Vier dagen, acht agenten, nauwelijks een mens in de lus

In vier dagen begin juli 2026 voerde een vermoedelijk aan China gelinkte dreigingsactor een hackoperatie uit tegen Taiwanese overheidsnetwerken die, eenmaal gestart, nauwelijks menselijke input nodig had. Het Israëlische beveiligingsonderzoeksbureau Dream Security ontdekte dat de operatie tot acht autonome AI-agenten tegelijk inzette, gebouwd op twee opensource AI-agentframeworks genaamd Hermes en OpenClaw. De agenten brachten 21 afzonderlijke Taiwanese overheidssystemen in kaart, doorzochten elk systeem op zwakke plekken en ontdekten zes single-sign-on-subdomeinen plus meer dan drie dozijn API-eindpunten bij één enkel doelwit.

Wat dit onderscheidde van een gescript botje, was het aanpassingsvermogen. Als een aanvalsroute werd geblokkeerd, gaf het framework een andere agent de opdracht om op internet nieuwe informatie te zoeken en een alternatieve aanpak te ontwikkelen, allemaal zonder dat een mens het plan herschreef. De onderzoekers van Dream Security documenteerden twaalf afzonderlijke aanvalsgolven over de vier dagen, en de tool produceerde bijna 1.400 outputbestanden tijdens het werk. Dat lijkt meer op een klein operatieteam dat dag en nacht werkt dan op een exploitkit die eenmalig op een doelwit wordt afgevuurd.

85 accounts, 2.500 gegevens, dan het stroomnet

Tegen de tijd dat de operatie werd ontdekt, had de door AI aangestuurde toolkit al minstens 85 overheidsaccounts gekraakt en meer dan 2.500 persoonsgegevens buitgemaakt, waaronder namen, afdelingen en single-sign-on-identificaties van medewerkers, plus een aparte buit aan gegevens van juridische professionals uit een eindpunt van het ministerie van Justitie. De inbraak bleef niet beperkt tot de algemene administratie: hij bereikte Taiwans nucleaire veiligheidsagentschap en breidde zich uit naar minstens zeven energiebedrijven, van een gegevenslek naar het soort toegang dat ertoe doet voor netbeheerders en centrales, niet alleen voor kantoor-IT.

Wat de toeschrijving betreft, ging Dream Security niet zo ver om formeel een statelijke opdrachtgever te noemen, maar het gepubliceerde bewijs wijst in één richting. Interne operationele berichten die door de tool werden gegenereerd, waren geschreven in vereenvoudigd Chinees, het schrift dat op het vasteland wordt gebruikt, terwijl de geëxtraheerde en geordende gegevens in traditioneel Chinees waren geschreven, het schrift dat in Taiwan zelf gangbaar is. De Financial Times, die als eerste over de bevindingen van Dream Security berichtte, merkte op dat Peking niet publiekelijk had gereageerd op de beschuldigingen.

De omzeiling van de vangrails die elke AI-koper zou moeten verontrusten

Hermes en OpenClaw zijn niet ontworpen als aanvalstools; het zijn algemene opensource AI-agentframeworks met het soort veiligheidsgrenzen dat elk verantwoord AI-product meekrijgt. Het onderzoek van Dream Security wees uit dat de operators die grenzen omzeilden door hun instructies te presenteren als een geautoriseerde penetratietest, een framing die de agenten accepteerden en waarop ze vervolgens handelden met echte overheidsinfrastructuur als doelwit. Amir Becker, Chief Strategy Officer van Dream Security en voorheen verantwoordelijk voor operaties binnen de Israëlische inlichtingeneenheid 8200, zei dat hij nog nooit eerder een aanval had gezien die zo dicht in de buurt kwam van volledig autonoom, van begin tot eind, gericht op een overheidsdoelwit.

Die omzeiling weegt zwaarder dan de specifieke inbraak zelf. Ze laat zien dat de veiligheidsframing die in de huidige agentframeworks is ingebouwd, kan worden omzeild met een geloofwaardig dekverhaal, niet verslagen met nieuwe code. Elke organisatie die intern agentische AI inzet, of zich ertegen verdedigt, zou de uitdrukking geautoriseerde test moeten behandelen als iets dat tegen een echt autorisatieregister moet worden geverifieerd, niet als iets dat vanzelfsprekend is aan het verzoek zelf.

Dit is een voorproefje, geen verhaal dat alleen over Taiwan gaat

Het detail dat een Europese ondernemer of CISO zou moeten verontrusten, is niet het aangevallen land, maar de tool. Hermes en OpenClaw zijn publiek, gratis en niet specifiek voor Taiwan gebouwd. Dezelfde combinatie, gericht op een Europees overheidsportaal, energiebedrijf of ziekenhuisnetwerk met vergelijkbare single-sign-on- en API-infrastructuur, heeft geen statelijk budget en geen maatwerkmalware nodig om een vergelijkbare schaal te bereiken. Opensource agentframeworks verlagen de vaardigheidsdrempel voor een meerdaagse, zelfaanpassende inbraak tot ongeveer het niveau van een bekwame scriptgebruiker die bereid is documentatie te lezen, niet dat van een statelijke cybereenheid.

Voor Europese kritieke infrastructuur verandert dat de planningsvraag van of dit zou kunnen gebeuren naar wanneer een variant hiervan de eigen single-sign-on-laag raakt, en of iemand merkt dat een machine in plaats van een mens de aanval uitvoert. Voor Nederlandse beheerders, die al onder de omzetting van de NIS2-richtlijn en het toezicht van het NCSC-NL vallen, waaronder energiebedrijven en overheden, is dit geen abstract scenario maar precies de use case waarvoor de nieuwe meldplichten zijn bedoeld. Praktische stappen om nu te budgetteren: controleren welke interne systemen API-oppervlak blootstellen aan service-accounts, detectie toevoegen voor agentachtige gedragspatronen zoals snel opeenvolgend aftasten van veel eindpunten in plaats van losse mislukte logins, en eisen dat elk toegangsverzoek van een AI-agent, intern of extern, een verifieerbare autorisatiereferentie draagt in plaats van een zelfverklaring.

Lees hierna: Een open eindpunt werd de uitvalsbasis  |  Zes mensen verkochten net het moeilijke deel van agentidentiteit