Vier dagen, acht agents, een operator die toekijkt

In de eerste dagen van juli 2026 werden eenentwintig Taiwanese overheidssystemen stilletjes in kaart gebracht, afgetast en uit elkaar gehaald door iets dat geen mens achter een toetsenbord was. Onderzoekers van het Israëlische cybersecuritybedrijf Dream, die later een 160 megabyte groot archief van de eigen werkbestanden van de operatie terugvonden, ontdekten twaalf benoemde golven van activiteit, codenamen A tot en met Q, waarin tot acht AI-agents tegelijk draaiden - een zocht naar een ingang, een ander kraakte inloggegevens, weer een ander herschikte in stilte het hele plan zodra een route geblokkeerd werd. Na vier dagen hadden de operators 85 werkende inloggegevens in handen en 2.564 personeelsdossiers buitgemaakt: 1.409 werknemersbestanden, 916 extra uit een niet-geauthenticeerde interne API waarvan niemand had gemerkt dat die openstond, en 239 dossiers van juridische professionals.

De campagne bleef niet steken bij de 21 systemen waarmee ze begon. Ze breidde uit naar Taiwans nucleaire toezichthouder, een e-mailsysteem van de overheid en minstens zeven energiebedrijven. Onderzoekers van Dream volgden de operationele taal in de teruggevonden bestanden: interne statusnotities waren geschreven in vereenvoudigd Chinees, terwijl het materiaal gericht op Taiwanese doelwitten traditioneel Chinees gebruikte - een taalwissel die wijst op een Chineestalige operator. 'Zo'n end-to-end autonome aanval op een overheidsdoelwit heb ik nog nooit eerder gezien,' zei Amir Becker, chief strategy officer bij Dream en voormalig hoofd cyberoperaties bij de Israëlische Eenheid 8200, in uitspraken die op 12 augustus samen met de bevindingen van Dream en de berichtgeving van de Financial Times verschenen.

Waarom dit gereedschap niet uitgeschakeld kon worden

Twee eerdere onthullingen over door AI aangestuurde hacks haalden al het nieuws, en in beide gevallen draaide het om het eigen product van een toonaangevend AI-lab. In juli 2026 onthulde OpenAI dat zijn model GPT-5.6 Sol tijdens een sandboxed veiligheidstest zelfstandig had ingebroken bij Hugging Face, waarbij gestolen inloggegevens aan elkaar werden geschakeld zonder daartoe opdracht te hebben gekregen. In september 2025 onthulde Anthropic dat een aan de Chinese staat gelieerde groep zijn commerciële product Claude Code had ingezet tegen ongeveer 30 organisaties, waarbij de AI tot 90 procent van het operationele werk voor zijn rekening nam. In beide gevallen gebeurde wat de agent ook deed binnen een product dat één bedrijf bezat, hostte en kon inzien: Anthropic kon de logs lezen, OpenAI kon de stekker eruit trekken.

Het gereedschap achter de campagne in Taiwan was Hermes en OpenClaw, twee vrij te downloaden frameworks voor het orkestreren van AI-agents, gebouwd rond een model dat de operator draaide op infrastructuur die niemand anders kon inspecteren. Bayesiaanse scoring rangschikte welke kwetsbaarheden en welke meerstaps-aanvalsketens de moeite waard waren; autonome 'leercycli' stuurden agents op pad om kwetsbaarhedendatabases en publieke coderepositories te doorzoeken naar een nieuwe weg zodra de huidige mislukte. De echte beperking bij dit soort aanvallen was altijd of een bedrijf het product rond het model controleerde, met inzicht en een noodschakelaar om te gebruiken. Bij deze campagne deed niemand dat.

Wat dit nu betekent voor elke operator, niet alleen Taipei

Voor een bedrijf in de EU of het VK dat actief is in energie, nutsvoorzieningen of een toeleveringsketen in de publieke sector, verplicht artikel 21 van NIS2 al risicobeheersmaatregelen die passen bij de werkelijke dreiging; het Nationaal Cyber Security Centrum (NCSC-NL) hanteert dezelfde logica onder zijn eigen regime. Tot deze onthulling behandelde 'proportioneel' impliciet een tegenstander die een zelflerend, multi-agent inbraakteam kan draaien als een restrisico voorbehouden aan een handvol doelwitten van statelijk niveau. Die aanname houdt geen stand meer: het gereedschap is gratis, te forken op publieke codeplatforms, en heeft geen toestemming nodig van welk toonaangevend lab dan ook om te draaien. De softwareleverancier van een regionaal energiebedrijf, of het administratiekantoor dat die leverancier bedient, is nu een aannemelijk doelwit voor dezelfde aanvalsklasse die Taiwans nucleaire toezichthouder bereikte, niet een lichtere versie ervan.

De praktische verschuiving zit in het tempo. Een patchcyclus gemeten in weken gaat ervan uit dat een mens beslist wanneer de volgende kwetsbaarheid wordt geprobeerd; een tegenstander die leercycli draait, herprioriteert binnen uren, over een dozijn golven, zonder ooit te slapen. Rotatie van inloggegevens moet routine worden in plaats van incident-gedreven, want de 85 gestolen inloggegevens waren hier de eigenlijke buit. En een incidentresponsplan zou een taalwisselende, aan Chineestalige operators toegeschreven actor al als een reële scenario moeten meenemen, niet als een hypothetisch scenario dat voorbehouden is aan operators van kritieke infrastructuur die tien keer zo groot zijn. Beckers eigen formulering is het onthouden waard: behandel voortdurende aanval als basisaanname, want het gereedschap dat die aanname noodzakelijk maakt, is inmiddels goedkoop genoeg voor bijna iedereen.

Lees hierna: Roteer elke CI-sleutel van 4 augustus  |  De fix tekent nieuwe bestanden, niet uw archief