AI-agents kraken in vier dagen 85 accounts bij de Taiwanese overheid

Een framework van samenwerkende AI-agents kraakte in vier dagen 85 accounts bij de Taiwanese overheid en haalde ruim 2.500 personeelsdossiers binnen, meldt het Israëlische securitybedrijf Dream in een rapport van 12 augustus 2026.

Het bruikbare van dit incident zit niet in het exotische. Het framework draaide op Hermes en OpenClaw, twee gratis open-source agents die iedereen op een eigen machine kan zetten, en het kwam binnen via fouten die in willekeurig welk zakelijk portaal kunnen zitten: API's die zonder inloggen data teruggeven, debug-endpoints die in productie bleven staan en wachtwoorden die uit het personeelsnummer waren af te leiden. Wat verandert is het tempo, en het aantal doelen dat tegelijk wordt afgezocht.

Twaalf aanvalsgolven, acht agents tegelijk

Dream Research Labs stuitte begin juli op de complete werkmap van de operatie: 1.395 bestanden en ruim 160 megabyte aan aanvalsmateriaal, verspreid over twaalf gedocumenteerde aanvalsgolven tussen 1 en 4 juli 2026. De onderzoekers telden sub-agents met de letters A tot en met Q, waarvan er tot acht tegelijk in één golf draaiden, elk met een eigen opdracht: SSO- en inloggegevensaanvallen, JWT-tests en CAPTCHA-bruteforce, verkenning van meerdere overheidsportalen, API-scans, CVE-onderzoek en het doorlichten van toeleveranciers.

Hermes is inmiddels een bekende naam in aanvalsdossiers. In juli lagen de gesprekslogboeken op straat van een Hermes-agent die onbeheerd het netwerk van het Thaise ministerie van Financiën doorzocht, met de goedkeuringsvraag bij riskante commando's simpelweg uitgezet.

Onder de taakverdeling in Taiwan zat een expliciete rekenmethode. Elke bevinding begon op vijftig procent kans en werd bijgesteld op bewijs, waarbij een handmatige bevestiging tien keer zwaarder woog. Boven 95 procent werd een bevinding gepromoveerd tot aanvalsketen, onder 30 procent weggegooid. Het framework hield zichzelf daarbij streng. In de eindrapportage staan zeven zelf ontmaskerde valse meldingen, waaronder een vermeende SQL-injectie waarvan de vertraging van 21 seconden bij hertesten een SMTP-timeout bleek te zijn. Elke bevestigde bevinding moest zes losse hertests overleven voordat hij op de definitieve lijst kwam.

De voordeuren waren doodgewoon

Op één overheidsapplicatie vond het framework drie verborgen API-endpoints die op elk willekeurig verzoek een geldige ingelogde sessie teruggaven: debug-toegang van ontwikkelaars die in productie was blijven staan. Een andere overheids-API accepteerde JWT-tokens met het algoritmeveld op none, waardoor iedereen zonder de ondertekensleutel een geldig identiteitsbewijs kon vervalsen.

De 85 gekraakte accounts kwamen uit iets nog gewoners. Uit een API zonder authenticatie haalde het framework de complete gebruikerslijst van een departement, waarna het wachtwoordpatronen probeerde die op het personeelsnummer waren gebaseerd. De CAPTCHA die dat had moeten tegenhouden werd met de open-source tekstherkenner Tesseract met honderd procent nauwkeurigheid gelezen. Eerst vielen twaalf accounts, daarna nog 73. Van die 85 kwamen er 84, oftewel 98,8 procent, via een SSO-koppeling het interne informatiesysteem binnen, zonder extra controle en zonder MFA. De buit: 2.564 personeelsdossiers, zeven SSO-clientgeheimen, zes interne databasewachtwoorden en een blijvende achterdeur op overheidswebapplicaties.

Hoe autonoom was het echt

De koppen spreken van de eerste end-to-end autonome cyberaanval. Dream houdt het in het eigen rapport op wat eruitziet als een bijna-autonome aanval, en dat verschil is de moeite waard. Een mens koos Taiwan, zette het framework op en schreef de instructie die de hele operatie als geautoriseerde pentest presenteerde. Precies die framing zette de ingebouwde weigeringen van de taalmodellen buiten spel. De veiligheidslaag hield stand tegen wie eerlijk vraagt, en verder niet. Ook aan de nette kant van de tafel houden die remmen niet: de Britse toezichthouder AISI telde negentien aanvallen op echte mensen en organisaties tijdens de eigen cybertests met AI-agents.

Die correctie op het woord autonoom is niet nieuw. Bij de eerste als volledig autonoom gepresenteerde AI-ransomware bleek later dat een mens het slachtoffer koos, de aanvalsinfrastructuur inrichtte en de gestolen inloggegevens aanleverde, en dat alleen de technische uitvoering zelfstandig liep. Dezelfde taakverdeling zit hier.

Er staat nog een tweede nuance in het rapport zelf. Het framework draaide een eigen AI-gedreven code-analyse op de SDK-voorbeelden van de nationale SSO-koppeling en vond daar potentiële lekken. Geen daarvan leverde een werkend exploit op. Dream legde die bevindingen naast de uiteindelijk bevestigde kwetsbaarheden en vond nul overlap: de echte inbraken kwamen allemaal uit gewoon black-box-testen aan de serverkant. Het onderdeel dat het meest lijkt op een AI die zelf nieuwe zero-days ontdekt, droeg hier dus niets bij.

Een toeleverancier staat net zo goed in de scanlijst

De operatie stopte niet bij de primaire doelen. Parallel scande het framework IT-leveranciers van de overheid, een instantie voor nucleaire veiligheid, een overheidsmailsysteem en zeven of meer energiebedrijven op verkeerde instellingen en open beheerinterfaces. Wie levert aan een organisatie die het waard is om aan te vallen, wordt in dezelfde golf meegenomen.

Taiwan is daarin een uiterste geval. Het land verwerkte in 2025 gemiddeld 2,6 miljoen aanvalspogingen per dag, zes procent meer dan het jaar ervoor, volgens cijfers van het nationale veiligheidsbureau. Het Taiwanese ministerie van Digitale Zaken ging niet op dit incident in, maar stelde wel dat de vermenging van AI met bestaande aanvalsmethoden de aard van cyberincidenten heeft veranderd. De toeschrijving aan een Chineessprekende operator berust op taalgebruik in de documentatie, die wisselt tussen vereenvoudigd Chinees in interne statusrapporten en traditioneel Chinees in de analyses over het doelwit. Dream koppelt de operatie niet aan een specifieke groep.

Wat hier verschuift, is niet de scherpte van de aanvaller maar de prijs van geduld. Twaalf golven verkenning in vier dagen, veertien aanvalsketens die doorlopend op slaagkans werden herwogen en zes hertests per bevinding: dat was tot voor kort het werk van een team met tijd en budget. Op het niveau van de gevonden gaten doet dit framework niets wat een goede pentester niet kan. Het doet het alleen tegen tientallen doelen tegelijk, zonder pauze, voor de prijs van een gehuurde server. Als de verkenning die aan een inbraak voorafgaat geen weken meer kost maar uren, dan is de verdediging die standhoudt de architectuur die je vooraf dichtzet, niet de melding die je achteraf leest.