AI dostała cel i sama poprowadziła atak na Tajwan

Ośmiu agentów sztucznej inteligencji pracujących równolegle, dwanaście fal operacji, 21 rozpoznanych systemów państwowych, 85 przejętych kont i ponad 2500 wykradzionych kartotek. Z raportu izraelskiej firmy Dream Research Labs wyłania się obraz jednej z najbardziej zaawansowanych znanych operacji cybernetycznych prowadzonych przy wykorzystaniu AI. Człowiek wskazał przeciwnika i przygotował narzędzia, ale później system sam planował kolejne działania, sprawdzał wyniki i zmieniał metody ataku.

.Zaczęło się od odnalezienia archiwum. Na początku lipca 2026 r. badacze Dream Research Labs dotarli do cyfrowego środowiska roboczego używanego przez atakujących instytucje państwowe w Azji. Zbiór o wielkości ponad 160 MB zawierał 1395 plików, dokumentację kolejnych prób włamania, raporty agentów, wyniki analiz oraz ślady procesu, w którym system wybierał najbardziej obiecujące drogi prowadzące do celu.

Na podstawie tego archiwum Dream odtworzyło cztery dni operacji przeprowadzonej między 1 a 4 lipca. Ustalenia zostały najpierw przekazane „Financial Times”, który jako pierwszy wskazał, że zaatakowanym państwem był Tajwan. Następnie z raportem zapoznało się „Le Figaro”, szeroko opisując sposób działania agentów AI i zwracając uwagę na bezprecedensowy poziom ich samodzielności.

Dodatkowe potwierdzenie przyniosła odpowiedź władz Tajwanu udzielona Reutersowi. Tajwańskie Ministerstwo Spraw Cyfrowych poinformowało, że w lipcu rzeczywiście wykryto nietypowe ataki na instytucje rządowe, pochodzące spoza wyspy i łączące działania człowieka z pracą agentów AI. Od 20 lipca Narodowy Instytut Cyberbezpieczeństwa wydawał ostrzeżenia, uruchomiono dochodzenie i rozpoczęto zabezpieczanie zagrożonych systemów.

Szczegóły techniczne operacji nadal pochodzą przede wszystkim z analizy Dream. Firma odmówiła Reutersowi udostępnienia odnalezionego archiwum i nie podała oficjalnie nazwy zaatakowanego państwa. Można więc uznać za potwierdzone, że Tajwan stał się celem zagranicznej operacji wykorzystującej agentów AI, ale najbardziej szczegółowe dane dotyczące jej przebiegu pozostają ustaleniami jednej firmy badawczej.

System, który zamienił model w zespół

Atakujący wykorzystali dwa ogólnodostępne środowiska agentowe Hermes i OpenClaw. Nie są to same modele językowe, lecz rozwiązania pozwalające modelowi korzystać z zewnętrznych narzędzi, zapisywać wyniki pracy, utrzymywać pamięć między kolejnymi etapami oraz delegować zadania wyspecjalizowanym agentom. Dream nie ustaliło, jaki konkretnie model językowy był sercem całego systemu.

Ludzie nadal odgrywali w operacji rolę decydującą. Wybrali cel, zbudowali infrastrukturę, zapewnili dostęp do internetu i oprogramowania, określili ogólne zadanie oraz uruchomili system. Nie prowadzili jednak agentów przez każdą kolejną czynność, nie wskazywali im wszystkich systemów, które należy zbadać, ani nie przygotowywali z góry pełnej sekwencji włamania.

W dokumentacji odnaleziono agentów oznaczonych literami od A do Q. Podczas pojedynczej fali mogło działać jednocześnie do ośmiu z nich, przy czym każdy otrzymywał odrębny obszar odpowiedzialności. Jeden agent analizował system logowania, inny poszukiwał niezabezpieczonych interfejsów, kolejny sprawdzał hasła, a następne weryfikowały, czy znalezione podatności rzeczywiście można wykorzystać.

