8 agenti AI contro Taiwan: 85 account violati
Per quattro giorni, all'inizio di luglio 2026, fino a otto agenti AI hanno lavorato in parallelo contro 21 sistemi informatici del governo di Taiwan, violando 85 account e sottraendo oltre 2.564 dati del personale, prima di estendersi all'agenzia per la sicurezza nucleare e ad almeno sette società energetiche. Il 13 agosto il ministero taiwanese per gli Affari Digitali ha confermato l'attacco con una dichiarazione ufficiale, parlando di un metodo "ibrido" tra operatori umani e agenti AI.
La ricostruzione tecnica deriva dall'indagine della società di cybersecurity israeliana Dream, pubblicata sul proprio blog e ripresa in un articolo del Financial Times che per primo ha identificato Taiwan come bersaglio. Il ministero taiwanese per gli Affari Digitali (MODA) ha confermato l'attacco il 13 agosto, dopo che la ricostruzione di Dream era emersa pubblicamente e il Financial Times aveva identificato Taiwan come bersaglio.
Questo articolo non contiene link affiliati. Dove le fonti divergono o restano caute (in particolare sull'attribuzione a un Paese specifico), lo segnalo esplicitamente invece di semplificare.
In breve
Operatori non formalmente attribuiti hanno costruito una piattaforma di attacco usando due framework di agenti AI liberamente disponibili online, Hermes e OpenClaw. Tra il 1° e il 4 luglio 2026, in 12 ondate d'attacco, questi agenti hanno mappato 21 sistemi governativi taiwanesi, violato 85 account tramite CAPTCHA risolti automaticamente e password prevedibili, ed estratto più di 2.500 record del personale. L'operazione si è poi allargata all'agenzia per la sicurezza nucleare e a sette aziende energetiche. Taiwan ha confermato l'attacco, parlando di un metodo ibrido uomo-macchina; alcuni indizi linguistici hanno alimentato sospetti di un collegamento cinese, ma nessuna fonte lo ha attribuito formalmente.
Fino a poco tempo fa, quando si parlava di "attacco hacker sofisticato" si immaginava comunque una squadra di persone davanti a uno schermo, che decideva ogni mossa. Quello che i ricercatori di Dream hanno ricostruito su Taiwan è diverso: un sistema che, quando trovava un muro, andava da solo a cercare un altro modo per superarlo.
✍️ Rocco Caiazza — Fondatore di ScelgoIo | 13 agosto 2026
Come una piattaforma costruita con strumenti gratuiti ha violato 21 sistemi governativi in quattro giorni — e perché la versione "primo attacco totalmente autonomo della storia" non è esatta.
Quello che è successo a Taiwan tra il 1° e il 4 luglio mi ha fatto fermare a rileggere due volte la ricerca originale, perché qui non si parla più di un singolo strumento automatico che prova mille password al secondo: si parla di un sistema che ragiona, si corregge da solo e cambia strategia quando qualcosa non funziona.
In questo articolo ricostruisco cosa sappiamo con certezza, cosa resta un sospetto non confermato, e perché — al di là del singolo episodio — questa storia dice qualcosa di importante su dove sta andando la sicurezza informatica, anche per chi non ha mai sentito parlare di Taiwan prima d'ora.
📌 Secondo Dream, gran parte dell'esecuzione tecnica — mappatura delle reti, ricerca delle falle, tentativi di accesso, correzione degli errori — poteva procedere senza istruzioni umane passo-passo, una volta impostato l'obiettivo generale.
Cosa è successo davvero
Tutto parte da un archivio online da 160 megabyte, contenente 1.395 file, che i ricercatori di Dream hanno scovato mentre monitoravano più in generale l'attività di gruppi di minacce informatiche. Non era un archivio nascosto in modo sofisticato: era rimasto esposto online, probabilmente per un errore operativo di chi lo aveva creato. Dentro c'era, di fatto, il diario di bordo completo di un attacco informatico: log delle operazioni, script, elenchi di credenziali, dati di configurazione degli agenti AI utilizzati.
