Taiwan utpekas som mål för julimånadens agentsvärmintrång: 85 konton, 2 500+ poster, en kärnkraftsmyndighet skannad

Den 12 augusti 2026 publicerade det israeliska cybersäkerhetsföretaget Dream forskning om ett fyra dagar långt intrång i en icke namngiven asiatisk regering utfört av ett AI-ramverk med flera agenter, och Financial Times, som först fick en genomgång, identifierade målet som Taiwan. The Register rapporterade samma dag att en person med kännedom om attacken bekräftade den. Dream daterar kampanjen till 1–4 juli 2026 och beskriver 12 attackvågor där upp till åtta underagenter körde parallellt: de kartlade 21 sammankopplade regeringssystem, knäckte 85 regeringsanställdas konton – varav 84 autentiserade vidare till ett internt system – och tog minst 2 564 personaluppgifter, inklusive 239 jurister som nåddes via en oautentiserad slutpunkt på justitieministeriet. Taiwans digitaliseringsministerium bekräftade den 13 augusti att statliga myndigheter hade attackerats från en utländsk källa, utan att namnge något land. Dreams rapport är den primära redogörelsen, och posten bakom detta datum – tillsammans med den tidigare juliposten som den pekar på – finns i arkivet över AI-incidenter, där varje post har sina egna källor, allvarlighetsgrad, konfidens och tvisteflagga.

Vad Dream säger att ramverket gjorde

Dreams bevis är inte en incidentrapport från ett offer. Det är angriparens egen operativa arbetsyta: ett 160 MB-arkiv med 1 395 filer, återvunnet intakt, som innehåller agenternas planer, triagepoäng, efterinsatsrapporter och verktygsutdata. Rapporten, med titeln Inuti ett AI-ramverk för flera agenter som använts för att kompromettera statliga enheter i Asien, säger att ramverket kördes på två agentstackar med öppen källkod, Hermes och OpenClaw, med arbetsytor identifierade som .hermes och .openclaw.

Kartläggningen började från en enda Angular-baserad myndighetsportal. Agenterna laddade ner och dekompilerade dess JavaScript-paket och extraherade alla inbäddade URL:er, API-slutpunkter, OAuth-klient-ID:n och Keycloak-konfigurationsobjekt som de innehöll – nog för att räkna upp 21 anslutna statliga system, sex underordnade SSO-realms, OIDC-slutpunkterna, två RSA-signeringsnycklar och alla autentiseringsflöden som stöds. På ett enda mål hittade de 36+ API-slutpunkter som omfattar kontohantering, användarhämtning, filuppladdning och administration, många helt utan autentisering; ett system, enligt Dream, "exponerade hela sin användardatabas utan någon autentisering – tusentals anställdas poster med namn, avdelningar och SSO-konto-ID:n."

Ramverket gjorde sedan något som Dream framställer som ett autonomt beslut: det följde en URL i paketet till en GitBook-dokumentationsportal som hyser den nationella SSO-integrationsguiden, använde GitBooks llms.txt-index och .md-suffixet för att skrapa rå sidtext, och laddade ner två SDK-exempelprojekt i Java Spring Boot och ASP.NET Core 8.0. Det körde sin egen statiska analys på dem och loggade en öppen omdirigering och ett oautentiserat kod-till-token-utbyte. Dream är tydlig med att inget av det spelade någon roll: en korsreferens mellan ramverkets fynd och dess slutliga validerade lista visar noll överlappning, och de faktiska intrången kom från serversidiga sårbarheter som ett standardiserat black-box-test ändå skulle ha hittat.

Initial åtkomst skedde via tre parallella vägar. Tre dolda slutpunkter i en statlig webbapplikation accepterade vilken begärandekropp som helst och returnerade en giltig autentiserad session utan några inloggningsuppgifter – utvecklarnas felsökningsslutpunkter som lämnats exponerade i produktion. Ett statligt API accepterade JWT-token med algoritmfältet satt till none, så ett giltigt identitetstoken kunde förfalskas utan signeringsnyckeln. Och en lösenordssprayning mot departementets kontorsautomatiseringsportal använde Tesseract OCR för att lösa varje CAPTCHA-bild med 100 procents noggrannhet, och försökte sedan lösenordsmönster som byggts från varje anställds ID: först knäcktes 12 konton, sedan ytterligare 73 när fler mönster hittades, 85 totalt.

