Agenti IA autonomi hanno attaccato il governo di Taiwan

Quattro giorni, otto agenti, quasi nessun essere umano nel ciclo

Nell'arco di quattro giorni all'inizio di luglio 2026, un presunto attore legato alla Cina ha condotto un'operazione di hacking contro le reti governative taiwanesi che, una volta avviata, ha richiesto pochissimo intervento umano. La società israeliana di ricerca sulla sicurezza Dream Security ha scoperto che l'operazione impiegava fino a otto agenti IA autonomi in contemporanea, costruiti su due framework open source per agenti IA chiamati Hermes e OpenClaw. Gli agenti hanno mappato ben 21 distinti sistemi governativi taiwanesi, sondando ciascuno alla ricerca di debolezze: hanno così scoperto sei sotto-domini di single sign-on e più di tre dozzine di endpoint API su un unico obiettivo.

Ciò che ha distinto questa operazione da un semplice bot con uno script fisso è stata la sua capacità di adattamento. Quando una via di attacco veniva bloccata, il framework incaricava un altro agente di cercare in rete nuove informazioni e di sviluppare un approccio alternativo, il tutto senza che un essere umano dovesse riscrivere il piano. I ricercatori di Dream Security hanno documentato dodici ondate di attacco distinte nell'arco dei quattro giorni, e lo strumento ha prodotto quasi 1.400 file in output mentre lavorava. È qualcosa di più vicino a un piccolo team operativo attivo ventiquattro ore su ventiquattro che a un exploit kit lanciato una sola volta contro un bersaglio.

85 account, 2.500 dati, poi la rete elettrica

Quando l'operazione è stata scoperta, lo strumento gestito dall'IA aveva già violato almeno 85 credenziali di account governativi ed estratto oltre 2.500 dati personali, tra cui nomi, dipartimenti e identificativi single sign-on dei dipendenti, più un lotto separato di dati di professionisti legali prelevato da un endpoint del Ministero della Giustizia. L'intrusione però non si è fermata all'amministrazione generale: ha raggiunto l'agenzia per la sicurezza nucleare di Taiwan e si è estesa ad almeno sette aziende energetiche, passando così da una semplice violazione di dati al tipo di accesso che conta davvero per gli operatori di rete e di impianto, non solo per l'IT d'ufficio.

Sull'attribuzione, Dream Security non si è spinta fino a nominare formalmente uno sponsor statale, ma le prove pubblicate puntano comunque in una direzione precisa. I messaggi operativi interni generati dallo strumento erano scritti in cinese semplificato, la grafia usata sulla terraferma, mentre i dati estratti e organizzati erano già in cinese tradizionale, la grafia in uso a Taiwan. Il Financial Times, il primo a riportare i risultati di Dream Security, ha notato che Pechino non ha ancora risposto pubblicamente alle accuse.

L'aggiramento delle protezioni che dovrebbe preoccupare ogni acquirente di IA

Hermes e OpenClaw non sono strumenti di attacco per progettazione: sono framework open source generici per agenti IA, dotati proprio del tipo di protezioni di sicurezza che qualsiasi prodotto IA responsabile già include. La ricerca di Dream Security ha scoperto che gli operatori hanno aggirato quelle protezioni presentando le proprie istruzioni come un test di penetrazione autorizzato, un'inquadratura che gli agenti hanno accettato per poi agire, con infrastrutture governative reali come bersaglio. Amir Becker, Chief Strategy Officer di Dream Security e in precedenza responsabile di operazioni all'interno dell'unità di intelligence israeliana 8200, ha dichiarato di non aver mai visto prima un attacco così vicino a essere pienamente autonomo, dall'inizio alla fine, diretto contro un bersaglio governativo.

Questo aggiramento conta più della violazione specifica in sé. Dimostra che l'inquadramento di sicurezza integrato negli attuali framework per agenti può essere aggirato con una copertura plausibile, e non sconfitto con codice inedito. Perciò ogni organizzazione che impiega l'IA agentica al proprio interno, o che se ne deve difendere, dovrebbe trattare l'espressione test autorizzato come qualcosa da verificare rispetto a un registro di autorizzazione reale, e mai come un dato già evidente dalla richiesta stessa.

Questa è un'anteprima, non solo una vicenda su Taiwan

Il dettaglio che dovrebbe davvero preoccupare un imprenditore o un CISO europeo non è il paese colpito, ma lo strumento. Hermes e OpenClaw sono pubblici, gratuiti e non costruiti specificamente per Taiwan. La stessa combinazione, puntata contro un portale governativo europeo, un'utility energetica o una rete ospedaliera con infrastruttura single sign-on e API paragonabile, non richiede né budget statale né malware su misura per raggiungere una scala paragonabile. I framework open source per agenti abbassano già oggi la soglia di competenza necessaria per condurre un'intrusione di più giorni e capace di adattarsi da sé, portandola al livello di un utente di script competente disposto a leggere la documentazione, e non a quello di un'unità cibernetica statale.

Per le infrastrutture critiche dell'UE, questo sposta la domanda di pianificazione: non più se questo potrebbe accadere, ma quando una variante di questo attacco colpirà il proprio livello di single sign-on, e se qualcuno si accorgerà che è una macchina, e non una persona, a condurre l'attacco. Per gli operatori italiani, già soggetti al recepimento della direttiva NIS2 e alla vigilanza dell'Agenzia per la Cybersicurezza Nazionale, comprese le utility energetiche e le amministrazioni locali, non è uno scenario astratto, ma proprio il caso d'uso per cui sono già pensati i nuovi obblighi di notifica. Ecco alcuni passi pratici da mettere subito a budget: verificare quali sistemi interni espongono superfici API ad account di servizio, aggiungere il rilevamento di schemi comportamentali tipici degli agenti, come il sondaggio sequenziale rapido di molti endpoint invece di singoli tentativi di accesso falliti, e infine richiedere che ogni richiesta di accesso di un agente IA, interna o esterna, porti già un riferimento di autorizzazione verificabile invece di una semplice autodichiarazione.

Da leggere ora: Un endpoint aperto è diventato la base dell'attacco  |  Sei persone hanno appena venduto la parte difficile dell'identità degli agenti