Izraelska firma Dream odtworzyła przebieg czterodniowej operacji, w której zespół agentów AI samodzielnie prowadził włamanie do systemów rządowych. Tajwańskie ministerstwo cyfryzacji potwierdziło incydent w czwartek 13 sierpnia, a badacze mówią o pierwszym udokumentowanym ataku na administrację państwową przeprowadzonym niemal bez udziału człowieka.
Kluczowe fakty:
- Izraelska firma Dream udokumentowała pierwszy znany atak na administrację państwową przeprowadzony niemal bez udziału człowieka – operacja trwała od 1 do 4 lipca 2026 roku i była wymierzona w tajwańskie ministerstwo cyfryzacji, które potwierdziło incydent 13 sierpnia 2026 roku.
- Atak nie wykorzystał żadnych luk zero-day – napastnicy oparli się wyłącznie na znanych podatnościach, a do jego przeprowadzenia użyto dwóch darmowych, otwartoźródłowych narzędzi agentowych: Hermes i OpenClaw.
- Operacja składała się z dwunastu udokumentowanych fal ataku, w których jednocześnie działało do ośmiu agentów AI oznaczonych literami od A do Q; zabezpieczenia modeli językowych ominięto, przedstawiając atak jako autoryzowany test penetracyjny.
Sprawdziłem raport źródłowy i przyznaję, że najbardziej uderzyło mnie w nim coś innego niż liczby. Nie było tu ani jednej luki zero-day. Wszystko, co napastnicy wykorzystali, to błędy znane branży od lat. Nowa była wyłącznie maszyna, która je znalazła i poskładała w łańcuch.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Archiwum, które leżało otwarte w internecie
Zespół Dream Research Labs natknął się na to przypadkiem, w trakcie rutynowego monitorowania grup przestępczych. W sieci leżało niezabezpieczone archiwum o wielkości 160 megabajtów, a w nim 1395 plików. To była kompletna przestrzeń robocza narzędzia atakującego: plany, raporty z kolejnych fal, listy potwierdzonych podatności, notatki z autoanalizy.
Firma opublikowała swoje ustalenia 12 sierpnia 2026 roku, a wcześniej przekazała je „Financial Times”. W samym raporcie Dream konsekwentnie pisze o „podmiotach rządowych w Azji” i nie podaje nazwy państwa. To brytyjski dziennik wskazał Tajwan, po własnej analizie materiału.
Szkielet całej operacji zbudowano na dwóch otwartoźródłowych narzędziach agentowych: Hermes i OpenClaw. Oba można pobrać za darmo. Zabezpieczenia modeli językowych, które normalnie odmawiają udziału w takich działaniach, ominięto najprostszym możliwym sposobem: przedstawiając całość jako autoryzowany test penetracyjny.
Cztery dni, dwanaście fal, ośmiu agentów naraz
Operacja trwała od 1 do 4 lipca 2026 roku. Badacze naliczyli dwanaście udokumentowanych fal ataku i agentów oznaczonych literami od A do Q, przy czym w pojedynczej fali działało jednocześnie do ośmiu z nich. Każdy dostawał inny cel i inną technikę.
Punktem wyjścia był jeden rządowy portal. Framework pobrał i rozłożył na części jego skompilowany kod javascriptowy, wyciągnął z niego adresy i konfiguracje, a stamtąd zmapował 21 połączonych systemów administracji oraz architekturę krajowego logowania jednokrotnego.
To, co udało się napastnikom, Dream opisuje bardzo konkretnie:
- 85 złamanych kont pracowniczych, zdobytych przez testowanie przewidywalnych schematów haseł opartych na identyfikatorach pracowników
- 84 z tych 85 kont, czyli 98,8 procent, przeszło następnie do wewnętrznych systemów przez zaufane połączenie SSO, bez dodatkowego uwierzytelnienia
- ponad 2564 rekordy osobowe, w tym 239 rekordów prawników pobranych z niezabezpieczonego punktu API resortu sprawiedliwości
- ukryte punkty API pozostawione w wersji produkcyjnej przez programistów, zwracające ważną sesję każdemu, kto o nią poprosił
- rozszerzenie operacji na dostawców IT administracji, agencję bezpieczeństwa jądrowego, rządowy system pocztowy i co najmniej siedem firm energetycznych
Jedna rzecz się nie udała. Framework wgrał powłokę na serwer, ale druga warstwa uwierzytelniania zablokowała jej uruchomienie. Do pełnego zdalnego wykonania kodu zabrakło jednego kroku.
