "expôs todo o seu banco de dados de usuários sem nenhuma autenticação — milhares de registros de funcionários, incluindo nomes, departamentos e IDs de contas SSO".

O framework então fez algo que Dream apresenta como uma decisão autônoma: ele seguiu uma URL no bundle até um portal de documentação do GitBook que hospeda o guia nacional de integração de SSO, e usou do GitBook o llms.txt como índice e o .md como sufixo para raspar o texto bruto da página, e baixou dois projetos de exemplo de SDK, em Java Spring Boot e ASP.NET Core 8.0. Ele executou sua própria análise estática sobre eles e registrou um redirecionamento aberto e uma troca não autenticada de código por token. Dream é explícito ao dizer que nada disso importou: o cruzamento das descobertas do framework com sua lista final validada mostra zero sobreposição, e as violações reais vieram de falhas do lado do servidor que um teste black-box padrão teria encontrado de qualquer forma.

O acesso inicial veio de três rotas executadas em paralelo. Três endpoints ocultos em uma aplicação web governamental aceitavam qualquer corpo de requisição e retornavam uma sessão autenticada válida sem credenciais — endpoints de depuração de desenvolvedor deixados expostos em produção. Uma API governamental aceitava tokens JWT com o campo de algoritmo definido como none, então um token de identidade válido podia ser forjado sem a chave de assinatura. E uma pulverização de credenciais contra o portal de automação de escritório do departamento usou Tesseract OCR para resolver cada imagem de CAPTCHA com 100% de precisão, depois tentou padrões de senha construídos a partir do ID de cada funcionário: inicialmente 12 contas comprometidas, depois mais 73 à medida que mais padrões foram encontrados, 85 no total.

Apenas 84 das 85 alguma vez importaram, porque uma única ponte SSO fazia o resto: cada sistema interno conectado expunha um ponto de entrada que confiava automaticamente na sessão de automação de escritório, sem qualquer autenticação adicional, MFA ou confirmação do utilizador. 84 contas, 98,8 por cento, autenticaram-se em seguida no sistema de informação interno do departamento, alcançando painéis internos, interfaces de gestão de equipamentos e páginas de estatísticas de pessoal. A framework testou cada credencial contra cada sistema conectado em paralelo.

O que saiu da rede, segundo o Dream: 2.564+ registros de pessoal — 1.409 funcionários com nome, departamento e identificador SSO, 916 usuários extraídos de uma API não autenticada, e 239 profissionais jurídicos de um endpoint não autenticado do Ministério da Justiça — além de uma exportação JSON completa dos usuários do departamento, sete segredos de cliente SSO, seis credenciais de banco de dados interno em MSSQL, Oracle e Sybase, e faixas de IP da rede interna. Um web shell foi enviado por uma API de upload de arquivos sem restrições e colocado em um caminho conhecido, mas uma segunda camada de Forms Authentication impediu sua execução; o Dream chama isso de sucesso parcial que ficou aquém da execução remota de código.

Dois comportamentos são a razão pela qual o Dream trata isto como uma mudança de patamar, e não como um scanner maior. O framework executou cinco "ciclos de aprendizagem" registrados que pesquisaram bases de dados de vulnerabilidades, o GitHub e pesquisas publicadas em busca de técnicas específicas para o parque de produtos do alvo, e pontuou o trabalho com um modelo bayesiano de duas camadas: achados individuais começaram com uma probabilidade a priori de 0,50 e foram promovidos ou descartados com base em razões de verossimilhança explícitas, enquanto as cadeias de ataque foram classificadas por uma probabilidade de sucesso que combinava etapas confirmadas e estimativas de bloqueadores. O resumo final de 12 ondas lista 8 vulnerabilidades confirmadas e 7 falsos positivos que o próprio framework detectou e excluiu, incluindo uma injeção SQL cega que acabou sendo um timeout de SMTP. O Dream também registra que as recusas do próprio modelo do framework foram contornadas ao enquadrar toda a operação como um teste de penetração autorizado.

A agência de segurança nuclear foi escaneada, não violada.

