台灣被指為七月代理群入侵的目標：85個帳號、2,500多筆紀錄，一個核能機構遭掃描

2026年8月12日，以色列網路安全公司Dream發布了一項研究，指出一個多代理人工智慧框架對一個未具名的亞洲政府進行了為期四天的入侵；而率先聽取簡報的Financial Times指認目標為台灣。The Register同日報導，一名熟悉這次攻擊的人士證實了此事。Dream 將這場行動的時間定在2026年7月1日至4日，並描述12波攻擊，其中最多有八個子代理同時運行：它們繪製了21個相連的政府系統，破解了85個政府員工帳號——其中84個進一步通過驗證進入內部系統——並取得至少2,564筆人員紀錄，包括透過一個未經身分驗證的法務部端點接觸到的239名法律專業人員。台灣數位發展部於8月13日確認，政府機關曾遭來自海外來源的攻擊，但未指明國家。Dream 的報告是主要記述，而這個日期背後的條目——連同它所指向的先前7月條目——位於AI 事件檔案庫，其中每筆紀錄都附有自己的來源、嚴重程度、可信度與爭議標記。

Dream 說這個框架做了什麼

Dream 的證據並非受害者的事件報告，而是攻擊者自己的操作工作區：一份 160 MB、內含 1,395 個檔案的壓縮檔，完整復原，內含代理的計畫、分流評分、行動後報告與工具輸出。這篇題為〈深入剖析一個被用來入侵亞洲政府機構的多代理 AI 框架〉的文章指出，該框架運行於兩套開源代理堆疊，Hermes 與 OpenClaw，其工作區分別標識為 .hermes 與 .openclaw。

偵察從單一 Angular 政府入口網站開始。這些代理程式下載並反編譯其 JavaScript 打包檔，擷取出其中內嵌的每個 URL、API 端點、OAuth 用戶端 ID 與 Keycloak 設定物件——足以列舉21 個相連的政府系統、六個 SSO 子領域、OIDC 端點、兩把 RSA 簽章金鑰及所有支援的驗證流程。僅在一個目標上，他們就發現36+ 個 API 端點，涵蓋帳戶管理、使用者查詢、檔案上傳與管理，其中許多完全沒有驗證；其中一個系統，用 Dream 的話來說，「在完全沒有驗證的情況下暴露了整個使用者資料庫——數千筆員工紀錄，包括姓名、部門與 SSO 帳號 ID。」

接著，該框架做了件 Dream 描述為自主決策的事：它循著套件包中的一個 URL，前往託管國家級 SSO 整合指南的 GitBook 文件入口網站，利用 GitBook 的 llms.txt 索引與 .md 字尾來擷取原始頁面文字，並下載了兩個 SDK 範例專案，分別以 Java Spring Boot 與 ASP.NET Core 8.0 撰寫。它對這些專案執行自身的靜態分析，並記錄了一項開放重新導向與一項未經身分驗證的程式碼換取權杖交換。Dream 明確表示，這些全都無關緊要：將該框架的發現與其最終驗證清單交叉比對後，結果顯示 零重疊，而實際的入侵事件源自伺服器端的缺陷，那是標準黑箱測試本來就會找到的問題。

初始存取來自三條同時並行的途徑。某政府網頁應用程式上的三個隱藏端點會接受任何請求主體，並在沒有任何憑證的情況下回傳有效的已驗證工作階段——這些是遺留在正式環境中暴露的開發人員偵錯端點。某政府 API 接受 JWT 權杖，且演算法欄位設為 none，因此可在沒有簽署金鑰的情況下偽造有效的身分權杖。此外，對該部門的辦公自動化入口網站進行憑證噴灑攻擊時，使用 Tesseract OCR 解讀每個 CAPTCHA 影像，達到 100% 準確率，接著嘗試以每位員工 ID 建構出的密碼模式：最初破解 12 個帳號，隨後在找到更多模式後又破解 73 個，總計 85 個。

85 個之中只有 84 個真正發揮作用，因為其餘的都靠單一 SSO 橋接完成：每個相連的內部系統都提供一個進入點，會自動信任辦公室自動化工作階段，無需額外驗證、MFA 或使用者確認。84 個帳號（98.8%）進一步通過驗證進入該部門的內部資訊系統，觸及內部儀表板、設備管理介面與人員統計頁面。該框架並行地將每一組憑證對每個相連系統進行測試。

