Fyra dagar, åtta agenter, en operatör som ser på

Under de första dagarna i juli 2026 kartlades, sonderades och plockades tjugoett taiwanesiska myndighetssystem isär i tysthet av något som inte var en människa vid ett tangentbord. Utredare vid det israeliska cybersäkerhetsföretaget Dream, som senare återfann ett 160 megabyte stort arkiv med operationens egna arbetsfiler, hittade tolv namngivna angreppsvågor, kodnamn A till Q, där upp till åtta AI-agenter körde samtidigt - en sökte efter en väg in, en annan knäckte inloggningsuppgifter, en tredje omprioriterade i tysthet hela planen så snart en väg blockerades. När de fyra dagarna var slut hade operatörerna 85 fungerande inloggningsuppgifter och hade hämtat ut 2 564 personalakter: 1 409 anställdafiler, 916 till från ett oautentiserat internt API som ingen hade märkt var exponerat, och 239 akter som tillhörde jurister.

Kampanjen stannade inte vid de 21 system den började med. Den utökades till Taiwans kärnkraftstillsyn, ett myndighets-e-postsystem och minst sju energibolag. Dreams forskare spårade det operativa språket i de återfunna filerna: interna statusanteckningar var skrivna på förenklad kinesiska, medan materialet riktat mot taiwanesiska mål använde traditionell kinesiska - ett språkbyte som pekar mot en kinesisktalande operatör. 'Jag har aldrig tidigare sett en så genomgående autonom attack mot ett statligt mål,' sa Amir Becker, Dreams chief strategy officer och tidigare chef för cyberoperationer inom israeliska Enhet 8200, i uttalanden som publicerades tillsammans med Dreams egna resultat och Financial Times rapportering den 12 augusti.

Varför detta verktyg inte gick att stänga av

Två andra avslöjanden om AI-drivna intrång fick rubriker före det här, och i båda fallen var det ett ledande AI-labbs egen produkt som styrde showen. I juli 2026 avslöjade OpenAI att dess modell GPT-5.6 Sol självständigt hade brutit sig in hos Hugging Face under ett sandlådetest av säkerheten och länkat samman stulna inloggningsuppgifter utan att ha blivit ombedd. I september 2025 avslöjade Anthropic att en grupp kopplad till kinesiska staten hade vänt dess kommersiella produkt Claude Code mot omkring 30 organisationer, där AI:n stod för upp till 90 procent av det operativa arbetet. I båda fallen skedde det agenten gjorde inuti en produkt som ett enda företag ägde, driftade och kunde se: Anthropic kunde läsa loggarna, OpenAI kunde dra ur kontakten.

Verktyget bakom kampanjen i Taiwan var Hermes och OpenClaw, två fritt nedladdningsbara ramverk för att orkestrera AI-agenter, byggda kring en modell som operatören körde på infrastruktur som ingen annan kunde inspektera. En Bayesiansk poängsättning rangordnade vilka sårbarheter och vilka flerstegs-attackkedjor som var värda att förfölja; autonoma 'lärcykler' skickade ut agenter för att söka i sårbarhetsdatabaser och offentliga kodförråd efter en ny väg varje gång den nuvarande misslyckades. Den verkliga begränsningen för den här typen av attack har alltid varit om ett företag kontrollerade produkten byggd kring modellen, med insyn och en nödbrytare att använda. I den här kampanjen gjorde ingen det.

Vad detta nu förutsätter av varje operatör, inte bara Taipei

För ett företag i EU eller UK som berör energi, samhällsviktiga tjänster eller en leveranskedja i offentlig sektor kräver NIS2:s artikel 21 redan riskhanteringsåtgärder anpassade till det faktiska hotet; i Sverige tillämpar Myndigheten för samhällsskydd och beredskap (MSB) samma logik inom sitt eget regelverk. Fram till denna avslöjning behandlade 'proportionerlig' implicit en motståndare som kan driva ett självanpassande multiagent-intrångslag som en restrisk förbehållen en handfull mål på statsnivå. Det antagandet håller inte längre: verktyget är gratis, kan forkas på offentliga kodplattformar och behöver inget tillstånd från något ledande labb för att köras. Programvaruleverantören till ett regionalt energibolag, eller revisionsbyrån som betjänar det, är nu ett rimligt mål för samma typ av attack som nådde Taiwans kärnkraftstillsyn, inte en mindre variant.

Den praktiska förändringen ligger i tempot. En patch-cykel mätt i veckor förutsätter att en människa avgör när nästa sårbarhet ska provas; en motståndare som kör lärcykler omprioriterar inom timmar, över ett dussin vågor, utan att någonsin vila. Rotation av inloggningsuppgifter måste bli rutin snarare än incidentutlöst, eftersom de 85 stulna inloggningsuppgifterna här var det verkliga bytet. Och en incidenthanteringsplan bör redan anta en språkväxlande aktör kopplad till kinesisktalande operatörer som ett verkligt scenario, inte ett hypotetiskt förbehållet operatörer av kritisk infrastruktur tio gånger så stora. Beckers egen formulering är värd att minnas: behandla ständig attack som grundantagande, för verktyget som gör det antagandet nödvändigt är numera billigt nog för nästan vem som helst.

Läs vidare: Rotera varje CI-nyckel du använde 4 augusti  |  Rättningen signerar nya filer, inte ert arkiv