O título da matéria do The Register de 12 de agosto diz: “Agentes de IA quase autônomos atacam a agência de segurança nuclear de Taiwan.” O corpo da mesma matéria, e o próprio texto publicado pela Dream, dizem algo mais restrito. Segundo a Dream escreve, após o ponto de apoio inicial, a operação “se expandiu para fornecedores da cadeia de suprimentos de TI do governo, uma agência de segurança nuclear, um sistema de e-mail do governo e 7+ empresas do setor de energia — escaneando todas em paralelo em busca de configurações incorretas, interfaces administrativas expostas e vulnerabilidades exploráveis.” A Reuters, divulgando a resposta de Taiwan, descreveu o mesmo escopo como agentes que “roubam registros de pessoal do ministério da Justiça de Taiwan e escaneiam sua agência de segurança nuclear em busca de vulnerabilidades”.

Assim, a agência de segurança nuclear aparece no registro como parte do conjunto de reconhecimento, não como um comprometimento confirmado. Nenhum documento revisado para esta matéria — o relatório da Dream, o relato do The Register ou a declaração de Taiwan — registra uma intrusão nela, dados dela retirados ou qualquer efeito sobre as operações de segurança nuclear. O mesmo vale para o sistema de e-mail do governo, as mais de 7 empresas de energia e os fornecedores da cadeia de suprimentos: o registro os coloca em uma varredura paralela, e para por aí. Varrer o perímetro de um regulador é, por si só, um evento digno de registro. Não é o mesmo evento que violar esse perímetro, e a distinção é a diferença entre uma manchete e a evidência.

Como Taiwan o descreveu

O Ministério de Assuntos Digitais de Taiwan (MODA) divulgou seu relato na quinta-feira, 13 de agosto, um dia após a pesquisa se tornar pública. Segundo ele, suas unidades de monitoramento de segurança cibernética detectaram um "ataque anormal" contra agências governamentais em julho e, a partir de 20 de julhoseu Instituto Nacional de Segurança Cibernética (National Institute of Cyber Security) emit... uma série de alertas de advertência durante a investigação. A investigação constatou "características claras de uma fonte no exterior", com uma combinação de operações manuais e ataques assistidos por agentes de IA "como Open Claw". O MODA afirmou que as fontes, os métodos e o escopo do impacto haviam sido totalmente investigados, que as unidades afetadas haviam concluído seu tratamento, e que o governo havia emitido diretrizes de proteção para ameaças de segurança cibernética relacionadas à IA e reforçado o monitoramento em todas as agências. Ele se recusou a dizer de onde o ataque se originou.

A declaração da MODA é mais estreita que a da Dream numa direção e mais ampla em outra. Confirma a vítima e o caráter assistido por IA do ataque, mas não repete as contagens da Dream — as 85 contas, os 2.564 registros e os 21 sistemas aparecem no relatório da Dream e na reportagem do Financial Times sobre ele, não nas palavras do próprio ministério. E situa a detecção em julho, com alertas nacionais a partir de 20 de julho, semanas antes tanto da pesquisa quanto da cobertura da imprensa. O que quer que "quase autônomo" signifique aqui, não significa que a campanha tenha corrido sem ser detectada até o fim.

O Financial Times não foi lido para esta matéria: está sob paywall, e sua reportagem é conhecida aqui por meio do The Register, do CyberScoop e da Reuters, que o citam como o veículo que primeiro foi informado sobre as descobertas da Dream. A Reuters acrescenta que a Dream se recusou a compartilhar seus dados ou a nomear o governo quando procurada.

O que está estabelecido e o que não está

O arquivo classifica este registro com confiança A — bem documentado, fontes primárias que concordam — e não o marca como disputado. O que essa classificação abrange, e o que nenhuma fonte no registro resolve, são listas diferentes:

• Estabelecido: a campanha ocorreu ao longo de quatro dias no início de julho de 2026, em 12 ondas no Hermes e no OpenClaw; 21 sistemas governamentais foram mapeados; 85 contas de funcionários foram comprometidas e 84 autenticadas em seguida; pelo menos 2.564 registros de pessoal foram obtidos, junto com segredos de cliente de SSO, credenciais de banco de dados e faixas de rede. Esses dados vêm do relatório de Dream, cuja recuperação do espaço de trabalho de 1.395 arquivos é a base de tudo isso.

• Estabelecido:Taiwan era o alvo. O Financial Times identificou isso, a fonte do The Register confirmou, e a MODA confirmou em 13 de agosto que agências governamentais foram atacadas do exterior com assistência de agentes de IA.

• Estabelecido: o conjunto de organizações que a Dream afirma terem sido verificadas em paralelo, e que a remediação foi reportada como concluída pelas unidades afetadas em Taiwan.

