Hakerzy uruchomili grupę agentów sztucznej inteligencji i wskazali jej cel. Później maszyny same podzieliły się zadaniami, sprawdzały zabezpieczenia, zdobywały hasła i zmieniały taktykę. W ciągu czterech dni przejęto 85 kont i zdobyto ponad 2500 kartotek.
Co właściwie wydarzyło się na Tajwanie?
Na początku lipca 2026 r. system wykorzystujący sztuczną inteligencję zaatakował tajwańskie instytucje państwowe. Operacja trwała od 1 do 4 lipca i składała się z dwunastu kolejnych fal. W tym czasie agenci AI analizowali systemy administracji, szukali słabych zabezpieczeń i próbowali dostać się do chronionych danych.
W jednej chwili mogło działać do ośmiu agentów. Nie wykonywali wszyscy tego samego zadania. Część zajmowała się rozpoznaniem sieci, inne szukały błędów, a pozostałe sprawdzały, czy odnalezione luki naprawdę da się wykorzystać.
Człowiek nadal był potrzebny do rozpoczęcia całej operacji. Operatorzy wybrali cel, przygotowali komputery, zapewnili dostęp do internetu i uruchomili odpowiednie narzędzia. Nie musieli jednak dokładnie opisywać każdego kolejnego kroku.
Kto wykrył tę operację?
Ślady ataku odnalazła izraelska firma Dream Research Labs. Badacze dotarli do archiwum zawierającego 1395 plików i zajmującego ponad 160 MB. W środku znajdowały się raporty agentów, wyniki prób włamania oraz informacje pokazujące, jak system wybierał kolejne cele.
Dream najpierw przedstawiło swoje ustalenia dziennikowi „Financial Times”. To właśnie brytyjskie medium podało, że zaatakowanym państwem był Tajwan. Później raport szczegółowo omówiło również francuskie „Le Figaro”.
Francuski dziennik nie przeprowadził własnego dochodzenia technicznego, lecz opisał materiały przygotowane przez Dream. Ważne potwierdzenie nadeszło następnie od tajwańskich władz. Ministerstwo Spraw Cyfrowych przyznało w odpowiedzi udzielonej Reutersowi, że w lipcu wykryto zagraniczne ataki łączące działania ludzi z pracą agentów AI.
Nie wszystkie szczegóły można jednak niezależnie sprawdzić. Dream nie udostępniło Reutersowi całego archiwum i oficjalnie nie podało nazwy zaatakowanego państwa. Dokładne liczby i opis zachowania agentów pochodzą więc przede wszystkim z raportu firmy Dream.
Jak maszyny podzieliły się pracą?
Atakujący wykorzystali dwa dostępne publicznie środowiska o nazwach Hermes i OpenClaw. Pozwalają one zmienić model językowy w program zdolny do korzystania z innych narzędzi i wykonywania dłuższych zadań. Taki agent może zapisywać wyniki, przekazywać pracę innemu agentowi i kontynuować działanie bez ciągłych poleceń człowieka.
Dream odnalazło w dokumentacji agentów oznaczonych literami. Każdy z nich otrzymywał osobną misję. System analizował równocześnie czternaście możliwych dróg prowadzących do tajwańskich danych.
Agenci nie działali całkowicie przypadkowo. Oceniali, które metody mają większą szansę powodzenia, a następnie przesuwali uwagę na najbardziej obiecujące cele. Kiedy jedna próba kończyła się niepowodzeniem, system nie zatrzymywał całej operacji, lecz szukał innego rozwiązania.
To najważniejsza różnica między agentami AI a zwykłymi programami służącymi do automatyzacji ataków. Tradycyjne narzędzie realizuje wcześniej przygotowany zestaw instrukcji. Agent może zareagować na nową sytuację i zmodyfikować plan.
Jak AI znalazła wejście do państwowej sieci?
Początkiem rozpoznania był pojedynczy portal administracji. Agenci przeanalizowali jego elementy i odnaleźli informacje o innych usługach połączonych z tą samą infrastrukturą. W ten sposób powstała mapa obejmująca 21 systemów rządowych.
Na jednym z nich AI rozpoznała ponad 36 interfejsów pozwalających między innymi pobierać dane, przesyłać pliki i zarządzać kontami. Nie wszystkie wymagały prawidłowego logowania. Jeden z systemów ujawniał dane tysięcy pracowników wraz z identyfikatorami używanymi w administracji.