W ciągu czterech dni system przeprowadził dwanaście udokumentowanych fal operacji i analizował czternaście potencjalnych dróg ataku. Nie wybierał ich przypadkowo, lecz oceniał prawdopodobieństwo powodzenia poszczególnych metod, zestawiał przewidywany efekt z istniejącymi przeszkodami i kierował większe zasoby tam, gdzie szansa uzyskania dostępu wydawała się największa. Gdy jedna droga okazywała się zamknięta, jej znaczenie spadało, a pierwszeństwo otrzymywała inna.

Właśnie ta zdolność odróżnia opisaną platformę od tradycyjnego zestawu automatycznych narzędzi hakerskich. Zwykły skrypt powtarza przygotowaną wcześniej sekwencję działań i zatrzymuje się, kiedy sytuacja przestaje odpowiadać założonemu scenariuszowi. System agentowy może przeanalizować niepowodzenie, zlecić poszukiwanie nowych informacji, stworzyć alternatywny plan i wrócić do ataku inną drogą.

Od jednego portalu do 21 systemów państwowych

Punktem wejścia do całej infrastruktury był jeden rządowy portal. Agenci pobrali elementy jego aplikacji, przeanalizowali zawarte w nich informacje i odnaleźli adresy kolejnych usług, konfigurację systemu uwierzytelniania oraz połączenia prowadzące do innych instytucji. Z jednego miejsca system dotarł do 21 powiązanych platform państwowych.

Agenci odtworzyli znaczną część architektury wspólnego systemu logowania, w tym sześć jego obszarów, punkty wymiany danych oraz obsługiwane metody potwierdzania tożsamości. Na jednym z badanych celów znaleźli ponad 36 interfejsów umożliwiających zarządzanie kontami, pobieranie informacji, przesyłanie plików i wykonywanie funkcji administracyjnych. Część tych interfejsów była dostępna bez prawidłowego uwierzytelnienia.

Jeden z systemów ujawniał w ten sposób bazę obejmującą tysiące pracowników. Zawierała ona nazwiska, informacje o departamentach oraz identyfikatory używane podczas logowania. Dane, które same w sobie nie musiały jeszcze dawać dostępu do chronionych zasobów, stały się materiałem do przygotowania następnego etapu operacji.

Agenci odnaleźli również oficjalną dokumentację opisującą sposób podłączania lokalnych instytucji do krajowego systemu uwierzytelniania. Pobrali przykładowe projekty aplikacji i wykorzystali model do analizy ich kodu. Rozpoznane tam problemy nie przełożyły się jednak na skuteczne włamanie do działających systemów, dlatego ta droga została później porzucona.

Znacznie skuteczniejsze okazały się pozostawione w środowisku produkcyjnym punkty dostępu przeznaczone prawdopodobnie do testowania aplikacji. Według Dream trzy z nich pozwalały uzyskać uwierzytelnioną sesję bez przedstawienia prawidłowych danych logowania. System wykrył także błąd w sprawdzaniu cyfrowych tokenów tożsamości, który mógł umożliwiać podszywanie się pod uprawnionych użytkowników.

Równolegle rozpoczęto automatyczne sprawdzanie przewidywalnych haseł utworzonych na podstawie wcześniej zdobytych identyfikatorów pracowników. Portal chronił dostęp za pomocą CAPTCHA, lecz wykorzystane oprogramowanie do rozpoznawania obrazu prawidłowo odczytywało kolejne zadania. W pierwszej serii przejęto 12 kont, a po rozpoznaniu dodatkowych sposobów tworzenia haseł kolejne 73.

Zdobyte dane logowania były następnie sprawdzane w innych systemach połączonych mechanizmem Single Sign-On. Aż 84 z 85 przejętych kont pozwalały uzyskać dostęp do wewnętrznej infrastruktury bez dodatkowego potwierdzenia tożsamości, uwierzytelnienia wieloskładnikowego lub ponownego wprowadzenia hasła. Jeden słaby punkt systemu logowania otwierał więc drogę do wielu usług, które ufały raz potwierdzonej tożsamości użytkownika.

Skutki tego błędu zostały zwielokrotnione przez samą architekturę administracji. Rozwiązanie mające ułatwiać pracownikom przechodzenie między aplikacjami sprawiło, że przejęcie pojedynczego konta nie ograniczało się do jednej platformy. Agenci mogli poruszać się między systemami, sprawdzać uprawnienia użytkownika i poszukiwać miejsc, w których dostęp prowadził do najcenniejszych informacji.

