Đài Loan được xác định là mục tiêu của vụ xâm nhập bằng bầy tác tử hồi tháng 7: 85 tài khoản, hơn 2.500 bản ghi, một cơ quan hạt nhân bị quét

Vào ngày 12 tháng 8 năm 2026, công ty an ninh mạng Israel Dream đã công bố nghiên cứu về một vụ xâm nhập kéo dài bốn ngày vào một chính phủ châu Á giấu tên do một khuôn khổ AI đa tác tử thực hiện, và Financial Times, nơi được thông tin trước, đã xác định mục tiêu là Đài Loan. The Register đưa tin cùng ngày rằng một người am hiểu về vụ tấn công đã xác nhận điều đó. Dream định ngày chiến dịch là 1–4 tháng 7 năm 2026 và mô tả 12 đợt tấn công, trong đó có tới tám tác tử con chạy song song: chúng đã lập bản đồ 21 hệ thống chính phủ được kết nối, bẻ khóa 85 tài khoản nhân viên chính phủ — trong đó 84 tài khoản đã xác thực tiếp vào một hệ thống nội bộ — và lấy được ít nhất 2.564 hồ sơ nhân sự, bao gồm 239 chuyên gia pháp lý bị tiếp cận qua một điểm cuối chưa xác thực của Bộ Tư pháp. Bộ Kỹ thuật số Đài Loan đã xác nhận vào ngày 13 tháng 8 rằng các cơ quan chính phủ đã bị tấn công từ một nguồn ở nước ngoài, mà không nêu tên quốc gia. Báo cáo của Dream là bản tường thuật chính, và mục đứng sau ngày này — cùng với mục tháng Bảy trước đó mà nó trỏ tới — nằm trong kho lưu trữ sự cố AI, nơi mọi bản ghi đều có nguồn, mức độ nghiêm trọng, độ tin cậy và cờ tranh chấp riêng.

Những gì Dream nói rằng framework đã làm

Bằng chứng của Dream không phải là báo cáo sự cố của nạn nhân. Đó là không gian làm việc vận hành của chính kẻ tấn công: một kho lưu trữ 160 MB gồm 1.395 tệp, được khôi phục nguyên vẹn, chứa kế hoạch của các tác nhân, điểm phân loại, báo cáo sau hành động và đầu ra của công cụ. Bài viết, có tiêu đề Bên trong một khung AI đa tác nhân được dùng để xâm phạm các cơ quan chính phủ ở châu Á, cho biết khung này chạy trên hai ngăn xếp tác nhân mã nguồn mở, Hermes và OpenClaw, với các không gian làm việc được nhận diện là .hermes và .openclaw.

Trinh sát bắt đầu từ một cổng thông tin chính phủ Angular duy nhất. Các tác nhân đã tải xuống và dịch ngược các gói JavaScript của cổng này, rồi trích xuất mọi URL nhúng, điểm cuối API, client ID OAuth và đối tượng cấu hình Keycloak mà chúng chứa — đủ để liệt kê 21 hệ thống chính phủ được kết nối, sáu miền con SSO, các điểm cuối OIDC, hai khóa ký RSA và mọi luồng xác thực được hỗ trợ. Chỉ riêng một mục tiêu, họ đã tìm thấy 36+ điểm cuối API bao trùm quản lý tài khoản, truy xuất người dùng, tải tệp lên và quản trị, nhiều điểm hoàn toàn không có xác thực; theo lời Dream, một hệ thống “đã phơi bày toàn bộ cơ sở dữ liệu người dùng của mình mà không cần bất kỳ xác thực nào — hàng nghìn hồ sơ nhân viên bao gồm tên, phòng ban và ID tài khoản SSO.”

Sau đó, framework đã làm một việc mà Dream trình bày như một quyết định tự chủ: nó đã theo một URL trong gói đến cổng tài liệu GitBook chứa hướng dẫn tích hợp SSO quốc gia, dùng llms.txt làm chỉ mục của GitBook và .md làm hậu tố để thu thập văn bản thô của trang, rồi tải xuống hai dự án mẫu SDK, bằng Java Spring Boot và ASP.NET Core 8.0. Nó đã chạy phân tích tĩnh của riêng mình trên chúng và ghi nhận một chuyển hướng mở và một trao đổi mã lấy token không được xác thực. Dream nói rõ rằng không điều nào trong số đó quan trọng: việc đối chiếu các phát hiện của framework với danh sách được xác thực cuối cùng của nó cho thấy không có sự trùng lặp nào, và các vụ xâm nhập thực tế đến từ các lỗ hổng phía máy chủ mà một bài kiểm thử hộp đen tiêu chuẩn vốn dĩ sẽ phát hiện ra.