根據 Dream 的說法，外洩的資料包括：2,564+ 筆人員紀錄——1,409 名員工的姓名、部門與 SSO 識別碼，916 名使用者從一個未經身分驗證的 API 取得，以及 239 名法律專業人員從一個未經身分驗證的司法部端點取得——另外還有該部門使用者的完整 JSON 匯出檔、七組 SSO 用戶端密鑰、六組橫跨 MSSQL、Oracle 與 Sybase 的內部資料庫憑證，以及內部網路 IP 範圍。一個網頁殼層（web shell）透過一個無檔案上傳限制的 API 上傳，並被放置於已知路徑，但第二層 Forms 驗證機制阻止了它執行；Dream 稱此為部分成功，但未能達到遠端程式碼執行。

Dream 之所以將這視為躍進式變革，而非只是規模更大的掃描器，原因在於兩項行為。該框架執行了五次有記錄的「學習循環」，搜尋漏洞資料庫、GitHub 及已發表研究，以找出針對目標產品資產的技術；並以兩層貝氏模型為工作評分：個別發現從 0.50 先驗機率起步，依明確的概似比被提升或捨棄，而攻擊鏈則依結合已確認步驟與阻礙因素估計的成功機率排序。最終的 12 波摘要列出8 個已確認漏洞與 7 個誤報，這些是該框架自行抓到並排除的，包括一個實為 SMTP 逾時的盲 SQL 注入。Dream 亦記錄到，該框架自身模型的拒絕，透過將整項行動包裝成授權滲透測試而被繞過。

核安全機構遭到掃描，並未被入侵。

《The Register》8月12日報導的標題寫道：「近乎自主的AI代理攻擊台灣的核安機關。」但同一篇報導的正文，以及Dream自家的記述，所說的卻是較為狹窄的情況。Dream寫道，在取得初步立足點之後，該行動「擴展至政府IT供應鏈廠商、一個核安機關、一套政府電子郵件系統，以及7家以上的能源業者——平行掃描它們，尋找設定錯誤、暴露的管理介面與可資利用的漏洞」。路透社在報導台灣方面的回應時，把同一範圍描述為這些代理「從台灣法務部竊取人事紀錄，並掃描其核安機關的漏洞」。

因此，核安全機構在紀錄中是作為偵察範圍的一部分出現，而非已確認的淪陷。本文查閱的任何文件——Dream 的報導、The Register 的記述，或台灣的聲明——均未記載對其的入侵、從其取得的資料，或對核安全運作的任何影響。政府電子郵件系統、7 家以上的能源公司以及供應鏈廠商也是如此：紀錄將它們置於一次平行掃描之中，僅止於此。掃描監管機構的周邊本身即是值得記錄的事件，但它與突破周邊並非同一事件，而這個區別正是頭條與證據之間的差別。

台灣如何描述它

台灣的數位發展部（MODA）於8月13日週四發布說明，距離該研究公開僅隔一天。數位發展部表示，其資安監控單位在7月偵測到政府機關遭到「異常攻擊」，而從 7月20日起，其國家資通安全研究院在調查期間發布了一系列警示。調查發現「有明顯的境外來源特徵」，並呈現人工操作與 AI 代理輔助攻擊的混合模式，「例如 Open Claw」。數位發展部表示，來源、手法與影響範圍均已全面調查，受影響單位已完成處置，政府也已發布針對 AI 相關資安威脅的防護指引，並強化各機關的監控。對於攻擊來源地，則拒絕透露。

MODA 的聲明在某一方面比 Dream 的聲明範圍更窄，在另一方面則更廣。它確認了受害者，以及這次攻擊具有 AI 輔助的性質，但並未重複 Dream 的統計數字——85 個帳戶、2,564 筆紀錄和 21 個系統出現在 Dream 的報告與 Financial Times 對此的報導中，而不是該部自己的說法。它還將偵測時間定在 7 月，並指出全國警報自 7 月 20 日起發布，比該研究或新聞報導早了數週。無論「近乎自主」在這裡是什麼意思，都不代表這場行動到最後都未被偵測到。

本文並未閱讀《金融時報》的報導：該報設有付費牆，而此處是透過 The Register、CyberScoop 和路透社得知其報導內容，這些媒體都引用《金融時報》為最先聽取 Dream 調查結果簡報的媒體。路透社補充，Dream 在被聯繫時拒絕分享其資料或指名政府。

什麼是已經確立的，什麼不是

檔案館將這份紀錄評為信心 A 級——文獻記載充分、主要來源一致——且未將其標記為有爭議。該評級涵蓋的內容，以及紀錄中沒有任何來源能確定的事項，是不同的清單：

• 已確認：該行動於 2026 年 7 月初為期四天，在 Hermes 與 OpenClaw 上以 12 個波次展開；共測繪了 21 個政府系統；85 個員工帳號遭破解，其中 84 個進一步通過驗證；至少取得 2,564 筆人事紀錄，以及 SSO 用戶端密鑰、資料庫憑證與網路位址範圍。上述內容均出自 Dream 的報告，而 Dream 那 1,395 個檔案工作區的復原，正是這一切的基礎。