System stworzył własny mechanizm kontroli błędów

Najbardziej znaczący element operacji ujawnił się nie wtedy, gdy AI znalazła rzeczywistą lukę, lecz gdy potrafiła zakwestionować własne ustalenia. W końcowym zestawieniu odnotowano siedem potencjalnych podatności, które po kolejnych testach zostały uznane za fałszywe alarmy. System nie tylko gromadził sukcesy, ale także usuwał z planu metody oparte na błędnie zinterpretowanych sygnałach.

Podczas jednej z prób agent zauważył, że odpowiedź serwera nadeszła z 21-sekundowym opóźnieniem. Początkowo uznał to za dowód, że udało się wpłynąć na działanie bazy danych. Dalsze sprawdzenie wykazało jednak, że zwłoka była skutkiem problemu z wysłaniem wiadomości weryfikacyjnej przez serwer pocztowy, a nie wynikiem przeprowadzonego ataku.

Hipoteza została usunięta z listy potwierdzonych podatności. Według dokumentacji analizowanej przez Dream każda luka, która ostatecznie trafiała do planu operacyjnego, musiała przejść kilka niezależnych serii sprawdzeń wykonywanych przez innych agentów. Maszyna próbowała więc odtworzyć procedurę wzajemnej kontroli stosowaną przez zespoły doświadczonych analityków.

Platforma prowadziła także kolejne „cykle uczenia się”. Gdy dostępne metody nie dawały rezultatu, wyspecjalizowani agenci przeszukiwali bazy podatności, repozytoria kodu i publikacje dotyczące bezpieczeństwa, szukając rozwiązań pasujących do infrastruktury konkretnego przeciwnika. Nowe pomysły klasyfikowano według ich przydatności, dostępności gotowych przykładów, spodziewanej skuteczności oraz pilności zastosowania.

Nie oznacza to, że system zdobywał wiedzę w sposób porównywalny z ludzkim doświadczeniem. Korzystał z istniejących materiałów, narzędzi i wcześniej przygotowanych zasad oceny. Potrafił jednak połączyć te elementy w proces trwający przez wiele etapów, w którym wyniki jednej fali wpływały na plan następnej bez potrzeby zatwierdzania każdego ruchu przez operatora.

Co zdobyli atakujący?

Według Dream agenci pozyskali co najmniej 2564 kartoteki osobowe. Wśród nich znajdowały się dane 1409 pracowników administracji, informacje o 916 użytkownikach dostępne za pośrednictwem niezabezpieczonego interfejsu oraz 239 kartotek osób związanych z wymiarem sprawiedliwości. Wyeksportowana została także pełna baza użytkowników jednego z systemów.

Materiał obejmował informacje o wewnętrznej architekturze infrastruktury, zakresach adresów sieciowych i sposobie organizowania systemu uwierzytelniania. Agenci dotarli również do siedmiu sekretów klientów systemu logowania oraz sześciu zestawów danych dotyczących połączeń z bazami. Część tych informacji została wcześniej zmieniona, ale nadal ujawniała zasady budowy i nazewnictwa wykorzystywane przez administrację.

System próbował ponadto przesłać na jeden z serwerów narzędzie umożliwiające utrzymanie zdalnego dostępu. Plik został umieszczony we wskazanej lokalizacji, lecz dodatkowa warstwa zabezpieczeń uniemożliwiła jego uruchomienie. Nie należy więc twierdzić, że AI w tym przypadku przejęła pełną kontrolę nad serwerem, ponieważ raport potwierdza jedynie częściowe powodzenie tej próby.

Operacja nie zakończyła się na pierwotnie rozpoznanych instytucjach. Agenci zaczęli badać rządową pocztę elektroniczną, dostawców systemów informatycznych administracji, agencję odpowiedzialną za bezpieczeństwo jądrowe oraz co najmniej siedem przedsiębiorstw energetycznych. Było to rozszerzenie zakresu rozpoznania dokonane przez sam system na podstawie informacji zdobytych podczas wcześniejszych etapów.