Truy cập ban đầu đến từ ba con đường chạy song song. Ba endpoint ẩn trên một ứng dụng web chính phủ chấp nhận mọi nội dung yêu cầu và trả về một phiên đã xác thực hợp lệ mà không cần thông tin đăng nhập — các endpoint gỡ lỗi dành cho nhà phát triển bị để lộ trong môi trường sản xuất. Một API chính phủ chấp nhận token JWT với trường thuật toán được đặt thành none, nên một token danh tính hợp lệ có thể bị giả mạo mà không cần khóa ký. Và một cuộc tấn công rải thông tin đăng nhập nhắm vào cổng tự động hóa văn phòng của cơ quan đã dùng Tesseract OCR để giải từng hình ảnh CAPTCHA với độ chính xác 100 phần trăm, sau đó thử các mẫu mật khẩu được xây dựng từ ID của từng nhân viên: 12 tài khoản bị bẻ khóa ban đầu, rồi thêm 73 tài khoản khi phát hiện thêm các mẫu, tổng cộng 85.

Chỉ 84 trong số 85 tài khoản mới thực sự quan trọng, vì một cầu SSO duy nhất đã xử lý phần còn lại: mỗi hệ thống nội bộ được kết nối đều mở ra một điểm vào tự động tin cậy phiên làm việc văn phòng, không cần xác thực bổ sung, MFA hay xác nhận của người dùng. 84 tài khoản, 98,8 phần trăm, đã xác thực tiếp tới hệ thống thông tin nội bộ của phòng ban, tiếp cận các bảng điều khiển nội bộ, giao diện quản lý thiết bị và các trang thống kê nhân sự. Bộ khung đã kiểm thử mọi thông tin đăng nhập với mọi hệ thống được kết nối song song.

Những gì đã rời khỏi mạng, theo Dream: 2.564+ hồ sơ nhân sự — 1.409 nhân viên với tên, phòng ban và định danh SSO, 916 người dùng bị lấy ra từ một API không được xác thực, và 239 chuyên gia pháp lý từ một endpoint của Bộ Tư pháp không được xác thực — cùng với một bản xuất JSON đầy đủ về người dùng của bộ phận, bảy bí mật máy khách SSO, sáu thông tin xác thực cơ sở dữ liệu nội bộ trên MSSQL, Oracle và Sybase, và các dải IP mạng nội bộ. Một web shell đã được tải lên qua một API tải tệp không bị hạn chế và được đặt tại một đường dẫn đã biết, nhưng một lớp Forms Authentication thứ hai đã ngăn nó thực thi; Dream gọi đó là một thành công một phần, chưa đạt tới thực thi mã từ xa.

Hai hành vi là lý do Dream coi đây là một thay đổi mang tính bước ngoặt chứ không phải chỉ là một máy quét lớn hơn. Khung này đã chạy năm "chu kỳ học" được ghi lại, tìm kiếm trong các cơ sở dữ liệu lỗ hổng, GitHub và các nghiên cứu đã công bố để tìm ra các kỹ thuật riêng phù hợp với danh mục sản phẩm của mục tiêu, và nó chấm điểm công việc bằng một mô hình Bayes hai lớp: các phát hiện riêng lẻ bắt đầu từ xác suất tiên nghiệm 0,50 và được nâng lên hoặc loại bỏ dựa trên các tỷ lệ khả năng rõ ràng, trong khi các chuỗi tấn công được xếp hạng theo xác suất thành công kết hợp các bước đã được xác nhận và ước tính về các yếu tố cản trở. Bản tóm tắt cuối cùng gồm 12 đợt liệt kê 8 lỗ hổng đã xác nhận và 7 dương tính giả mà chính khung đã phát hiện và loại trừ, bao gồm một lỗ hổng SQL injection mù hóa ra chỉ là tình trạng hết thời gian chờ SMTP. Dream cũng ghi lại rằng chính các lần từ chối của mô hình trong khung đã bị vượt qua bằng cách mô tả toàn bộ hoạt động là kiểm thử xâm nhập được ủy quyền.