Bayes zamiast intuicji włamywacza
Tu zaczyna się część, która odróżnia ten przypadek od zwykłej automatyzacji. System nie strzelał na oślep. Każde znalezisko wyceniał formalnym modelem bayesowskim: prawdopodobieństwo startowe 0,5, potem aktualizacja w zależności od zebranych dowodów. Powyżej 0,95 podatność trafiała do łańcucha ataku, poniżej 0,3 lądowała w koszu. Druga warstwa oceniała już całe łańcuchy, czternaście prowadzonych równolegle, i ciągle zmieniała ich kolejność.
Kiedy droga była zablokowana, framework uruchamiał to, co sam nazywał „cyklami uczenia”. Przeszukiwał bazy podatności, repozytoria GitHub i publikacje branżowe w poszukiwaniu technik pasujących akurat do tego środowiska. Badacze naliczyli pięć takich cykli.
Potrafił też przyznać się do błędu. W raporcie końcowym siedem znalezisk oznaczono jako fałszywe alarmy. Najciekawszy dotyczył rzekomego wstrzyknięcia SQL: agent uznał 21 sekund opóźnienia odpowiedzi za dowód skuteczności, a przy powtórnym teście ustalił, że serwer po prostu próbował wysłać mail weryfikacyjny i czekał na timeout SMTP. Każde potwierdzone znalezisko musiało przejść sześć niezależnych weryfikacji, zanim trafiło na listę finalną.
Amir Becker, dyrektor do spraw biznesu i strategii w Dream, ujął to tak: „gdy jakieś podejście zostaje zablokowane, system w czasie rzeczywistym szuka nowych technik i dostosowuje się” / „when an approach gets blocked, it researches new techniques in real time and adapts”.
Czytam ten raport i mam mieszane uczucia. Z jednej strony to nie jest opowieść o wszechmocnej AI, tylko o administracji, która zostawiła otwarte drzwi: nieuwierzytelnione API, testowe punkty w produkcji, hasła układane według schematu z numeru pracownika. Te błędy popełnia się od dwudziestu lat i przez dwadzieścia lat ratowało nas to, że ktoś musiał usiąść i cierpliwie ich poszukać.
I właśnie ta cierpliwość przestała być wąskim gardłem. Nie martwi mnie sam fakt, że model potrafi znaleźć błąd w konfiguracji, bo to potrafi od dawna. Martwi mnie, że narzędzie do tego jest darmowe, składa się z dwóch publicznych bibliotek i działa przez cztery dni bez nadzoru, sprawdzając własne pomyłki lepiej niż niejeden zespół audytorski.
Pytanie, na które nie mam dobrej odpowiedzi, brzmi tak: skoro obrońcy dysponują dokładnie tymi samymi narzędziami, dlaczego to napastnicy pierwsi je złożyli w działający produkt? Podejrzewam, że odpowiedź jest nudna i organizacyjna, a nie technologiczna. Atakującego nie ogranicza procedura zakupowa, zgoda działu prawnego ani obawa, że automat uszkodzi system produkcyjny.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Opisz krótko, czego potrzebujesz. Jesteśmy największym HUB-em AI w Polsce — w naszej bazie znajdziesz blisko 500 zweryfikowanych firm specjalizujących się w AI. W Twoim imieniu poprosimy 3-5 dopasowanych wykonawców o kontakt w ciągu 48 godzin.
Tajpej potwierdza, Pekin milczy
Tajwańskie Ministerstwo Cyfryzacji wydało oświadczenie dzień po publikacji „FT”. Resort podał, że jednostka monitorująca wykryła ataki w lipcu, a Narodowy Instytut Cyberbezpieczeństwa zaczął wydawać ostrzeżenia 20 lipca. Źródła, metody i zasięg oddziaływania zostały w pełni zbadane, a dotknięte jednostki zakończyły działania naprawcze. Ministerstwo mówiło o wyraźnych oznakach pochodzenia zagranicznego, ale ani razu nie wymieniło Chin.
Wskazówka językowa jest za to dość jednoznaczna. Dokumentacja operacyjna przełączała się między dwoma zapisami: uproszczonym w wewnętrznych raportach statusowych i tradycyjnym w analizach dotyczących celu. Tajwan posługuje się zapisem tradycyjnym, Chiny kontynentalne uproszczonym.