• Não estabelecido: quem o fez. A Dream afirma que a documentação operacional “aponta para um operador de língua chinesa” e observa a alternância entre chinês simplificado nos relatórios de status internos e chinês tradicional nas análises voltadas aos alvos. A Dream não atribuiu a campanha ao governo chinês nem a qualquer grupo nomeado, e a MODA não nomeou um país de origem. A atribuição a “suspostos agentes cibernéticos chineses” em algumas reportagens é uma inferência a partir do idioma do operador, não uma conclusão publicada por qualquer governo.

• Não estabelecido: se a agência de segurança nuclear, as empresas de energia, o sistema de e-mail ou os fornecedores da cadeia de suprimentos foram de fato comprometidos, o que lhes foi levado, se algo, e o que aconteceu com os 2.564 registros de pessoal após a exfiltração. Ninguém citado no registro publicou identidades das vítimas, e nenhuma fonte revisada aqui documenta danos operacionais.

• Contestado na formulação, não nos fatos: "quase autônomo". Cris Thomas, pesquisador de segurança da Semgrep, disse à Reuters que a campanha "não era totalmente 100% autônoma. Havia um operador competente no comando". A própria conclusão do Dream aponta na mesma direção, afirmando que uma estrutura que funciona nesse nível "exige ajuste cuidadoso à tarefa específica, otimização da coordenação dos agentes e ajuste fino da lógica de decisão" — sofisticação no arcabouço e no ajuste, não apenas no modelo. Os fatos registrados não estão em disputa; a palavra escolhida para eles é.

Vale registrar uma pequena curiosidade documental, porque ela não se resolve de forma clara. O post de Dream, conforme lido em 29 de outubro de 2026, traz uma data de publicação legível por máquina de 24 de setembro de 2026 e uma data de modificação no mesmo dia, e a página não contém nenhuma menção a Taiwan. A data de 12 de agosto vem de The Register e CyberScoop, ambos os quais noticiaram a pesquisa como publicada na quarta-feira, 12 de agosto de 2026 — a data que esta entrada traz. Se a página foi movida, reemitida ou teve a data alterada no Webflow não é algo que a própria página diga.

O que mudou após a divulgação

A Dream afirma que seguiu a divulgação responsável: notificou as organizações que encontrou antes da publicação, deu-lhes tempo para corrigir e evita identificar tanto os alvos quanto o operador por trás da estrutura. O relato de Taiwan é consistente com essa sequência no lado governamental. A deteção ocorreu em julho, os alertas nacionais a partir de 20 de julho, uma investigação que a MODA diz ter abrangido fontes, métodos e âmbito, o tratamento concluído pelas unidades afetadas e novas diretrizes de proteção, além de monitoramento reforçado em todas as agências. Os sete segredos de cliente SSO na lista da Dream são descritos como rotacionados, embora as convenções de nomenclatura que os geraram já tivessem sido expostas.

Nada na cobertura revisada para esta matéria registra uma prisão, uma derrubada, uma ação de sanções ou uma atribuição formal por qualquer governo. Os componentes do framework — Hermes e OpenClaw, ambos de código aberto e obtidos gratuitamente — permanecem disponíveis, que é o ponto que comentaristas como SC World extraíram disso: o ataque foi montado a partir de dois downloads que nenhum processo de aquisição avalia.

O registro

A entrada na qual este artigo se baseia está datada de 12 de agosto de 2026, um único dia, sem data de término. Esse é o dia em que a nomenclatura se tornou pública: a pesquisa, a identificação pelo Financial Times e a confirmação do The Register. A intrusão que ele descreve está datada de 1 a 4 de julho de 2026, e o registro o indica apontando para uma entrada anterior de julho para a história mais completa. Seus campos são: tipo incidente, um incidente relacionado à IA concretizado; severidade baixa; confiança A; contestado falso; dano real verdadeiro; envolvimento de IA confirmado; região Taiwan; tag de tipo WEAPON; marco falso.

Esses campos ficam lado a lado sem contradição. O que foi prejudicado, segundo as próprias evidências do registro, são dados — registros de pessoal, credenciais e detalhes de rede, obtidos de sistemas governamentais e de um endpoint ministerial não autenticado. O que não foi prejudicado, com base nas mesmas evidências, é qualquer coisa que se tenha demonstrado ter relação com operações nucleares ou energéticas. O arquivo classifica a gravidade como baixa e registra dano real como verdadeiro; os dois descrevem questões diferentes, e ambos pertencem à entrada.