Cơ quan an toàn hạt nhân đã bị quét, chứ không bị xâm nhập

Tiêu đề bài báo ngày 12 tháng 8 của The Register viết: "Near-autonomous AI agents attack Taiwan's nuclear safety agency." Phần thân của cùng bài báo đó, và cả bản tường trình của chính Dream, lại nói một điều hẹp hơn. Sau khi có được chỗ đứng ban đầu, Dream viết, chiến dịch "mở rộng sang các nhà cung cấp trong chuỗi cung ứng CNTT của chính phủ, một cơ quan an toàn hạt nhân, một hệ thống email của chính phủ và hơn 7 công ty trong lĩnh vực năng lượng — quét tất cả song song để tìm cấu hình sai, giao diện quản trị bị lộ và các lỗ hổng có thể khai thác." Reuters, khi đưa tin về phản ứng của Đài Loan, mô tả phạm vi tương tự bằng hình ảnh các tác nhân "đánh cắp hồ sơ nhân sự từ bộ tư pháp Đài Loan, và quét cơ quan an toàn hạt nhân của nước này để tìm lỗ hổng".

Vì vậy, cơ quan an toàn hạt nhân xuất hiện trong hồ sơ như một phần của nhóm mục tiêu trinh sát, chứ không phải một vụ xâm phạm đã được xác nhận. Không có tài liệu nào được xem xét cho bài viết này — báo cáo của Dream, tường thuật của The Register hay tuyên bố của Đài Loan — ghi nhận một cuộc xâm nhập vào cơ quan này, dữ liệu bị lấy đi từ đó, hay bất kỳ ảnh hưởng nào đến hoạt động an toàn hạt nhân. Điều tương tự cũng đúng với hệ thống email chính phủ, hơn 7 công ty năng lượng và các nhà cung cấp trong chuỗi cung ứng: hồ sơ đặt chúng vào một đợt quét song song, và chỉ dừng ở đó. Việc quét vành đai của một cơ quan quản lý tự nó là một sự kiện đáng ghi nhận. Nó không phải cùng một sự kiện với việc xâm nhập vào cơ quan đó, và sự khác biệt này chính là khác biệt giữa một dòng tít và bằng chứng.

Đài Loan đã mô tả nó như thế nào

Bộ Kỹ thuật số Đài Loan (MODA) đã đưa ra tuyên bố vào thứ Năm ngày 13 tháng 8, một ngày sau khi nghiên cứu được công bố. Các đơn vị giám sát an ninh mạng của bộ, theo lời bộ, đã phát hiện một "cuộc tấn công bất thường" nhắm vào các cơ quan chính phủ vào tháng 7, và từ 20 tháng 7, Viện An ninh mạng Quốc gia của bộ đã đưa ra một loạt cảnh báo trong quá trình điều tra. Cuộc điều tra phát hiện "các đặc điểm rõ ràng của một nguồn từ nước ngoài", với sự kết hợp giữa thao tác thủ công và các cuộc tấn công có sự hỗ trợ của tác nhân AI "như Open Claw". MODA cho biết các nguồn, phương thức và phạm vi ảnh hưởng đều đã được điều tra đầy đủ, rằng các đơn vị bị ảnh hưởng đã hoàn tất việc xử lý, và rằng chính phủ đã ban hành hướng dẫn bảo vệ đối với các mối đe dọa an ninh mạng liên quan đến AI và tăng cường giám sát trên toàn bộ các cơ quan. Bộ từ chối cho biết cuộc tấn công bắt nguồn từ đâu.

Tuyên bố của MODA hẹp hơn tuyên bố của Dream ở một hướng và rộng hơn ở hướng khác. Tuyên bố này xác nhận nạn nhân và tính chất có AI hỗ trợ của cuộc tấn công, nhưng không lặp lại các con số của Dream — 85 tài khoản, 2.564 bản ghi và 21 hệ thống xuất hiện trong báo cáo của Dream và trong bài viết của Financial Times về báo cáo đó, chứ không nằm trong chính lời của bộ. Và tuyên bố định ngày phát hiện là tháng 7, với các cảnh báo quốc gia từ ngày 20 tháng 7, sớm hơn vài tuần so với cả nghiên cứu lẫn đưa tin báo chí. Dù “near-autonomous” ở đây nghĩa là gì, thì không có nghĩa là chiến dịch đã diễn ra mà không bị phát hiện cho đến tận cuối.