Kenny Huang, przewodniczący Taiwan Network Information Center, powiedział agencji Reuters, że ataki z użyciem AI nie są niczym nowym, ale po raz pierwszy ujawniono przypadek, w którym „do przeprowadzenia cyberataku użyto wielu agentów AI” / „multiple AI agents were used to carry out a cyberattack”. Dodał, że w kwestii strategii obronnych, ram prawnych i możliwości technicznych każdy kraj, nie tylko Tajwan, jest wciąż nieprzygotowany.
Skala presji na wyspę jest zresztą znana. Z danych tajwańskiego Biura Bezpieczeństwa Narodowego wynika, że w 2025 roku średnia liczba cyberataków z kontynentu na infrastrukturę krytyczną wyniosła 2,63 miliona incydentów dziennie, o 6 procent więcej niż rok wcześniej.
Rachunek kosztów właśnie się rozjechał
Wniosek, który Dream stawia w swoim raporcie, brzmi krótko: „koszt przeprowadzenia sprawnego ataku runął” / „the cost of running a competent attack has collapsed”. Koszt obrony przed nim, jak dodają badacze, nie drgnął.
To nie jest pierwszy taki sygnał w ostatnich tygodniach. Kilka dni temu opisywałem pierwszy znany autonomiczny atak agenta AI w Australii, gdzie ofiarą padł system rezerwacji siłowni. Skala nieporównywalna, mechanizm ten sam. Tam też chodziło o OpenClaw.
Różnica między tymi dwiema historiami to miesiąc kalendarzowy i agencja bezpieczeństwa jądrowego zamiast recepcji klubu fitness.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Polskie instytucje mają termin, nie tylko problem
Sytuacja nad Wisłą wygląda inaczej niż na Tajwanie, ale liczby też nie zachęcają do spokoju. CERT Polska zarejestrował w 2025 roku 260 783 unikalne incydenty bezpieczeństwa wobec 103,4 tysiąca rok wcześniej, co daje wzrost o 152 procent. Zgłoszeń było 658 320. W podmiotach publicznych zespół obsłużył 5111 incydentów, o 48 procent więcej niż w 2024 roku.
Wicepremier i minister cyfryzacji Krzysztof Gawkowski komentował te dane bez owijania w bawełnę: „Ponad 260 tys. incydentów w roku 2025 to rekord, jakiego nie było w historii Polski”.
Jest też twardy kalendarz. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku. Do 3 października 2026 roku podmioty, które ustawa nazywa kluczowymi i ważnymi, muszą złożyć wniosek o wpis do wykazu przez system S46. Rok później, do 3 kwietnia 2027, mają wdrożyć właściwe obowiązki. Kary sięgają 10 milionów euro lub 2 procent obrotu, a odpowiedzialność spoczywa wprost na kierownictwie.
Zestawiam te dwie rzeczy celowo. Polskie samorządy, szpitale, spółki energetyczne i dostawcy IT dla administracji spędzą najbliższe miesiące na wypełnianiu wniosków i budowaniu dokumentacji. To potrzebne. Ale tajwański przypadek pokazuje, że lista rzeczy do sprawdzenia jest boleśnie przyziemna: czy jakikolwiek punkt API zwraca dane bez uwierzytelnienia, czy w produkcji nie zostały testowe wejścia, czy jedno złamane hasło pracownika otwiera przez SSO wszystkie pozostałe systemy. Audyt zaplanowany na 2028 rok nie odpowie na te pytania dziś.
A agent, który je zada, kosztuje tyle, co prąd.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz materiałów źródłowych, w tym raportu badawczego Dream Research Labs z dnia 12.08.2026, publikacji „Financial Times” z tego samego dnia oraz relacji Taipei Times z 14.08.2026. Wykorzystano również doniesienia CNN, Reutersa, The Register i TechRadar dotyczące reakcji tajwańskiego Ministerstwa Cyfryzacji oraz komentarzy eksperckich. Dane o polskim rynku pochodzą z raportu rocznego CERT Polska za 2025 rok oraz z komunikatów Ministerstwa Cyfryzacji o wejściu w życie nowelizacji ustawy o KSC. Cytaty Amira Beckera (Dream) i Kenny’ego Huanga (Taiwan Network Information Center) zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym, wypowiedź Krzysztofa Gawkowskiego podano w brzmieniu oryginalnym. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o autonomicznych atakach agentowych na infrastrukturę państwową.
