台湾被认定是7月智能体集群入侵的目标：85个账户、2,500多条记录，一个核机构遭扫描

2026年8月12日，以色列网络安全公司Dream发布了一项研究，内容涉及一个多智能体 AI 框架对某个未具名亚洲政府实施为期四天的入侵，而Financial Times最先获知简报，并将目标认定为台湾。The Register同日报道称，一名了解此次攻击的人士证实了此事。Dream 将此次行动定在 2026 年 7 月 1 日至 4 日，并描述了 12 波攻击，其中多达八个子智能体并行运行：它们测绘了 21 个联网的政府系统，攻破了85 个政府雇员账户——其中 84 个进一步通过认证进入一个内部系统——并获取了至少 2,564 条人员记录，包括通过一个未经认证的司法部端点接触到的 239 名法律专业人士。台湾数字发展部于 8 月 13 日确认，政府机构遭到了来自海外来源的攻击，但未点名具体国家。Dream 的报告是主要叙述，而这一日期背后的条目——连同它所指向的更早的 7 月条目——收录在AI 事件档案中，其中每条记录都带有自己的来源、严重程度、置信度和争议标记。

Dream 说该框架做了什么

Dream 的证据并非受害者的事件报告。它是攻击者自己的操作工作区：一个 160 MB、包含 1,395 个文件的压缩包，完好无损地被恢复，其中包含各智能体的计划、分诊评分、行动后报告和工具输出。这篇报告题为《深入剖析一个用于入侵亚洲政府机构的多智能体 AI 框架》，称该框架运行在两个开源智能体栈上，Hermes 和 OpenClaw，其工作区分别标识为 .hermes 和 .openclaw。

侦察工作从单个 Angular 政府门户开始。代理下载并反编译了其 JavaScript 包，提取出其中嵌入的每个 URL、API 端点、OAuth 客户端 ID 和 Keycloak 配置对象——足以枚举 21 个互联的政府系统、六个 SSO 子领域、OIDC 端点、两把 RSA 签名密钥以及所有支持的身份验证流程。仅在一个目标上，他们就发现了 36+ 个 API 端点，涵盖账户管理、用户检索、文件上传和管理，其中许多完全没有身份验证；用 Dream 的话说，有一个系统“在没有任何身份验证的情况下暴露了其整个用户数据库——数千条员工记录，包括姓名、部门和 SSO 账户 ID。”

随后，该框架做了一件 Dream 称之为自主决策的事：它顺着捆绑包中的一个 URL，访问了托管国家级 SSO 集成指南的 GitBook 文档门户，并利用 GitBook 的 llms.txt 索引和 .md 后缀抓取原始页面文本，还下载了两个 SDK 示例项目，分别采用 Java Spring Boot 和 ASP.NET Core 8.0。它对这些项目运行了自身的静态分析，并记录了一个开放重定向和一个未经认证的代码到令牌交换。Dream 明确表示，这一切都无关紧要：将框架的发现与其最终验证清单交叉比对后显示 零重叠，而实际发生的入侵源于服务器端缺陷，标准黑盒测试本来就会找到这些缺陷。

初始访问来自三条并行路径。一个政府 Web 应用上的三个隐藏端点接受任意请求体，并在无凭据的情况下返回有效的已认证会话——开发人员调试端点被遗留在生产环境中暴露。一个政府 API 接受 JWT 令牌，其算法字段设置为 none，因此无需签名密钥即可伪造有效的身份令牌。此外，针对该部门办公自动化门户的凭据喷洒使用 Tesseract OCR 以 100% 的准确率破解每张 CAPTCHA 图像，然后尝试根据每位员工的 ID 构建的密码模式：最初破解了 12 个账户，随后在发现更多模式后又破解了 73 个，总共 85 个。

85 个中只有 84 个真正起了作用，因为一个 SSO 桥接就完成了其余部分：每个已连接的内部系统都暴露了一个入口点，该入口点自动信任办公自动化会话，无需额外认证、MFA 或用户确认。84 个账户（98.8%）继续向部门内部信息系统进行认证，进而访问内部仪表盘、设备管理界面和人员统计页面。该框架对每个已连接系统并行测试了每个凭据。

