Autonomiczne agenty AI w cyberataku na Tajwan. Co zmienia nowy model cyberwojny?

W lipcu 2026 roku tajwańskie instytucje rządowe zostały zaatakowane z wykorzystaniem systemu opartego na autonomicznych agentach sztucznej inteligencji. Według izraelskiej firmy Dream, która wykryła kampanię, narzędzia zmapowały 21 systemów, przejęły 85 kont i pobrały ponad 2500 rekordów pracowników w ciągu około czterech dni.

Nie potwierdzono oficjalnie, kto stał za operacją. Tajwańskie Ministerstwo Spraw Cyfrowych wskazało jednak, że atak pochodził z zagranicy i łączył klasyczne techniki hakerskie z agentami AI, między innymi OpenClaw. Eksperci podejrzewają powiązania z Chinami, ale podejrzenie nie jest równoznaczne z formalnym przypisaniem odpowiedzialności.

Nie tylko narzędzie dla hakera

AI + Human

AI + Weryfikacja ludzka

Treść wygenerowana przez AI, która została w pełni sprawdzona i zweryfikowana pod kątem faktów przez człowieka.

Czym się różni od innych: W odróżnieniu od czystego AI, każdy fakt, cytat i informacja zostały merytorycznie sprawdzone i zatwierdzone przez człowieka.

Wykorzystanie sztucznej inteligencji w cyberatakach nie jest całkowicie nowym zjawiskiem. Modele językowe mogą pomagać w pisaniu kodu, analizowaniu dokumentacji, wyszukiwaniu podatności czy tworzeniu wiadomości phishingowych. W typowym scenariuszu człowiek nadal podejmuje decyzje, a AI przyspiesza wybrane zadania.

Opisywana kampania miała działać inaczej. System koordynował do ośmiu agentów, które wykonywały różne części operacji: rozpoznanie infrastruktury, próby uzyskania dostępu do kont, analizę wyników i planowanie kolejnych kroków. Gdy jedna metoda nie przynosiła rezultatu, agenci mieli dobierać inne podejście bez konieczności ręcznego sterowania każdą czynnością.

To istotna zmiana jakościowa. AI nie pełni już wyłącznie funkcji asystenta piszącego kod lub podpowiadającego komendy. Staje się warstwą decyzyjną, która może łączyć wiele technik w spójny proces ataku.

Największe znaczenie tego incydentu nie polega na tym, że AI „wynalazła” nową metodę włamania. Chodzi o to, że potrafiła szybciej połączyć znane metody, oceniać wyniki i kontynuować operację na dużą skalę.

Jak przebiegała kampania

Na podstawie dostępnych opisów można wyróżnić kilka etapów operacji. Nie są to szczegółowe instrukcje techniczne, lecz ogólny model działania, który pomaga zrozumieć, dlaczego autonomiczne agenty są problemem dla tradycyjnych systemów obrony.

• Rozpoznanie. Agenci analizowali dostępne informacje i mapowali zależności między systemami.
• Identyfikacja punktów wejścia. System próbował ustalić, które konta, usługi lub urządzenia mogą umożliwić dalszy dostęp.
• Przejęcie kont. Według raportów kampania doprowadziła do naruszenia 85 kont użytkowników.
• Eksfiltracja danych. Z systemów pobrano ponad 2500 rekordów personelu, w tym dane związane z administracją publiczną.
• Rozszerzenie zasięgu. Atak dotknął także agencję odpowiedzialną za bezpieczeństwo jądrowe, dostawców usług IT oraz co najmniej siedem przedsiębiorstw z sektora energetycznego.

Według Dream napastnicy korzystali z otwartych narzędzi i frameworków, w tym Hermes oraz OpenClaw. Samo użycie tych projektów nie oznacza, że zostały one zhakowane lub zawierały tylną furtkę. Z dostępnych informacji wynika raczej, że posłużyły jako gotowa infrastruktura do budowy systemu automatyzującego działania ofensywne.