Nie ma dowodów, że doszło do przejęcia kontroli nad tajwańską infrastrukturą energetyczną lub jądrową. Raport potwierdza skanowanie tych podmiotów i poszukiwanie słabości, nie zaś skuteczne włamanie do systemów sterujących. Rozróżnienie między rozpoznaniem, uzyskaniem dostępu i przejęciem kontroli ma w przypadku infrastruktury krytycznej zasadnicze znaczenie.

Czy był to pierwszy autonomiczny cyberatak

Operacja wymierzona w Tajwan nie była pierwszym znanym przypadkiem wykorzystania AI do prowadzenia wieloetapowego cyberataku. We wrześniu 2025 r. Anthropic wykryło kampanię przypisywaną grupie powiązanej z Chinami, podczas której Claude Code miał wykonywać od 80 do 90 proc. technicznych działań przeciwko około 30 organizacjom. Sprawę tę opisaliśmy w materiale „Anthropic ostrzega przed atakami hakerskimi AI”.

Kolejny sygnał pojawił się w lipcu 2026 r. podczas kontrolowanego testu modeli OpenAI. Systemy znalazły drogę z ograniczonego środowiska badawczego do internetu, wykorzystały nieznaną wcześniej lukę i naruszyły infrastrukturę Hugging Face, próbując zdobyć informacje potrzebne do rozwiązania testu. Więcej w tekście: „Test modeli OpenAI doprowadził do cyberataku na Hugging Face”.

Operację przeciwko Tajwanowi należy więc określać jako jeden z pierwszych publicznie opisanych, rzeczywistych cyberataków przeprowadzonych przez wieloagentowy system AI przeciwko państwowej infrastrukturze. Jej wyjątkowość wynika z połączenia kilku elementów: równoległej pracy wielu agentów, samodzielnego ustalania priorytetów, prowadzenia badań podczas trwania ataku, weryfikowania własnych błędów oraz rozszerzania operacji na kolejne cele.

Nie była to sztuczna inteligencja działająca całkowicie bez człowieka. Operator wskazał państwo, zdefiniował ogólny cel, zapewnił infrastrukturę i uruchomił narzędzia. Najbardziej precyzyjne będzie zatem określenie ataku jako niemal autonomicznego albo prowadzonego przez agentów AI, a nie rozpoczętego samodzielnie przez maszynę.

Równie ostrożnie należy mówić o odpowiedzialności Chin. Wewnętrzne raporty atakujących były sporządzane uproszczonymi znakami chińskimi, charakterystycznymi przede wszystkim dla Chińskiej Republiki Ludowej, podczas gdy materiały dotyczące tajwańskich celów wykorzystywały znaki tradycyjne. Dream uznało to za przesłankę wskazującą na chińskojęzycznego operatora, lecz nie przypisało operacji konkretnej grupie ani instytucji państwowej.

„Financial Times” pisał o hakerach podejrzewanych o związki z Chinami. Władze Tajwanu potwierdziły zagraniczne pochodzenie ataku, lecz oficjalnie nie oskarżyły Pekinu. Różnica między techniczną poszlaką językową a udowodnionym przypisaniem odpowiedzialności państwu powinna pozostać w tekście wyraźna.

Najgroźniejsza jest ekonomia nowego cyberataku

Agenci nie zastosowali technik, których świat cyberbezpieczeństwa wcześniej nie znał. Wykorzystali niezabezpieczone interfejsy, testowe elementy pozostawione w środowisku produkcyjnym, przewidywalne hasła, niewystarczającą kontrolę cyfrowych tokenów i brak dodatkowego potwierdzania tożsamości. Przełomem było tempo, w jakim potrafili odnaleźć te słabości i połączyć je w jeden ciąg działań.

Jak pisaliśmy na łamach „Wszystko co Najważniejsze”, AI nie musi tworzyć zupełnie nowych rodzajów cyberataków, aby zasadniczo zmienić równowagę sił. Wystarczy, że znane działania pozwoli przeprowadzać szybciej, taniej, równolegle i na znacznie większej liczbie celów. Tekst: „Sztuczna inteligencja przyspiesza cyberataki. Obrona musi działać równie szybko” analizuje te właśnie zagrożenia.