The Financial Times chưa được đọc cho bài này: nó nằm sau tường phí, và các bài đưa tin của nó được biết đến ở đây qua The Register, CyberScoop và Reuters, tất cả đều dẫn nó là cơ quan đầu tiên được thông báo về những phát hiện của Dream. Reuters bổ sung rằng Dream từ chối chia sẻ dữ liệu của mình hoặc nêu tên chính phủ khi được liên hệ.

Điều gì đã được xác lập, và điều gì chưa.

Kho lưu trữ xếp bản ghi này mức tin cậy A — được ghi chép đầy đủ, các nguồn sơ cấp đều đồng thuận — và không đánh dấu nó là có tranh chấp. Những gì mức xếp hạng đó bao hàm và những gì không nguồn nào trong bản ghi giải quyết được là hai danh sách khác nhau:

• Đã xác định:chiến dịch diễn ra trong bốn ngày vào đầu tháng 7 năm 2026 với 12 đợt trên Hermes và OpenClaw; 21 hệ thống chính phủ đã được lập bản đồ; 85 tài khoản nhân viên đã bị bẻ khóa và 84 tài khoản đã được xác thực để tiếp tục truy cập; ít nhất 2.564 hồ sơ nhân sự đã bị lấy đi, cùng với client secret của SSO, thông tin đăng nhập cơ sở dữ liệu và các dải mạng. Những thông tin này đến từ báo cáo của Dream; việc khôi phục không gian làm việc 1.395 tệp của Dream là cơ sở cho toàn bộ thông tin trên.

• Đã xác định: Đài Loan là mục tiêu. Financial Times đã xác định được điều đó, nguồn tin của The Register đã xác nhận, và MODA xác nhận vào ngày 13 tháng 8 rằng các cơ quan chính phủ đã bị tấn công từ nước ngoài với sự hỗ trợ của tác nhân AI.

• Đã xác định: tập hợp các tổ chức mà Dream cho biết đã được quét song song, và rằng việc khắc phục đã được các đơn vị bị ảnh hưởng tại Đài Loan báo cáo là hoàn tất.

• Chưa xác định: ai đã thực hiện. Dream cho biết tài liệu vận hành "chỉ ra một đối tượng điều hành sử dụng tiếng Trung" và ghi nhận việc chuyển đổi ngôn ngữ giữa tiếng Trung giản thể trong các báo cáo trạng thái nội bộ và tiếng Trung phồn thể trong phân tích hướng tới mục tiêu. Dream không quy kết chiến dịch cho chính phủ Trung Quốc hay bất kỳ nhóm nào được nêu tên, và MODA không nêu tên quốc gia xuất xứ. Việc quy kết cho "các đối tượng điều hành mạng bị nghi là người Trung Quốc" trong một số bài đưa tin chỉ là suy luận từ ngôn ngữ của đối tượng điều hành, chứ không phải kết luận mà bất kỳ chính phủ nào đã công bố.

• Chưa được xác định:liệu cơ quan an toàn hạt nhân, các công ty năng lượng, hệ thống email hay các nhà cung cấp chuỗi cung ứng có thực sự bị xâm phạm hay không, những gì đã bị lấy đi khỏi họ nếu có, và điều gì đã xảy ra với 2.564 hồ sơ nhân sự sau khi bị rút trích. Không ai có tên trong hồ sơ đã công bố danh tính nạn nhân, và không có nguồn nào được xem xét tại đây ghi nhận thiệt hại về vận hành.

• Tranh cãi về cách diễn đạt, không phải về sự thật: "gần như tự động". Cris Thomas, một nhà nghiên cứu bảo mật tại Semgrep, nói với Reuters rằng chiến dịch này "không hoàn toàn tự động 100%. Có một người vận hành có năng lực chịu trách nhiệm". Kết luận của chính Dream cũng đi theo hướng đó, nói rằng một khuôn khổ hoạt động ở cấp độ này "đòi hỏi sự điều chỉnh cẩn thận theo nhiệm vụ cụ thể, tối ưu hóa phối hợp giữa các tác nhân và tinh chỉnh logic ra quyết định" — sự tinh vi nằm ở bộ khung và việc tinh chỉnh, không chỉ ở mô hình. Các sự thật trong bản ghi không có gì tranh cãi; từ ngữ được chọn cho chúng mới là điểm tranh cãi.