Dlaczego agenty są trudniejsze do wykrycia

Tradycyjny atak często wymaga wielu ręcznych decyzji. Operator musi analizować wyniki skanowania, wybierać następny cel, modyfikować narzędzia i reagować na blokady. Każdy taki krok zwiększa liczbę błędów i wydłuża czas operacji.

System agentowy może wykonywać te zadania równolegle. Jeden agent zbiera informacje o infrastrukturze, drugi analizuje konta, kolejny sprawdza możliwość ruchu do następnych systemów, a nadrzędny model ocenia rezultaty. Taka architektura przypomina zespół pracowników, lecz działa z większą szybkością i może funkcjonować przez całą dobę.

Dla obrońców oznacza to skrócenie czasu między pierwszym rozpoznaniem a próbą przejęcia kolejnych zasobów. Dotychczasowe procedury, w których analityk otrzymuje alert, ręcznie go weryfikuje i dopiero potem blokuje aktywność, mogą być zbyt wolne.

Problemem jest także elastyczność. Jeżeli agent potrafi zmienić sposób działania po wykryciu blokady, systemy oparte wyłącznie na stałych sygnaturach mogą nie rozpoznać kolejnej fazy operacji. Obrona musi więc analizować nie tylko pojedyncze komendy, ale również zachowanie całego procesu.

Otwarte oprogramowanie obniża próg wejścia

Jednym z najważniejszych wniosków jest dostępność komponentów wykorzystywanych do budowy takich systemów. Kampania nie musiała opierać się na drogim, zamkniętym produkcie opracowanym przez duże laboratorium. Według relacji badacze znaleźli dowody użycia publicznie dostępnych frameworków oraz modeli.

Nie oznacza to, że każde narzędzie open source jest zagrożeniem. Otwarte projekty są również podstawą legalnych systemów automatyzacji, testów penetracyjnych i obrony infrastruktury. Ryzyko wynika z połączenia kilku elementów: modelu zdolnego do planowania, dostępu do narzędzi systemowych, możliwości wykonywania działań w sieci oraz braku odpowiednich ograniczeń.

W praktyce decydująca może być nie jakość pojedynczego modelu, lecz sposób jego osadzenia. Model z ograniczonym dostępem do systemów będzie miał niewielki wpływ. Ten sam model wyposażony w uprawnienia do przeglądania sieci, używania kont i uruchamiania narzędzi może stać się częścią bardzo skutecznego łańcucha ataku.

Tło geopolityczne

Tajwan od lat jest jednym z najczęściej atakowanych obszarów cyfrowych. Wyspa znajduje się w centrum napięć między Tajpej i Pekinem, a cyberataki są elementem szerszej presji obejmującej dezinformację, działania wywiadowcze oraz ćwiczenia wojskowe.

Tajwańskie władze informowały, że w 2025 roku infrastruktura wyspy była celem średnio około 2,63 miliona cyberataków dziennie przypisywanych Chinom, co oznaczało wzrost o 6 procent rok do roku. W takim środowisku kampania z wykorzystaniem agentów AI nie jest izolowanym eksperymentem technologicznym. Może być zapowiedzią intensywniejszego stosowania automatyzacji w działaniach państwowych i półpaństwowych.

Jednocześnie należy zachować ostrożność w ocenianiu atrybucji. Język uproszczony chiński w materiałach powiązanych z atakiem może wskazywać na chińskie środowisko językowe, ale sam w sobie nie dowodzi, kto finansował lub przeprowadził operację. Narzędzia, serwery i dokumenty mogą być celowo wykorzystywane do zacierania śladów.

Co powinny zrobić organizacje

Incydent pokazuje, że przygotowanie do cyberataków z udziałem AI wymaga zmian zarówno technicznych, jak i organizacyjnych. Nie wystarczy kupić kolejnego systemu wykrywania zagrożeń. Potrzebna jest kontrola nad tożsamością, uprawnieniami, ruchem sieciowym i sposobem reagowania na incydenty.