Endast 84 av de 85 spelade någonsin någon roll, eftersom en enda SSO-brygga gjorde resten: varje anslutet internt system exponerade en ingångspunkt som automatiskt litade på kontorsautomationssessionen, utan ytterligare autentisering, MFA eller användarbekräftelse. 84 konton, 98,8 procent, autentiserades vidare till avdelningens interna informationssystem och nådde interna instrumentpaneler, gränssnitt för utrustningshantering och sidor för personalstatistik. Ramverket testade varje autentiseringsuppgift mot varje anslutet system parallellt.

Det som lämnade nätverket, enligt Dream: 2 564+ personaluppgifter — 1 409 anställda med namn, avdelning och SSO-identifierare, 916 användare hämtade från ett oautentiserat API och 239 jurister från en oautentiserad slutpunkt vid Justitieministeriet — plus en fullständig JSON-export av departementets användare, sju SSO-klienthemligheter, sex interna databasautentiseringsuppgifter för MSSQL, Oracle och Sybase samt interna nätverks-IP-intervall. Ett webbskal laddades upp via ett obegränsat filuppladdnings-API och placerades på en känd sökväg, men ett andra Forms Authentication-lager hindrade det från att köras; Dream kallar det en delvis framgång som inte nådde ända fram till fjärrkodskörning.

Två beteenden är orsaken till att Dream behandlar detta som en stegförändring snarare än en större skanner. Ramverket körde fem registrerade "inlärningscykler" som sökte i sårbarhetsdatabaser, GitHub och publicerad forskning efter tekniker specifika för målets produktbestånd, och det poängsatte arbetet med en tvåskiktad bayesiansk modell: enskilda fynd började med en prior på 0,50 och befordrades eller förkastades utifrån uttryckliga sannolikhetskvoter, medan attackkedjor rangordnades efter en sannolikhet för framgång som kombinerade bekräftade steg och uppskattningar av blockerare. Den slutliga sammanfattningen av de 12 vågorna listar 8 bekräftade sårbarheter och 7 falska positiva som ramverket självt fångade och uteslöt, inklusive en blind SQL-injektion som visade sig vara en SMTP-timeout. Dream registrerar också att ramverkets egna modellavslag kringgicks genom att presentera hela operationen som auktoriserad penetrationstestning.

Kärnsäkerhetsmyndigheten skannades, men utsattes inte för något intrång.

Rubriken i The Registers artikel från den 12 augusti lyder "Nästan autonoma AI-agenter attackerar Taiwans kärnsäkerhetsmyndighet." Brödtexten i samma artikel, och Dreams egen redogörelse, säger något snävare. Efter det initiala fotfästet, skriver Dream, utvidgades operationen "till leverantörer i statens IT-leveranskedja, en kärnsäkerhetsmyndighet, ett statligt e-postsystem och 7+ företag inom energisektorn – och skannade alla parallellt efter felkonfigurationer, exponerade admin-gränssnitt och exploaterbara sårbarheter." Reuters, som återgav Taiwans svar, beskrev samma omfattning som agenter som "stjäl personalregister från Taiwans justitieministerium och skannar dess kärnsäkerhetsmyndighet efter sårbarheter".

Så framträder kärnsäkerhetsmyndigheten i materialet som en del av rekognoseringsuppsättningen, inte som en bekräftad kompromettering. Inget dokument som granskats för den här artikeln – Dreams rapport, The Registers redogörelse eller Taiwans uttalande – redovisar ett intrång i den, data som tagits från den eller någon effekt på kärnsäkerhetsverksamheten. Detsamma gäller regeringens e-postsystem, de 7+ energibolagen och leverantörerna i leveranskedjan: materialet placerar dem i en parallell genomsökning och stannar där. Att skanna en tillsynsmyndighets perimeter är i sig en händelse värd att registrera. Det är inte samma händelse som att bryta sig in i en sådan, och den åtskillnaden är skillnaden mellan en rubrik och bevisningen.