Agenci znaleźli też oficjalny poradnik wyjaśniający, jak instytucje mają łączyć własne aplikacje ze wspólnym systemem logowania. Przeanalizowali przykładowy kod, ale nie uzyskali dzięki niemu skutecznej drogi wejścia. Po serii testów zrezygnowali z tego pomysłu.
Znacznie groźniejsze okazały się elementy przygotowane prawdopodobnie dla programistów testujących aplikacje. Według Dream trzy takie punkty dostępu pozwalały uzyskać aktywną sesję bez właściwego hasła. W innym miejscu znaleziono słabość dotyczącą cyfrowego potwierdzania tożsamości użytkownika.
W jaki sposób przejęto konta pracowników?
Identyfikatory zdobyte z niechronionej bazy posłużyły do odgadywania haseł. System sprawdzał proste kombinacje zbudowane na podstawie nazw kont, wielkich liter i popularnych symboli. Najpierw udało mu się dostać do 12 kont, a później do następnych 73.
Strona logowania korzystała z zabezpieczenia CAPTCHA, które miało blokować automaty. Agenci wykorzystali jednak program do rozpoznawania obrazu i rozwiązywali kolejne zadania. W rezultacie ta warstwa ochrony nie zatrzymała ataku.
Przejęte hasła testowano później w innych częściach państwowej sieci. Aż 84 konta działały również w wewnętrznym systemie administracji. Użytkownicy nie musieli ponownie podawać hasła ani zatwierdzać logowania za pomocą drugiego urządzenia.
Wspólny mechanizm logowania ułatwiał pracę urzędnikom, ale jednocześnie powiększał skutki włamania. Zdobycie jednego konta otwierało dostęp do wielu połączonych usług. Zamiast osobno łamać zabezpieczenia każdej aplikacji, agenci korzystali z zaufania istniejącego między nimi.
Czy AI potrafiła sprawdzać własne pomyłki?
Dokumentacja pokazuje, że agenci nie wierzyli bezwarunkowo we wszystkie wyniki. Siedem wykrytych początkowo problemów zostało później uznanych za fałszywe alarmy. System przeprowadzał dodatkowe testy, zanim uznał daną lukę za użyteczną.
W jednym przypadku agent zauważył, że serwer odpowiedział po 21 sekundach. Początkowo potraktował opóźnienie jako dowód skutecznego ataku na bazę danych. Kolejne próby wykazały, że zwłokę wywołał problem z wysyłaniem wiadomości e-mail.
Błędne rozpoznanie zostało odrzucone. Prawdziwe podatności miały być ponownie sprawdzane przez kilku innych agentów. Dzięki temu system stworzył własną odmianę kontroli jakości.
Gdy dostępne sposoby zawodziły, AI przeszukiwała internet w poszukiwaniu kolejnych pomysłów. Korzystała z baz znanych podatności, publicznych repozytoriów kodu i analiz przygotowanych przez ekspertów. Znalezione metody porównywano z zabezpieczeniami działającymi w tajwańskich systemach.
Jakie informacje trafiły do atakujących?
Według Dream zdobyto co najmniej 2564 kartoteki. W tej liczbie znalazły się dane 1409 pracowników administracji, 916 użytkowników jednego z systemów oraz 239 osób związanych z wymiarem sprawiedliwości. Atakujący pobrali również całą bazę użytkowników jednej z platform.
Zdobyte materiały pokazywały sposób budowy wewnętrznej sieci. Zawierały adresy, informacje potrzebne do łączenia się z bazami oraz szczegóły dotyczące wspólnego systemu logowania. Nawet nieaktualne dane mogły ułatwić przygotowanie następnego włamania.
Agenci podjęli również próbę umieszczenia na serwerze programu dającego zdalny dostęp. Plik został przesłany, ale dodatkowe zabezpieczenie nie pozwoliło go uruchomić. Nie doszło więc w tym przypadku do pełnego przejęcia maszyny.
Czy zagrożone były elektrownie i obiekty jądrowe?
Po zdobyciu pierwszych danych system rozszerzył poszukiwania. Agenci zaczęli sprawdzać dostawców obsługujących administrację, rządową pocztę, instytucję odpowiedzialną za bezpieczeństwo jądrowe oraz przynajmniej siedem firm energetycznych. Nie czekali na osobne wskazanie każdego z tych podmiotów przez człowieka.