Analizzando quei file, i ricercatori hanno ricostruito che tra il 1° e il 4 luglio 2026 un sistema costruito su due framework di agenti AI open source — Hermes e OpenClaw, entrambi liberamente scaricabili da chiunque — ha condotto 12 ondate d'attacco contro sistemi informatici collegati al governo di Taiwan. In ogni ondata, fino a otto agenti lavoravano in parallelo, ciascuno assegnato a un bersaglio o a una tecnica diversa.
Immagina un ladro che, arrivato davanti a una porta blindata, invece di rinunciare o chiamare un complice al telefono, si mette a studiare da solo altri modi per entrare — una finestra, il tetto, un condotto d'aerazione — e li prova uno dopo l'altro senza bisogno che nessuno gli dica cosa fare. È più o meno questo il salto di qualità descritto da Dream: non un singolo strumento automatico, ma un sistema che pianifica, tenta, impara dagli errori e ricomincia.
Come hanno agito gli agenti AI, passo dopo passo
La parte più interessante — e più utile per capire davvero il livello della minaccia — è la sequenza tecnica ricostruita dai ricercatori. Non è un dettaglio per soli addetti ai lavori: mostra bene quanto il lavoro "manuale" che prima richiedeva un team di persone possa oggi essere delegato a un software che decide da sé i passaggi successivi.
Nella prima fase, secondo la ricostruzione di Dream, gli agenti hanno analizzato il codice pubblico dei portali governativi bersaglio, estraendo URL, endpoint API, ID client OAuth e configurazioni Keycloak da un unico portale governativo — un lavoro che ha permesso di mappare 21 sistemi collegati e ogni flusso di autenticazione supportato. Su un solo obiettivo, i ricercatori di Dream scrivono di aver individuato oltre 36 endpoint API — cioè punti di accesso ai dati — molti dei quali non richiedevano alcuna autenticazione: gestione account, dati utente, caricamento file, funzioni amministrative. Uno di questi endpoint, completamente privo di controlli, ha restituito l'intero database utenti di un sistema, comprensivo di nomi, dipartimenti e identificativi SSO.
Con questi nominativi in mano, gli agenti si sono spostati su un portale di automazione d'ufficio protetto da CAPTCHA. Qui è arrivato uno dei dettagli più citati dai ricercatori di Dream: secondo la loro analisi, gli agenti hanno risolto i CAPTCHA con un tasso di accuratezza del 100%, usando un motore di riconoscimento ottico dei caratteri (OCR) chiamato Tesseract. Superato quell'ostacolo, il sistema ha testato pattern di password prevedibili, costruiti a partire dai numeri identificativi di ciascun dipendente, ripetendo i tentativi su più cicli di password-spraying — cioè provando poche password comuni su tanti account diversi, invece del contrario, per non far scattare i blocchi automatici.
Il risultato è stato la compromissione di 85 account. Secondo Dream, 84 di questi si sono rivelati utilizzabili anche per accedere, tramite un sistema di autenticazione unica (SSO) considerato affidabile dal resto dell'infrastruttura, a un sistema informativo interno, con un tasso di successo del 98,8%. In parallelo, secondo l'analisi di Dream, gli agenti avrebbero individuato anche un errore nella validazione della firma del servizio di autenticazione personale del governo, che in determinate condizioni permetteva di generare token validi senza possedere una chiave di firma legittima — un problema tecnico non banale, che normalmente richiede competenze specialistiche per essere sfruttato.
Un ultimo dettaglio, forse il più significativo per chi si occupa di sicurezza: i ricercatori di Dream scrivono che il framework era impostato in modo da potersi adattare a metà operazione senza intervento umano. Quando il sistema commetteva un errore, non si bloccava né restituiva un fallimento generico: lo individuava e lo correggeva, proseguendo l'operazione. È questo comportamento — l'auto-correzione — a spiegare perché i ricercatori parlano di attacco "quasi autonomo" piuttosto che di un semplice script automatizzato.
Dall'ufficio del personale alle centrali nucleari
Una volta dentro, l'operazione non si è fermata ai dati del personale. Secondo la ricostruzione di Dream, gli agenti hanno installato web shell — piccoli programmi che permettono di mantenere l'accesso a un sistema anche dopo la violazione iniziale — per garantirsi persistenza, e da lì hanno esteso l'attacco ben oltre il bersaglio di partenza.
