Тайвань назван целью июльского вторжения с использованием роя агентов: 85 аккаунтов, более 2 500 записей, сканирование ядерного агентства.

12 августа 2026 года израильская компания по кибербезопасности Dream опубликовала исследование о четырёхдневном вторжении в правительство неназванной азиатской страны, совершённом с помощью мультиагентной ИИ-платформы, а Financial Times, которая первой получила брифинг, назвала целью Тайвань. The Register в тот же день сообщил, что человек, знакомый с атакой, подтвердил это. Dream относит кампанию к 1–4 июля 2026 года и описывает 12 волн атак, в ходе которых до восьми субагентов работали параллельно: они нанесли на карту 21 связанную государственную систему, взломали 85 учётных записей государственных служащих — 84 из которых впоследствии аутентифицировались во внутренней системе — и похитили не менее 2 564 кадровых записей, включая 239 юристов, доступ к которым получили через неаутентифицированную конечную точку Министерства юстиции. 13 августа Министерство цифровых технологий Тайваня подтвердило, что государственные органы подверглись атаке из зарубежного источника, не назвав страну. Отчёт Dream является основным описанием, а запись, стоящая за этой датой, — наряду с более ранней июльской записью, на которую она указывает, — находится в архиве инцидентов с ИИ, где каждая запись содержит собственные источники, уровень серьёзности, степень уверенности и флаг спорности.

Что, по словам Dream, сделал фреймворк

Доказательства Dream — это не отчёт жертвы об инциденте. Это собственное операционное рабочее пространство атакующего: архив на 160 МБ из 1 395 файлов, полученный в неповреждённом виде и содержащий планы агентов, оценки триажа, отчёты по итогам действий и выходные данные инструментов. В публикации под названием «Внутри многоагентного AI-фреймворка, используемого для компрометации государственных организаций в Азии» говорится, что фреймворк работал на двух стеках агентов с открытым исходным кодом — Hermes и OpenClaw, причём рабочие пространства обозначены как .hermes и .openclaw.

Разведка началась с одного государственного портала на Angular. Агенты скачали и декомпилировали его JavaScript-бандлы и извлекли все содержавшиеся в них встроенные URL, конечные точки API, идентификаторы клиентов OAuth и объекты конфигурации Keycloak — этого хватило, чтобы перечислить 21 подключённую государственную систему, шесть субреалмов SSO, конечные точки OIDC, два ключа подписи RSA и все поддерживаемые потоки аутентификации. Только на одной цели они обнаружили 36+ конечных точек API, охватывающих управление учётными записями, получение данных пользователей, загрузку файлов и администрирование, причём многие вообще без аутентификации; одна система, по словам Dream, «открыла всю свою базу пользователей без какой-либо аутентификации — тысячи записей сотрудников, включая имена, отделы и идентификаторы учётных записей SSO».

Затем фреймворк сделал нечто, что Dream представляет как автономное решение: он перешёл по URL из пакета на портал документации GitBook, где размещено национальное руководство по интеграции SSO, и использовал GitBook llms.txt-индекс и .md-суффикс, чтобы извлечь необработанный текст страницы, и скачал два примера проектов SDK на Java Spring Boot и ASP.NET Core 8.0. Он запустил собственный статический анализ по ним и зафиксировал открытый редирект и неаутентифицированный обмен кода на токен. Dream прямо говорит, что всё это не имело значения: сопоставление находок фреймворка с его окончательным проверенным списком показывает нулевое пересечение, а фактические взломы произошли из-за серверных уязвимостей, которые стандартный тест методом чёрного ящика всё равно бы обнаружил.