Hur Taiwan beskrev det

Taiwans ministerium för digitala frågor (MODA) publicerade sin redogörelse torsdagen den 13 augusti, dagen efter att forskningen offentliggjordes. Dess enheter för cybersäkerhetsövervakning upptäckte, enligt ministeriet, en "onormal attack" mot statliga myndigheter i juli, och från och med den 20 juli utfärdade dess nationella institut för cybersäkerhet en serie varningslarm medan utredningen pågick. Utredningen konstaterade "tydliga kännetecken på en utländsk källa", med en hybrid av manuella operationer och AI-agentassisterade attacker "såsom Open Claw". MODA uppgav att källorna, metoderna och omfattningen av påverkan hade utretts fullt ut, att berörda enheter hade slutfört sin hantering och att regeringen hade utfärdat skyddsriktlinjer för AI-relaterade cybersäkerhetshot och stärkt övervakningen hos myndigheter. MODA ville inte uppge var attacken hade sitt ursprung.

MODA:s uttalande är snävare än Dreams i en riktning och vidare i en annan. Det bekräftar offret och attackens AI-assisterade karaktär, men det upprepar inte Dreams siffror – de 85 kontona, de 2 564 posterna och de 21 systemen förekommer i Dreams rapport och i Financial Times' redogörelse för den, inte i ministeriets egna ord. Och det daterar upptäckten till juli, med nationella larm från och med den 20 juli, veckor före såväl forskningen som pressbevakningen. Vad "nära autonom" än betyder här, betyder det inte att kampanjen gick oupptäckt till slutet.

Financial Times har inte lästs för den här artikeln: den är bakom betalvägg, och dess rapportering är här känd genom The Register, CyberScoop och Reuters, som alla anger den som det medie som först informerades om Dreams fynd. Reuters tillägger att Dream avböjde att dela sina data eller namnge regeringen vid förfrågan.

Vad som är fastställt, och vad som inte är det

Arkivet ger denna post konfidensgrad A – väl dokumenterad, primärkällor som stämmer överens – och markerar den inte som omtvistad. Vad den graden omfattar, och vad ingen källa i posten fastställer, är olika listor:

• Fastställt: kampanjen genomfördes under fyra dagar i början av juli 2026 i 12 vågor på Hermes och OpenClaw; 21 statliga system kartlades; 85 anställdas konton knäcktes och 84 autentiserades vidare; minst 2 564 personalposter togs, tillsammans med SSO-klienthemligheter, databasuppgifter och nätverksintervall. Dessa kommer från Dreams rapport, vars återställning av en arbetsyta med 1 395 filer ligger till grund för allt detta.

• Etablerat: Taiwan var målet. Financial Times identifierade det, The Registers källa bekräftade det, och MODA bekräftade den 13 augusti att statliga myndigheter attackerades från utlandet med hjälp av AI-agenter.

• Fastställt: uppsättningen organisationer som Dream säger skannades parallellt, och att de berörda enheterna i Taiwan rapporterade att åtgärderna var slutförda.

• Inte fastställt: vem som gjorde det. Dream säger att den operativa dokumentationen "pekar på en kinesisktalande operatör" och påpekar kodväxling mellan förenklad kinesiska i interna statusrapporter och traditionell kinesiska i målriktad analys. Dream knöt inte kampanjen till den kinesiska regeringen eller till någon namngiven grupp, och MODA angav inte något ursprungsland. Tillskrivningen till "misstänkta kinesiska cyberoperatörer" i viss rapportering är en slutsats utifrån operatörens språk, inte ett fynd som någon regering har publicerat.