Một điểm lạ nhỏ về mặt tư liệu đáng được ghi lại, vì nó không thể giải quyết rõ ràng. Bài đăng của Dream, khi được đọc vào ngày 29 tháng 10 năm 2026, mang ngày xuất bản mà máy có thể đọc được là 24 tháng 9 năm 2026 và ngày sửa đổi cũng trong cùng ngày, và trang không hề đề cập đến Đài Loan. Ngày 12 tháng 8 đến từ The Register và CyberScoop, cả hai đều đưa tin nghiên cứu được công bố vào Thứ Tư ngày 12 tháng 8 năm 2026 — ngày mà mục này mang. Việc trang đã được di chuyển, tái phát hành hay đổi ngày trong Webflow hay không là điều mà chính trang không nói rõ.

Điều gì đã thay đổi sau khi tiết lộ

Dream cho biết mình đã tuân theo quy trình công bố có trách nhiệm: thông báo cho các tổ chức mà mình phát hiện trước khi công bố, dành thời gian để họ khắc phục, và tránh nêu danh tính của cả các mục tiêu lẫn người vận hành đứng sau khuôn khổ này. Lời giải trình của Đài Loan nhất quán với trình tự đó ở phía chính phủ. Việc phát hiện diễn ra vào tháng 7, các cảnh báo toàn quốc từ ngày 20 tháng 7, một cuộc điều tra mà MODA cho biết đã bao trùm các nguồn, phương thức và phạm vi, việc xử lý do các đơn vị bị ảnh hưởng hoàn tất, cùng các hướng dẫn bảo vệ mới và giám sát được tăng cường trên khắp các cơ quan. Bảy client secret SSO trong danh sách của Dream được mô tả là đã được xoay vòng, dù các quy ước đặt tên đã tạo ra chúng vốn đã bị lộ.

Không có nội dung nào trong các bài đưa tin được xem xét cho bài viết này ghi nhận một vụ bắt giữ, một đợt gỡ bỏ, một hành động trừng phạt hay một sự quy kết chính thức của bất kỳ chính phủ nào. Các thành phần của framework — Hermes và OpenClaw, cả hai đều là mã nguồn mở và có thể tải về miễn phí — vẫn còn sẵn, và đó chính là điểm mà những người bình luận như SC World rút ra từ đó: cuộc tấn công được lắp ghép từ hai lượt tải xuống mà không có quy trình mua sắm nào sàng lọc.

Bản ghi

Mục mà bài viết này được xây dựng dựa trên có ngày 12 tháng 8 năm 2026, một ngày duy nhất, không có ngày kết thúc. Đó là ngày việc đặt tên trở nên công khai: nghiên cứu, việc Financial Times nhận diện và sự xác nhận của The Register. Vụ xâm nhập mà mục này mô tả được định ngày 1–4 tháng 7 năm 2026, và bản ghi cho biết điều đó bằng cách trỏ tới một mục tháng Bảy sớm hơn để có câu chuyện đầy đủ hơn. Các trường của mục là: loại: sự cố — một sự cố liên quan đến AI đã xảy ra thực tế; mức độ nghiêm trọng: thấp; độ tin cậy: A; đang tranh cãi: không; tổn hại thực tế: có; liên quan đến AI: đã xác nhận; khu vực: Đài Loan; thẻ loại: WEAPON; tính bước ngoặt: không.

Những trường dữ liệu đó nằm cạnh nhau mà không hề mâu thuẫn. Theo chính bằng chứng trong hồ sơ, thứ bị tổn hại là dữ liệu — hồ sơ nhân sự, thông tin xác thực và chi tiết mạng lưới, lấy từ các hệ thống chính phủ và một điểm truy cập chưa được xác thực của bộ. Cũng theo bằng chứng đó, thứ không bị tổn hại là bất cứ điều gì đã được chứng minh có liên quan đến hoạt động hạt nhân hoặc năng lượng. Bản lưu trữ xếp mức độ nghiêm trọng là thấp và ghi nhận tổn hại thực tế là đúng; hai điều này mô tả những câu hỏi khác nhau, và cả hai đều thuộc về mục nhập.