Первоначальный доступ был получен через три маршрута, действовавших параллельно. Три скрытых эндпоинта в государственном веб-приложении принимали любое тело запроса и возвращали валидную аутентифицированную сессию без учетных данных — отладочные эндпоинты разработчика, оставленные открытыми в производственной среде. Государственный API принимал JWT-токены с полем algorithm, установленным в none, поэтому валидный токен идентификации можно было подделать без ключа подписи. А атака перебором учетных данных на портал офисной автоматизации департамента использовала Tesseract OCR для распознавания каждого изображения CAPTCHA со 100-процентной точностью, затем пробовала шаблоны паролей, построенные на основе ID каждого сотрудника: сначала были взломаны 12 учетных записей, затем еще 73 по мере обнаружения новых шаблонов, всего 85.

Имели значение только 84 из 85, поскольку всё остальное обеспечивал единственный SSO-мост: каждая подключённая внутренняя система предоставляла точку входа, которая автоматически доверяла сеансу офисной автоматизации — без дополнительной аутентификации, MFA или подтверждения пользователя. 84 учётные записи, 98,8 процента, проходили аутентификацию далее во внутренней информационной системе департамента, получая доступ к внутренним панелям мониторинга, интерфейсам управления оборудованием и страницам статистики персонала. Фреймворк проверял каждые учётные данные во всех подключённых системах параллельно.

Что покинуло сеть, по данным Dream: 2 564+ кадровых записей — 1 409 сотрудников с именем, отделом и идентификатором SSO, 916 пользователей, полученных из неаутентифицированного API, и 239 специалистов юридического профиля из неаутентифицированной конечной точки Министерства юстиции — а также полный экспорт JSON пользователей департамента, семь клиентских секретов SSO, шесть учётных данных внутренних баз данных для MSSQL, Oracle и Sybase и диапазоны IP-адресов внутренней сети. Веб-шелл был загружен через API неограниченной загрузки файлов и размещён по известному пути, но второй слой Forms Authentication остановил его выполнение; Dream называет это частичным успехом, не дотянувшим до удалённого выполнения кода.

Две особенности поведения — вот почему Dream считает это качественным скачком, а не просто более масштабным сканером. Фреймворк провёл пять задокументированных «циклов обучения», в ходе которых осуществлялся поиск в базах данных уязвимостей, на GitHub и в опубликованных исследованиях методов, специфичных для продуктового парка цели, а работа оценивалась с помощью двухуровневой байесовской модели: отдельные находки начинали с априорной вероятности 0,50 и повышались или отбрасывались на основе явных отношений правдоподобия, тогда как цепочки атак ранжировались по вероятности успеха, сочетающей подтверждённые шаги и оценки блокирующих факторов. Итоговая сводка по 12 волнам перечисляет 8 подтверждённых уязвимостей и 7 ложноположительных срабатываний, которые фреймворк сам выявил и исключил, включая слепую SQL-инъекцию, которая оказалась тайм-аутом SMTP. Dream также отмечает, что отказы модели самого фреймворка были обойдены путём представления всей операции как авторизованного тестирования на проникновение.

Агентство по ядерной безопасности было просканировано, но не взломано

Заголовок статьи The Register от 12 августа гласит: «Почти автономные ИИ-агенты атакуют агентство по ядерной безопасности Тайваня». В основном тексте той же статьи и в собственной публикации Dream говорится о более узком масштабе. После первоначального закрепления, пишет Dream, операция «распространилась на поставщиков из цепочки поставок государственных ИТ, агентство по ядерной безопасности, государственную систему электронной почты и 7+ компаний энергетического сектора — все они параллельно сканировались на предмет ошибок конфигурации, открытых административных интерфейсов и уязвимостей, пригодных для эксплуатации». Reuters, публикуя ответ Тайваня, описало тот же масштаб как действия агентов, которые «похищают кадровые записи министерства юстиции Тайваня и сканируют его агентство по ядерной безопасности на предмет уязвимостей».