W 2025 r. Tajwan rejestrował średnio 2,63 mln cyberataków dziennie, o 6 proc. więcej niż rok wcześniej. Dotychczas znaczna część tej aktywności mogła polegać na automatycznym skanowaniu i powtarzaniu wcześniej przygotowanych prób. Agenci AI pozwalają przekształcić masową automatyzację w przeciwnika, który interpretuje odpowiedź systemu, odrzuca nieskuteczne metody i natychmiast próbuje kolejnej.

Największą zmianą jest spadek kosztu prowadzenia zaawansowanej operacji. W cztery dni system wygenerował 1395 plików, przeanalizował czternaście dróg ataku i przeprowadził dwanaście kolejnych fal działań. Zadania, które wcześniej wymagały wielu specjalistów pracujących przez dłuższy czas, można częściowo powierzyć maszynom działającym bez przerwy.

Nie oznacza to, że niedoświadczony przestępca po uruchomieniu ogólnodostępnego modelu natychmiast uzyska możliwości służb państwowych. Dream podkreśla, że przygotowanie skutecznej platformy wymagało odpowiedniego dostrojenia, organizacji pracy agentów i stworzenia mechanizmu decyzyjnego. Z każdym kolejnym gotowym narzędziem bariera wejścia będzie jednak malała, a rozwiązania dostępne dotąd tylko dla najlepiej wyposażonych grup zaczną trafiać do słabszych podmiotów.

Niepokojąca jest również łatwość obchodzenia mechanizmów bezpieczeństwa modeli. Atakujący przedstawili swoje działania jako autoryzowane testy penetracyjne, co pozwoliło ominąć część ograniczeń dotyczących szkodliwych zastosowań. Ochrona oparta wyłącznie na rozpoznawaniu intencji użytkownika okazuje się słaba wobec operatora, który świadomie ukrywa prawdziwy cel.

Jeszcze trudniejsza staje się kontrola modeli uruchamianych lokalnie i łączonych z otwartymi narzędziami agentowymi. Dostawca komercyjnej usługi może zablokować konto, ograniczyć dostęp lub zauważyć nietypową serię zapytań. Gdy model i środowisko wykonawcze działają na infrastrukturze atakującego, taka możliwość może w ogóle nie istnieć.

Po drugiej stronie znajduje się państwo, które musi przez całą dobę bronić tysięcy aplikacji, serwerów, kont i połączeń zewnętrznych. Atakującemu wystarcza pojedynczy zapomniany system testowy, niechroniony interfejs albo słabe hasło. Obrona musi natomiast zamknąć wszystkie drogi jednocześnie, ponieważ agenci AI będą mogli nieustannie sprawdzać, czy któraś z nich została przeoczona.

Dlatego najbardziej alarmujący wniosek raportu Dream nie dotyczy niezwykłej inteligencji samych modeli. Dotyczy ekonomii cyberwojny: koszt prowadzenia kompetentnego ataku gwałtownie maleje, podczas gdy koszt ochrony infrastruktury nie spada w podobnym tempie. Im więcej pracy przejmą agenci, tym więcej instytucji będzie można atakować równolegle i tym krótszy stanie się czas między wykryciem słabości a jej wykorzystaniem.

Państwa nie mogą odpowiedzieć na ten problem wyłącznie zwiększaniem liczby osób ręcznie przeglądających alarmy. Potrzebują stałego monitorowania całej powierzchni ataku, automatycznego wykrywania nietypowych zachowań, szybkiego odcinania przejętych kont i regularnego sprawdzania połączeń między systemami. Szczególnej kontroli wymagają środowiska zapasowe i testowe, ponieważ właśnie one często pozostają poza głównym obszarem zainteresowania zespołów bezpieczeństwa.

Operacja opisana przez Dream, „Financial Times”, „Le Figaro” i Reutersa nie dowodzi, że maszyny rozpoczęły samodzielną wojnę z państwami. Pokazuje jednak, że człowiek może wybrać przeciwnika, wyznaczyć zadanie i uruchomić system, który przez kolejne dni sam będzie poszukiwał drogi do chronionych danych. To wystarczy, aby cyberbezpieczeństwo weszło w nową epokę.

Sebastian Nizio