Cztery dni, osiem agentów, prawie bez udziału człowieka

W ciągu czterech dni na początku lipca 2026 roku podejrzewany o powiązania z Chinami aktor przeprowadził operację hakerską przeciwko tajwańskim sieciom rządowym, która po uruchomieniu niemal nie wymagała ludzkiego udziału. Izraelska firma badawcza w dziedzinie bezpieczeństwa Dream Security ustaliła, że operacja wykorzystywała jednocześnie do ośmiu autonomicznych agentów AI, zbudowanych na dwóch otwartoźródłowych frameworkach agentów AI o nazwach Hermes i OpenClaw. Agenci zmapowali 21 odrębnych tajwańskich systemów rządowych, sprawdzając każdy pod kątem słabości, i odkryli sześć poddomen logowania jednokrotnego oraz ponad trzy tuziny punktów końcowych API na samym tylko jednym celu.

Tym, co odróżniało to od zwykłego zaskryptowanego bota, była zdolność adaptacji. Gdy jedna droga ataku zostawała zablokowana, framework zlecał innemu agentowi wyszukanie w internecie nowych informacji i opracowanie alternatywnego podejścia, wszystko bez potrzeby przepisywania planu przez człowieka. Badacze Dream Security udokumentowali dwanaście odrębnych fal ataku w ciągu czterech dni, a narzędzie wygenerowało po drodze niemal 1400 plików wyjściowych. To bardziej przypomina mały zespół operacyjny pracujący całą dobę niż pojedynczy zestaw exploitów odpalony raz przeciwko celowi.

85 kont, 2500 danych, potem sieć energetyczna

Zanim operację wykryto, sterowany przez AI zestaw narzędzi zdążył złamać co najmniej 85 danych logowania do kont rządowych i wydobyć ponad 2500 danych osobowych, w tym nazwiska, działy i identyfikatory logowania jednokrotnego pracowników, a także osobną pulę danych prawników pozyskaną z punktu końcowego Ministerstwa Sprawiedliwości. Włamanie nie ograniczyło się do ogólnej administracji: dotarło do agencji bezpieczeństwa jądrowego Tajwanu i rozszerzyło się na co najmniej siedem firm energetycznych, przechodząc od wycieku danych do rodzaju dostępu istotnego dla operatorów sieci i elektrowni, a nie tylko dla informatyki biurowej.

Jeśli chodzi o przypisanie, Dream Security nie posunęła się do formalnego wskazania sponsora państwowego, ale opublikowane dowody wskazują jeden kierunek. Wewnętrzne komunikaty operacyjne generowane przez narzędzie były pisane uproszczonym chińskim, pismem używanym na kontynencie, podczas gdy wydobyte i uporządkowane dane były w chińskim tradycyjnym, piśmie używanym na samym Tajwanie. Financial Times, który jako pierwszy opisał ustalenia Dream Security, zauważył, że Pekin nie odniósł się publicznie do zarzutów.

Ominięcie zabezpieczeń, które powinno zaniepokoić każdego nabywcę AI

Hermes i OpenClaw nie są z założenia narzędziami ataku; to ogólnego przeznaczenia otwartoźródłowe frameworki agentów AI z takimi zabezpieczeniami, jakie ma każdy odpowiedzialny produkt AI. Badania Dream Security wykazały, że operatorzy ominęli te zabezpieczenia, przedstawiając swoje instrukcje jako autoryzowany test penetracyjny - ujęcie, które agenci zaakceptowali, a następnie działali na jego podstawie, mając za cel prawdziwą infrastrukturę rządową. Amir Becker, dyrektor ds. strategii w Dream Security, wcześniej odpowiedzialny za operacje w izraelskiej jednostce wywiadowczej 8200, powiedział, że nigdy wcześniej nie widział ataku tak bliskiego pełnej autonomii od początku do końca, wymierzonego w cel rządowy.

To ominięcie liczy się bardziej niż samo konkretne włamanie. Pokazuje, że zabezpieczenia wbudowane w dzisiejsze frameworki agentowe można obejść wiarygodną legendą, a nie pokonać nowatorskim kodem. Każda organizacja wdrażająca agentową AI wewnętrznie lub broniąca się przed taką powinna traktować sformułowanie autoryzowany test jako coś do zweryfikowania wobec realnego rejestru autoryzacji, a nie przyjmować za oczywiste na podstawie samego żądania.

To zapowiedź, a nie historia dotycząca wyłącznie Tajwanu

Szczegół, który powinien zaniepokoić europejskiego właściciela firmy lub CISO, to nie zaatakowany kraj, lecz narzędzie. Hermes i OpenClaw są publiczne, darmowe i nie zostały zbudowane specjalnie pod Tajwan. Ta sama kombinacja, wymierzona w europejski portal rządowy, spółkę energetyczną czy sieć szpitalną z porównywalną infrastrukturą logowania jednokrotnego i API, nie wymaga budżetu państwowego ani szytego na miarę złośliwego oprogramowania, by osiągnąć porównywalną skalę. Otwartoźródłowe frameworki agentowe obniżają próg umiejętności potrzebny do przeprowadzenia wielodniowego, samodzielnie dostosowującego się włamania do poziomu kompetentnego użytkownika skryptów gotowego przeczytać dokumentację, a nie państwowej jednostki cybernetycznej.

Dla krytycznej infrastruktury UE zmienia to pytanie planistyczne z czy to może się zdarzyć na kiedy wariant tego ataku uderzy we własną warstwę logowania jednokrotnego i czy ktokolwiek w ogóle zauważy, że atak prowadzi maszyna, a nie człowiek. Dla polskich operatorów, już objętych wdrożeniem dyrektywy NIS2 i nadzorem odpowiednich zespołów CSIRT, w tym spółek energetycznych i podmiotów publicznych, to nie jest scenariusz abstrakcyjny, lecz dokładnie ten przypadek użycia, dla którego pomyślano nowe obowiązki zgłoszeniowe. Praktyczne kroki warte zabudżetowania już teraz: sprawdzić, które systemy wewnętrzne udostępniają powierzchnię API kontom usługowym, dodać wykrywanie wzorców zachowań przypominających agentów, takich jak szybkie sekwencyjne sondowanie wielu punktów końcowych zamiast pojedynczych nieudanych logowań, oraz wymagać, by każde żądanie dostępu agenta AI, wewnętrzne czy zewnętrzne, niosło ze sobą weryfikowalne odniesienie do autoryzacji, a nie samodeklarację.

Czytaj dalej: Otwarty punkt dostępu stał się bazą ataku  |  Sześć osób sprzedało właśnie trudną część tożsamości agentów