据 Dream 称，从网络中流出的内容：2,564+ 条人员记录——1,409 名员工，包含姓名、部门和 SSO 标识符；916 名用户从某个未认证 API 中被拉取；239 名法律专业人员来自一个未认证的司法部端点——外加该部门用户的完整 JSON 导出、七个 SSO 客户端密钥、涵盖 MSSQL、Oracle 和 Sybase 的六个内部数据库凭据，以及内部网络 IP 地址范围。一个 Web Shell 通过不受限制的文件上传 API 被上传，并被放置在已知路径，但第二层 Forms Authentication 阻止了其执行；Dream 称这是一次部分成功，但未能实现远程代码执行。

Dream 之所以将此事视为一次质的飞跃，而非仅仅是一个更大的扫描器，原因在于两种行为。该框架运行了五个有记录的“学习周期”，在漏洞数据库、GitHub 及已发表研究中搜索针对目标产品资产组合的特定技术，并用一个双层贝叶斯模型对工作进行评分：单个发现以 0.50 的先验概率起步，依据明确的似然比被提升或弃用；攻击链则按结合已确认步骤与阻碍因素估计的成功概率排序。最终 12 波次总结列出了 8 个已确认漏洞和 7 个误报，这些均由框架自行发现并排除，其中包括一个最终证实为 SMTP 超时的盲 SQL 注入。Dream 还记录称，通过将整个行动包装为经授权的渗透测试，该框架自身的模型拒绝机制被绕过。

核安全机构遭到了扫描，但未被入侵。

《The Register》8 月 12 日报道的标题写道：“近乎自主的 AI 智能体攻击台湾的核安全机构。”同一篇报道的正文以及 Dream 自己的文章，说的范围则更窄。Dream 写道，在获得初始立足点后，该行动“扩展至政府 IT 供应链供应商、一个核安全机构、一个政府电子邮件系统，以及 7 家以上能源行业公司——并行扫描所有这些目标，寻找配置错误、暴露的管理接口和可利用漏洞。”Reuters 在刊登台湾方面回应时，将同一范围描述为智能体“从台湾法务部窃取人事记录，并扫描其核安全机构以寻找漏洞”。

因此，核安全机构在记录中是作为侦察目标集合的一部分出现的，而非已确认的失陷对象。本文所查阅的任何文件——Dream 的报告、The Register 的报道，或台湾方面的声明——均未记录对其的入侵、从其获取的数据，或对核安全运行造成的任何影响。政府电子邮件系统、7 家以上能源公司以及供应链供应商的情况同样如此：记录将它们置于一次并行扫描之中，也仅止于此。扫描监管机构的外围本身就是一件值得记录的事件。它与突破外围并非同一事件，而这一区别，正是头条新闻与证据之间的分野。

台湾是如何描述它的

台湾数字发展部（MODA）于8月13日星期四、即该研究公开后的第二天发表了说明。该部表示，其网络安全监测部门在7月检测到针对政府机构的“异常攻击”，并从7月20日起，其国家资通安全研究院在调查期间发布了一系列预警。调查发现“具有明显的境外来源特征”，是人工操作与AI智能体辅助攻击的混合模式，“例如 Open Claw”。数字发展部表示，攻击来源、方式和影响范围均已全面调查，受影响单位已完成处置，政府已发布针对AI相关网络安全威胁的防护指引，并加强了各机构的监测。该部拒绝透露攻击来源。

MODA 的声明在一个方向上比 Dream 的声明范围更窄，在另一个方向上则更广。它确认了受害者以及此次攻击具有 AI 辅助的性质，但没有重复 Dream 给出的数字——85 个账户、2,564 条记录和 21 个系统出现在 Dream 的报告中以及 Financial Times 对此事的报道中，而非该部自己的表述中。并且，它将发现时间定为 7 月，并称自 7 月 20 日起发布全国警报，这比研究或新闻报道都早数周。无论这里的“近乎自主”指什么，它都不意味着这场行动一直未被发现地持续到最后。

本文并未阅读《金融时报》：该报设有付费墙，而这里对其报道的了解来自 The Register、CyberScoop 和 Reuters，这三家媒体都援引该报为最先获悉 Dream 调查结果的媒体。Reuters 还补充说，Dream 在被联系时拒绝分享其数据，也拒绝透露该政府的名称。

什么是已确立的，什么不是

档案馆将这条记录的置信度评为 A——文献记载充分，一手资料相互印证——并且没有将其标记为存在争议。该评级所涵盖的内容，与记录中没有任何来源能够确定的内容，是两份不同的清单：