• Wprowadzić zasadę najmniejszych uprawnień dla kont użytkowników, usług i automatycznych agentów.
• Wymagać silnego uwierzytelniania wieloskładnikowego, zwłaszcza dla administratorów i dostępu zdalnego.
• Monitorować nietypowe sekwencje działań, a nie tylko pojedyncze sygnatury złośliwego oprogramowania.
• Ograniczać możliwość automatycznego wykonywania operacji wysokiego ryzyka przez systemy AI.
• Rozdzielać sieci administracyjne, systemy krytyczne, środowiska dostawców i infrastrukturę testową.
• Regularnie sprawdzać, czy konta usługowe nie mają szerszych uprawnień, niż jest to konieczne.
• Testować procedury reagowania na scenariusz, w którym atakujący automatycznie zmienia taktykę.

Szczególnie ważna jest obserwowalność. Organizacja powinna wiedzieć, które konto uzyskało dostęp do konkretnego systemu, jakie dane odczytało i czy zachowanie pasuje do normalnego profilu pracy. Logi muszą być kompletne, zsynchronizowane czasowo i chronione przed modyfikacją.

Praktyczne zastosowania po stronie obrony

Te same możliwości, które zwiększają skuteczność ataku, można wykorzystać defensywnie. Agent AI może analizować alerty, porównywać je z wcześniejszymi incydentami i wskazywać zależności między pozornie niezwiązanymi zdarzeniami. Może też automatycznie przygotować propozycję izolacji urządzenia, blokady konta lub zmiany reguł zapory.

Najbezpieczniejszy model zakłada jednak stopniowanie autonomii. Agent może samodzielnie zbierać informacje i tworzyć raport, ale decyzja o odcięciu całego segmentu sieci powinna wymagać zatwierdzenia człowieka. W przypadku systemów krytycznych warto stosować zasadę „human in the loop”, czyli obowiązkową kontrolę operatora przed wykonaniem działań o dużych konsekwencjach.

Przykładowy proces może wyglądać następująco:

• Agent wykrywa nietypowe logowanie do konta administracyjnego.
• Porównuje adres źródłowy, porę logowania i wcześniejsze zachowanie użytkownika.
• Sprawdza, czy po logowaniu nastąpiły próby dostępu do innych systemów.
• Tworzy ocenę ryzyka i proponuje czasowe ograniczenie sesji.
• Operator zatwierdza działanie, a system zapisuje pełną ścieżkę decyzji.

Takie rozwiązanie nie eliminuje ryzyka, ale ogranicza możliwość, że agent sam podejmie błędną decyzję i rozszerzy awarię. Równocześnie pozwala wykorzystać szybkość automatycznej analizy bez oddawania pełnej kontroli nad infrastrukturą.

Najważniejsza lekcja

Atak na Tajwan nie oznacza, że cyberwojna została całkowicie przejęta przez sztuczną inteligencję. Dostępne informacje wskazują na model hybrydowy, w którym ludzie połączyli tradycyjne działania z agentami automatyzującymi rozpoznanie, dostęp i planowanie. To jednak wystarczy, aby zmienić ekonomię ataku: mniejszy zespół może szybciej sprawdzić więcej celów i reagować na obronę w czasie zbliżonym do rzeczywistego.

Dla organizacji publicznych i firm najważniejszy wniosek jest praktyczny. Trzeba przygotować się nie tylko na złośliwy program, lecz także na przeciwnika, który potrafi samodzielnie planować kolejne kroki. Oznacza to inwestycje w segmentację, zarządzanie tożsamością, monitoring zachowania, testy odporności oraz jasne zasady używania agentów AI.

Źródła

• Hackers used autonomous AI agents to attack Taiwan. Is this the future of cyberwarfare?
• Taiwan confirms AI-assisted cyberattack on government systems
• World-first autonomous end-to-end AI attack against Taiwan