• 已確認：台灣是攻擊目標。《金融時報》指認了此事，The Register 的消息來源予以證實，而 MODA 於 8 月 13 日確認，政府機關遭到來自境外的攻擊，且有 AI 代理協助。

• 已確認：Dream 表示曾並行掃描的組織集合，以及受影響的台灣單位回報補救措施已完成。

• 尚未確定：是誰所為。Dream 表示，行動文件「指向一名以中文為作業語言的操作者」，並指出內部狀態報告使用簡體中文、面向目標的分析則使用繁體中文，出現語碼轉換。Dream 並未將該行動歸因於中國政府或任何具名團體，MODA 也未指出來源國。部分報導將此歸因於「疑似中國網路操作人員」，這是從操作者語言推斷而來，並非任何政府已公布的調查結論。

• 尚未確認：核安全機構、能源公司、電郵系統或供應鏈供應商是否確實遭到入侵、若有任何資料被竊取則究竟是什麼，以及那 2,564 筆人員紀錄在外洩之後下落如何。紀錄中提及的任何人皆未公開受害者身分，此處所檢視的來源亦無任何一份記載作業層面的損害。

• 爭議在於表述框架，而非事實：「近乎自主」。Semgrep 的安全研究員 Cris Thomas 告訴路透社，這次行動「並非完全百分之百自主。背後有一位能幹的操作員負責」。Dream 自己的結論也指向同一點，表示能在這個層級運作的框架「需要針對特定任務仔細調整、最佳化代理協調，並微調決策邏輯」——其精巧之處在於執行框架與調校，而非僅在於模型本身。記錄中的事實並無爭議；有爭議的是為它們選用的那個詞。

文件上有一個值得記錄的小古怪之處，因為它無法明確釐清。在 2026 年 10 月 29 日讀取 Dream 的貼文時，其機器可讀的發布日期為2026 年 9 月 24 日，修改日期也是同一天，而且頁面完全未提及台灣。8 月 12 日這個日期來自 The Register 與 CyberScoop，兩者都報導該研究於 2026 年 8 月 12 日星期三發布——也就是本條目所載的日期。該頁面是否曾在 Webflow 中被移動、重新發布或更改日期，頁面本身並未說明。

揭露之後有什麼改變

Dream 表示，它遵循負責任的揭露程序：在公布前通知了它所發現的組織，給予它們修補的時間，並避免揭露目標或該框架背後操作者的身分。就政府端而言，台灣的說法與這一連串流程一致。偵測於 7 月出現，全國性警示自 7 月 20 日起發布，數位發展部（MODA）表示調查涵蓋來源、方法與範圍，受影響單位已完成處理，並制定新的防護指引，同時強化跨機關監控。Dream 清單中的七個 SSO 用戶端密鑰被描述為已輪換，儘管產生它們的命名慣例早已曝光。

本文所檢視的相關報導中，沒有任何內容記載逮捕、取締、制裁行動，或任何政府的正式歸因。該框架的組成部分——Hermes 與 OpenClaw，兩者皆為開源且可自由取得——依然可用，而這正是 SC World 等評論者從中得出的重點：這場攻擊是由兩次下載拼裝而成，而這兩次下載不經任何採購流程審查。

紀錄

本文所依据的条目日期为2026年8月12日，仅为单日，没有结束日期。这一天正是该命名公之于众的日子：相关研究、《金融时报》的辨识，以及 The Register 的确认。该条目所述的入侵事件日期为 2026 年 7 月 1 日至 4 日，记录中通过指向 7 月稍早的一条条目来交代更完整的来龙去脉。其字段为：类别 incident，即已实际发生的 AI 相关事件；严重程度 low；可信度 A；存有争议 false；实际危害 true；AI 参与 confirmed；地区 Taiwan；类型标签 WEAPON；里程碑 false。

那些欄位彼此並列，並不矛盾。依紀錄本身的證據，受損的是資料——取自政府系統及一個未經身分驗證的部會端點的人事紀錄、憑證與網路細節。依同樣的證據，未受損的是任何已被證明涉及核能或能源運作的事物。該檔案庫將嚴重程度評為低，並將實際損害記錄為 true；兩者描述不同的問題，且都應留在該條目中。