• 已确认：该行动于2026年7月初历时四天，在Hermes和OpenClaw上分12波次展开；共测绘了21个政府系统；破解了85个员工账户，其中84个账户成功通过认证继续深入；至少获取了2,564条人员记录，以及SSO客户端密钥、数据库凭据和网络范围。这些信息来自Dream的报告，而对其包含1,395个文件的工作区的恢复，正是上述全部内容的基础。

• 已证实：台湾是目标。The Financial Times 确认了这一点，The Register 的消息来源也予以证实，而 MODA 于 8 月 13 日确认，政府机构遭到来自海外的、借助 AI 智能体实施的攻击。

• 已确认： Dream 所称并行扫描的组织集合，以及台湾受影响单位报告修复已完成。

• 尚未确定：是谁所为。Dream 表示，行动文档“指向一名中文操作者”，并指出内部状态报告使用简体中文、面向目标的分析使用繁体中文，存在语码转换。Dream 未将该行动归因于中国政府或任何具名组织，MODA 也未指明来源国。一些报道中所谓“疑似中国网络行动人员”的归因，是从操作者语言作出的推断，并非任何政府已发布的结论。

• 尚未确定：核安全机构、能源公司、电子邮件系统或供应链供应商是否确实遭到入侵；若确有数据被窃，具体失窃了什么；以及那 2,564 份人员记录在被窃取后下落如何。记录中提及的任何一方均未公布受害者身份，本文所查阅的任何来源也未记载实际运营损害。

• 争议在措辞，而非事实：“近乎自主”。Semgrep 的安全研究员 Cris Thomas 告诉路透社，该行动“并非完全百分之百自主。背后有一位有能力的操作员负责”。Dream 自己的结论也指向同一方向，称一个能在此层面运作的框架“需要针对具体任务进行细致调整、优化智能体协调，并微调决策逻辑”——其精妙之处在于执行框架和调优，而不只在于模型本身。记录中的事实并无争议；有争议的是为它们选用的那个词。

有一处细微的文献记录异常值得记下，因为它无法得到干净利落的解释。按 2026年10月29日读取时，Dream 的帖子带有机器可读的发布日期 2026年9月24日，修改日期也是同一天，而且页面完全没有提到台湾。8月12日这个日期来自 The Register 和 CyberScoop，两者都报道该研究于 2026年8月12日星期三发布——也就是本条目所载的日期。该页面在 Webflow 中究竟是被移动、重新发布还是重新标注了日期，页面本身并未说明。

披露之后发生了什么变化？

Dream 表示其遵循了负责任的披露原则：在公布前通知了所发现的组织，给予它们整改时间，并避免指认攻击目标或该框架背后的操作者。台湾方面的说法在政府端与这一顺序相符。发现于7月，全国警报自7月20日起发布，MODA表示调查涵盖来源、方法和范围，受影响单位已完成处置，并出台了新的防护指引，同时加强了各机构的监测。Dream 清单中的七个 SSO 客户端密钥被描述为已轮换，尽管生成这些密钥的命名约定此前已经暴露。

本文所审阅的相关报道中，没有任何内容记录逮捕、取缔、制裁行动，或任何政府作出的正式归因。该框架的组件——Hermes 和 OpenClaw，二者均为开源且可自由获取——仍然可用，这正是 SC World 等评论者从中得出的要点：这次攻击是由两次下载拼凑而成的，而没有任何采购流程会审查这些下载。

记录

本文所依据的条目日期为2026年8月12日，仅一天，没有结束日期。那就是命名公开的当天：相关研究、Financial Times 的识别以及 The Register 的确认。它所描述的入侵事件日期为 2026年7月1日至4日，记录通过指向7月早些时候的一个条目来表明这一点，以便了解更完整的经过。其字段为：类型：事件，即一起已实际发生的 AI 相关事件；严重性：低；置信度：A；有争议：否；真实危害：是；AI 参与：已确认；地区：台湾；类型标签：WEAPON；里程碑：否。

这些字段彼此并列，并不矛盾。根据该记录自身的证据，受到损害的是数据——从政府系统和某个未经身份验证的部委端点获取的人事记录、凭证和网络详细信息。根据同一证据，未受损害的是任何已被证明涉及核或能源运行的事物。该档案将严重性评为低，并将“真实损害”记录为 true；这两者描述的是不同问题，且都应保留在该条目中。