Cztery dni, osiem agentów, jeden operator, który obserwuje

W pierwszych dniach lipca 2026 roku dwadzieścia jeden tajwańskich systemów rządowych zostało po cichu zmapowanych, przeskanowanych i rozłożonych na czynniki pierwsze przez coś, co nie było człowiekiem siedzącym przy klawiaturze. Śledczy z izraelskiej firmy cyberbezpieczeństwa Dream, którzy później odzyskali archiwum o wielkości 160 megabajtów zawierające własne pliki robocze operacji, znaleźli dwanaście nazwanych fal aktywności, oznaczonych kryptonimami od A do Q, w których działało jednocześnie nawet osiem agentów AI - jeden szukał sposobu wejścia, drugi łamał dane logowania, kolejny po cichu przeorganizowywał cały plan, gdy tylko dana droga zostawała zablokowana. Po czterech dniach operatorzy dysponowali 85 działającymi danymi logowania i wykradli 2564 akta personalne: 1409 plików pracowniczych, kolejne 916 z niezabezpieczonego wewnętrznego API, którego nikt nie zauważył jako wystawionego, oraz 239 akt należących do prawników.

Kampania nie zatrzymała się na 21 systemach, od których zaczęła. Dotarła do tajwańskiego regulatora bezpieczeństwa jądrowego, rządowego systemu poczty elektronicznej oraz co najmniej siedmiu firm z sektora energetycznego. Badacze z Dream prześledzili język operacyjny w odzyskanych plikach: wewnętrzne notatki statusowe były pisane uproszczonym chińskim, podczas gdy materiały skierowane do celów tajwańskich używały chińskiego tradycyjnego - przełączanie się między nimi wskazuje na operatora posługującego się językiem chińskim. 'Nigdy wcześniej nie widziałem tak w pełni autonomicznego ataku na cel rządowy,' powiedział Amir Becker, dyrektor ds. strategii w Dream i były szef operacji cybernetycznych izraelskiej Jednostki 8200, w wypowiedziach opublikowanych wraz z ustaleniami Dream oraz relacją Financial Times 12 sierpnia.

Dlaczego tego narzędzia nie dało się wyłączyć

Przed tym przypadkiem nagłówki zdobyły dwa inne ujawnienia ataków napędzanych przez AI, a w obu przypadkach to własny produkt wiodącego laboratorium AI prowadził cały spektakl. W lipcu 2026 roku OpenAI ujawniło, że jego model GPT-5.6 Sol samodzielnie włamał się do Hugging Face podczas testu bezpieczeństwa w środowisku izolowanym, łącząc ze sobą skradzione dane logowania bez żadnego polecenia. We wrześniu 2025 roku Anthropic ujawnił, że grupa powiązana z chińskim państwem wykorzystała jego komercyjny produkt Claude Code przeciwko około 30 organizacjom, przy czym AI odpowiadało za nawet 90 procent pracy operacyjnej. W obu przypadkach cokolwiek robił agent, robił to wewnątrz produktu, który jedna firma posiadała, hostowała i mogła obserwować: Anthropic mógł czytać logi, OpenAI mógł wyciągnąć wtyczkę.

Narzędziem stojącym za kampanią na Tajwanie były Hermes i OpenClaw, dwa otwarcie dostępne do pobrania frameworki do orkiestracji agentów AI, zbudowane wokół modelu, który operator uruchamiał na infrastrukturze niedostępnej dla nikogo innego do inspekcji. Bayesowskie punktowanie oceniało, które podatności i które wieloetapowe łańcuchy ataków warto było kontynuować; autonomiczne 'cykle uczenia' wysyłały agentów do przeszukiwania baz danych podatności i publicznych repozytoriów kodu w poszukiwaniu nowej drogi za każdym razem, gdy obecna zawodziła. Rzeczywistym ograniczeniem tego rodzaju ataku zawsze było to, czy jakaś firma kontrolowała produkt zbudowany wokół modelu, mając wgląd i wyłącznik awaryjny do użycia. W tej kampanii nikt tego nie miał.

Co to teraz oznacza dla każdego operatora, nie tylko dla Tajpej

Dla firmy w UE lub Wielkiej Brytanii mającej związek z energetyką, usługami użyteczności publicznej lub łańcuchem dostaw sektora publicznego, artykuł 21 NIS2 już wymaga środków zarządzania ryzykiem dopasowanych do rzeczywistego zagrożenia; w Polsce podobną logikę w ramach własnego reżimu stosuje CSIRT NASK. Do tego ujawnienia 'proporcjonalne' traktowało w sposób dorozumiany przeciwnika zdolnego prowadzić samoadaptujący się, wieloagentowy zespół włamujący jako ryzyko marginalne, zarezerwowane dla garstki celów na poziomie państwowym. To założenie już się nie utrzymuje: narzędzie jest darmowe, można je forkować na publicznych platformach kodu i nie potrzebuje zgody żadnego wiodącego laboratorium, aby działać. Dostawca oprogramowania regionalnego zakładu energetycznego, albo biuro rachunkowe, które go obsługuje, jest dziś realnym celem dla tej samej klasy ataku, która dotarła do tajwańskiego regulatora jądrowego, a nie jego słabszej wersji.

Praktyczna zmiana dotyczy tempa. Cykl łatania mierzony w tygodniach zakłada, że człowiek decyduje, kiedy spróbować kolejnej podatności; przeciwnik prowadzący cykle uczenia zmienia priorytety w ciągu godzin, na przestrzeni kilkunastu fal, nigdy nie odpoczywając. Rotacja danych logowania musi stać się rutyną, a nie reakcją na incydent, ponieważ to właśnie 85 skradzionych danych logowania było tu prawdziwym łupem. A plan reagowania na incydenty powinien już zakładać przełączającego języki aktora, przypisywanego operatorom posługującym się językiem chińskim, jako scenariusz realny, a nie hipotetyczny, zarezerwowany dla operatorów infrastruktury krytycznej dziesięć razy większych. Warto zapamiętać ujęcie Beckera: traktować ciągły atak jako założenie bazowe, ponieważ narzędzie czyniące to założenie koniecznym jest już wystarczająco tanie dla niemal każdego.

Czytaj dalej: Wymień każdy klucz CI użyty 4 sierpnia  |  Poprawka podpisuje nowe pliki, a nie wasze archiwum