Итак, агентство по ядерной безопасности фигурирует в записях как часть набора для разведки, а не как подтверждённый взлом. Ни один документ, изученный для этой статьи — отчёт Dream, материал The Register или заявление Тайваня — не фиксирует вторжения в него, похищения из него данных или какого-либо влияния на операции в сфере ядерной безопасности. То же самое относится к правительственной системе электронной почты, более чем 7 энергетическим компаниям и поставщикам в цепочке поставок: в записях они отнесены к параллельному сканированию, и на этом всё заканчивается. Сканирование периметра регулирующего органа само по себе является событием, заслуживающим фиксации. Но это не то же самое событие, что и взлом периметра, и эта разница — разница между заголовком и доказательством.

Как Тайвань это описал

Министерство цифрового развития Тайваня (MODA) опубликовало свой отчет в четверг, 13 августа, через день после публикации исследования. Его подразделения мониторинга кибербезопасности, как оно сообщило, в июле обнаружили «аномальную атаку» на государственные учреждения, и с 20 июля его Национальный институт кибербезопасности в ходе расследования выпустил серию предупреждений. Расследование выявило «явные признаки зарубежного источника», а также сочетание ручных операций и атак с помощью ИИ-агентов «таких как Open Claw». MODA сообщило, что источники, методы и масштаб воздействия были полностью расследованы, что пострадавшие подразделения завершили обработку инцидентов, и что правительство выпустило рекомендации по защите от связанных с ИИ угроз кибербезопасности и усилило мониторинг во всех ведомствах. Оно отказалось сообщить, откуда исходила атака.

Заявление MODA в одном отношении уже, чем заявление Dream, а в другом — шире. Оно подтверждает наличие пострадавшего и характер атаки с использованием ИИ, но не повторяет цифры Dream — 85 аккаунтов, 2 564 записи и 21 система фигурируют в отчёте Dream и в его изложении в Financial Times, а не в собственных словах министерства. К тому же обнаружение датируется июлем, а национальные предупреждения — с 20 июля, за несколько недель до появления как исследования, так и публикаций в прессе. Что бы здесь ни означало «почти автономный», это не означает, что кампания велась незамеченной до самого конца.

Financial Times для этой статьи не читали: доступ к ней платный, а о её материале здесь известно через The Register, CyberScoop и Reuters — все они указывают на неё как на издание, первым получившее информацию о выводах Dream. Reuters добавляет, что Dream отказалась поделиться своими данными или назвать правительство, когда к ней обратились.

Что установлено, а что — нет

Архив оценивает достоверность этой записи как A — хорошо документирована, первоисточники согласуются между собой — и не отмечает её как спорную. Что охватывает эта оценка и что не проясняет ни один источник в записи, — это разные списки:

• Установлено: кампания проводилась в течение четырех дней в начале июля 2026 года в 12 волнах на Hermes и OpenClaw; была составлена карта 21 государственной системы; 85 учетных записей сотрудников были взломаны, а 84 из них прошли дальнейшую аутентификацию; было похищено не менее 2 564 кадровых записей, а также клиентские секреты SSO, учетные данные баз данных и диапазоны сетей. Эти данные взяты из отчета Dream, а восстановление его рабочего пространства из 1 395 файлов лежит в основе всего этого.

• Установлено: Целью был Тайвань. Financial Times это установила, источник The Register это подтвердил, а MODA 13 августа подтвердила, что на государственные учреждения были совершены атаки из-за рубежа при содействии ИИ-агентов.

• Установлено: перечень организаций, которые, по словам Dream, сканировались параллельно, и то, что затронутые подразделения на Тайване сообщили о завершении устранения последствий.

• Не установлено: кто это сделал. Dream утверждает, что операционная документация «указывает на китайскоязычного оператора», и отмечает переключение между упрощённым китайским во внутренних отчётах о статусе и традиционным китайским в анализе, предназначенном для целевой аудитории. Dream не приписывал кампанию китайскому правительству или какой-либо названной группе, а MODA не назвала страну происхождения. Приписывание «предполагаемым китайским кибероператорам» в некоторых публикациях является выводом из языка оператора, а не выводом, опубликованным каким-либо правительством.