Nie ma jednak potwierdzenia, że AI opanowała systemy kierujące energetyką lub bezpieczeństwem jądrowym. Raport mówi o skanowaniu tych instytucji oraz badaniu ich zabezpieczeń. Samo poszukiwanie luki nie oznacza jeszcze zdobycia kontroli nad infrastrukturą.
Mimo to wybór takich celów pokazuje możliwy kierunek kolejnych operacji. System, który rozpoczyna pracę od jednego portalu administracji, może później dotrzeć do firm i instytucji mających znaczenie dla działania całego państwa. Szczególnie groźne stają się powiązania z zewnętrznymi dostawcami.
Czy za atakiem rzeczywiście stały Chiny?
Wewnętrzna dokumentacja hakerów zawierała uproszczone znaki chińskie, stosowane głównie w Chińskiej Republice Ludowej. Materiały dotyczące Tajwanu zapisywano znakami tradycyjnymi. Zdaniem Dream może to świadczyć o udziale chińskojęzycznych operatorów.
Nie jest to jednak ostateczny dowód udziału chińskiego państwa. „Financial Times” pisał o podejrzeniu związków atakujących z Chinami, ale nie wskazał konkretnej grupy. Tajwan potwierdził zagraniczne pochodzenie operacji, nie oskarżając bezpośrednio władz w Pekinie.
Autorzy ataków często celowo pozostawiają mylące ślady. Język dokumentacji jest ważną wskazówką, ale nie wystarcza do jednoznacznego przypisania odpowiedzialności. Dlatego bezpieczniej mówić o podejrzeniu udziału operatorów powiązanych z Chinami.
Czy był to pierwszy samodzielny cyberatak AI?
Sztuczna inteligencja była już wcześniej używana do prowadzenia rozbudowanych operacji hakerskich. W 2025 r. firma Anthropic wykryła kampanię, w której model Claude miał wykonywać większość technicznych czynności podczas ataków na około 30 organizacji. W lipcu 2026 r. modele testowane przez OpenAI wykorzystały lukę i dostały się do infrastruktury Hugging Face.
Przypadek Tajwanu wyróżnia sposób współpracy wielu agentów. System prowadził rozpoznanie, oceniał możliwe drogi wejścia, zdobywał dane logowania i badał następne cele. Znaczna część tej pracy odbywała się bez wydawania szczegółowych instrukcji przez operatora.
Nie był to jednak atak całkowicie niezależny od ludzi. To człowiek wybrał ofiarę, przygotował środowisko i określił zadanie. AI przejęła dużą część wykonania, lecz nie rozpoczęła operacji z własnej inicjatywy.
Dlaczego ta historia jest tak niebezpieczna?
Najgroźniejsze nie są nowe metody, lecz szybkość ich stosowania. Wykorzystano dobrze znane problemy, takie jak słabe hasła, niechronione interfejsy, brak dodatkowego potwierdzania logowania i testowe rozwiązania pozostawione w działających systemach. AI potrafiła jednak jednocześnie sprawdzać wiele miejsc i natychmiast reagować na wyniki.
Tajwan już wcześniej znajdował się pod ogromną presją. W 2025 r. jego infrastruktura rejestrowała średnio 2,63 mln cyberataków dziennie. Agenci AI mogą zmienić masowe, lecz proste próby w operacje, które dostosowują się do zachowania każdego celu.
Spada także koszt przygotowania włamania. Pracę wymagającą dotychczas większego zespołu można częściowo powierzyć maszynom działającym przez całą dobę. Dzięki temu ta sama grupa będzie w stanie atakować więcej urzędów, przedsiębiorstw i państw.
Obrona pozostaje znacznie trudniejsza. Administracja musi zabezpieczyć wszystkie aplikacje, konta, serwery i firmy zewnętrzne. Hakerzy potrzebują tylko jednego słabego miejsca, aby rozpocząć dalsze rozpoznanie.
Historia Tajwanu nie oznacza, że sztuczna inteligencja wypowiedziała ludziom wojnę. Pokazuje coś bardziej realnego: człowiek może uruchomić cyfrowy zespół i pozwolić mu przez kilka dni samodzielnie szukać wejścia do państwowej sieci. To wystarcza, aby dotychczasowe metody obrony zaczęły przegrywać z tempem maszyn.
Krzysztof Matuń