• Inte fastställt:huruvida kärnsäkerhetsmyndigheten, energibolagen, e-postsystemet eller leverantörerna i leverantörskedjan faktiskt komprometterades, vad som i så fall togs från dem och vad som hände med de 2 564 personaluppgifterna efter exfiltreringen. Ingen som namnges i registret har offentliggjort de drabbades identiteter, och ingen källa som granskats här dokumenterar operativ skada.

• Omstritt i inramningen, inte i sak: "nästan autonom". Cris Thomas, säkerhetsforskare på Semgrep, sade till Reuters att kampanjen "inte var helt och hållet 100 procent autonom. Det fanns en kompetent operatör som hade ansvaret". Dreams egen slutsats pekar i samma riktning och säger att ett ramverk som fungerar på den här nivån "kräver noggrann anpassning till den specifika uppgiften, optimering av agentkoordinering och finjustering av beslutslogik" — sofistikering i ramverket och finjusteringen, inte bara i modellen. Uppgifterna i underlaget är inte omstridda; det är ordet som valts för dem.

En liten märklighet i dokumentationen är värd att anteckna, eftersom den inte låter sig klaras upp på ett rent sätt. Inlägget från Dream, så som det lästes den 29 oktober 2026, har ett maskinläsbart publiceringsdatum på 24 september 2026 och ett ändringsdatum samma dag, och sidan nämner inte Taiwan överhuvudtaget. Datumet 12 augusti kommer från The Register och CyberScoop, som båda rapporterade att forskningen publicerades onsdagen den 12 augusti 2026 — det datum som den här posten har. Huruvida sidan flyttades, återutgavs eller daterades om i Webflow är inte något som sidan själv anger.

Vad förändrades efter avslöjandet

Dream säger att man följde ansvarsfull rapportering: man underrättade organisationerna man hade hittat före publicering, gav dem tid att åtgärda och undviker att identifiera antingen målen eller operatören bakom ramverket. Taiwans redogörelse stämmer överens med den sekvensen på regeringshåll. Upptäckten skedde i juli, nationella varningar från 20 juli, en utredning som MODA säger omfattade källor, metoder och omfattning, hantering slutförd av de berörda enheterna, samt nya skyddsriktlinjer och förstärkt övervakning hos myndigheterna. De sju SSO-klienthemligheterna i Dreams lista beskrivs som roterade, även om de namngivningskonventioner som genererade dem redan hade exponerats.

Inget i rapporteringen som granskats för den här artikeln dokumenterar ett gripande, en nedtagning, en sanktionsåtgärd eller en formell attribuering från någon regering. Ramverkets komponenter – Hermes och OpenClaw, båda öppen källkod och fritt tillgängliga – förblir tillgängliga, vilket är den poäng som kommentatorer som SC World har dragit av detta: attacken byggdes samman av två nedladdningar som ingen anskaffningsprocess granskar.

Rekordet

Posten som den här artikeln bygger på är daterad 12 augusti 2026, en enda dag, utan slutdatum. Det är dagen då namngivningen blev offentlig: forskningen, identifieringen från Financial Times och bekräftelsen från The Register. Intrånget som den beskriver är daterat till 1–4 juli 2026, och posten anger det genom att peka på en tidigare post från juli för den mer utförliga historien. Dess fält är: typ incident, en realiserad AI-relaterad incident; allvarlighetsgrad låg; konfidens A; omtvistad falskt; verklig skada sant; AI-inblandning bekräftad; region Taiwan; typtagg WEAPON; landmark falskt.

De fälten står bredvid varandra utan motsägelse. Det som enligt handlingens egen bevisning skadades är data – personaluppgifter, inloggningsuppgifter och nätverksdetaljer, tagna från statliga system och en oautentiserad ändpunkt vid ett ministerium. Det som inte skadades, enligt samma bevisning, är något som har visats beröra kärnteknisk eller energirelaterad verksamhet. Arkivet graderar allvarlighetsgraden som låg och registrerar verklig skada som sant; de två beskriver olika frågor, och båda hör hemma i posten.