• Не установлено: были ли действительно скомпрометированы агентство по ядерной безопасности, энергетические компании, система электронной почты или поставщики в цепочке поставок; что у них было похищено, если вообще было; и что стало с 2 564 записями о персонале после эксфильтрации. Никто из упомянутых в записи не опубликовал личности пострадавших, и ни один из рассмотренных здесь источников не документирует операционный ущерб.

• Спорна формулировка, а не факты: «почти автономна». Крис Томас, исследователь безопасности в Semgrep, сказал Reuters, что кампания «не была полностью на 100% автономной. За ней стоял компетентный оператор». Собственный вывод Dream указывает на то же: фреймворк, работающий на этом уровне, «требует тщательной адаптации к конкретной задаче, оптимизации координации агентов и тонкой настройки логики принятия решений» — продуманность в обвязке и настройке, а не в одной только модели. Факты, приведённые в записи, не оспариваются; оспаривается выбранное для них слово.

Об одной мелкой документальной странности стоит упомянуть, поскольку она не разрешается однозначно. Публикация Dream в том виде, в каком она читается на 29 октября 2026 года, несёт машиночитаемую дату публикации 24 сентября 2026 г. и дату изменения в тот же день, а страница вообще не содержит упоминания Тайваня. Дата 12 августа происходит из The Register и CyberScoop — оба издания сообщили об исследовании как опубликованном в среду, 12 августа 2026 г., — дата, которую несёт эта запись. Была ли страница перемещена, переиздана или получила новую дату в Webflow, сама страница об этом не сообщает.

Что изменилось после раскрытия

{{1}}Dream утверждает, что действовал в соответствии с принципами ответственного раскрытия: до публикации уведомил обнаруженные им организации, дал им время на устранение проблем и избегает идентификации как целей, так и оператора, стоящего за фреймворком. Версия Тайваня согласуется с этой последовательностью на стороне правительства. Обнаружение произошло в июле; общенациональные оповещения начались 20 июля; расследование, которое, по словам MODA, охватывало источники, методы и масштаб; меры реагирования, завершённые затронутыми подразделениями; новые рекомендации по защите, а также усиленный мониторинг во всех ведомствах. Семь клиентских секретов SSO в списке Dream описываются как перевыпущенные, хотя правила именования, на основе которых они были созданы, уже были раскрыты.{{/1}}

Ни в одной публикации, изученной для этой статьи, не зафиксированы арест, блокировка, санкционные меры или официальная атрибуция со стороны какого-либо правительства. Компоненты фреймворка — Hermes и OpenClaw, оба с открытым исходным кодом и свободно распространяемые, — по-прежнему доступны, и именно на это обращают внимание такие комментаторы, как SC World: атака была собрана из двух загрузок, которые не проверяет ни одна процедура закупки.

Запись

Запись, на которой основана эта статья, датирована 12 августа 2026 года — один день, без даты окончания. Это день, когда название стало публичным: исследование, идентификация Financial Times и подтверждение The Register. Описываемое в ней вторжение датируется 1–4 июля 2026 года, и запись сообщает об этом, отсылая к более ранней июльской записи для более полного изложения. Её поля: kind — incident, реализовавшийся инцидент, связанный с ИИ; severity — low; confidence — A; disputed — false; real harm — true; AI involvement — confirmed; region — Taiwan; type tag — WEAPON; landmark — false.

Эти поля стоят рядом друг с другом без противоречия. Согласно собственным данным записи, ущерб был нанесён данным — кадровым записям, учётным данным и сетевым сведениям, взятым из государственных систем и неаутентифицированной конечной точки министерства. Согласно тем же данным, не пострадало ничего, что, как было показано, связано с ядерными или энергетическими операциями. Архив оценивает серьёзность как низкую и фиксирует реальный ущерб как true; эти два параметра описывают разные вопросы, и оба должны присутствовать в записи.