L'operazione si è allargata fino a coinvolgere l'agenzia taiwanese per la sicurezza nucleare, almeno sette società del settore energetico, alcuni fornitori IT del governo e persino un sistema di posta elettronica governativo. È esattamente questo salto — da un database di risorse umane a infrastrutture energetiche, nucleari e di comunicazione istituzionale — a rendere la vicenda più delicata rispetto a una violazione di dati "ordinaria". Non significa che ci sia stato un sabotaggio fisico o un rischio diretto per la sicurezza degli impianti: significa che il perimetro dell'attacco ha toccato settori dove un accesso non autorizzato, anche solo a scopo di ricognizione, viene trattato con un livello di allarme molto più alto.
Amir Becker, responsabile strategia di Dream ed ex capo delle operazioni cyber per l'unità di intelligence israeliana 8200, ha descritto così il livello di autonomia osservato: un attacco che elabora strategie, impara e si adatta da solo. Becker ha aggiunto che, secondo lui, ogni governo dovrebbe ormai considerare la compromissione costante come punto di partenza, non come eccezione: "Deve diventare il presupposto di base per ogni governo al mondo" ("This must be the basic assumption of every government around the globe").
Chi c'è dietro l'attacco — e perché è giusto restare cauti
Qui arriva il punto su cui, leggendo le prime notizie circolate online, ho visto già circolare più di una semplificazione. Nessuna fonte primaria ha attribuito formalmente l'attacco alla Cina come fatto accertato. Dream, nella sua ricerca, non ha nominato alcun governo responsabile, né ha confermato ufficialmente quale Paese fosse la vittima, citando una propria policy interna; è stato il Financial Times, con una fonte a conoscenza diretta dei fatti, a identificare Taiwan come bersaglio.
Gli elementi che portano a sospettare un collegamento cinese sono indiziari, non probatori: la documentazione interna dello strumento di hacking, secondo i ricercatori, era scritta in cinese semplificato, mentre i dati effettivamente sottratti al bersaglio sono tornati indietro in cinese tradizionale — la scrittura usata quasi esclusivamente dai sistemi governativi di Taiwan, Hong Kong e Macao. È un indizio linguistico interessante, che rafforza il sospetto, ma resta appunto un indizio: non equivale a una prova di attribuzione statale, e nessuna delle fonti citate lo presenta come tale.
C'è poi un dettaglio tecnico che riguarda proprio i due framework usati, Hermes e OpenClaw: come molti strumenti AI moderni, includono delle protezioni pensate per impedire un uso malevolo. Secondo la ricostruzione dei ricercatori, gli operatori dietro l'attacco avrebbero aggirato questi limiti presentando l'attività di hacking come se fosse un test di penetrazione autorizzato — cioè un tipo di verifica di sicurezza legittima che aziende e governi commissionano regolarmente ai propri sistemi. In altre parole, avrebbero semplicemente mentito al sistema stesso sulle proprie intenzioni.
La versione ufficiale di Taiwan
Il 13 agosto, dopo che la ricostruzione di Dream era emersa pubblicamente e il Financial Times aveva identificato Taiwan come bersaglio, il ministero taiwanese per gli Affari Digitali (MODA) ha diffuso una dichiarazione ufficiale confermando l'episodio. La dichiarazione arriva nello specifico dall'Administration for Cyber Security, la struttura interna al MODA che si occupa di sicurezza informatica: secondo il comunicato, le unità di monitoraggio avevano rilevato un "attacco anomalo" contro agenzie governative già a luglio, e dal 20 luglio il National Institute for Cyber Security aveva iniziato a emettere una serie di allerte mentre l'indagine era in corso — una data precisa, verificabile, che rende la dichiarazione più solida di un generico "ce ne siamo accorti".
Un punto che mi sembra importante sottolineare, perché rischia di andare perso nei titoli più sensazionalistici: Taiwan non ha parlato di un attacco interamente automatico. Il ministero ha descritto un approccio ibrido, che combinava operazioni manuali con l'assistenza di agenti AI come OpenClaw. Non è stato quindi un sistema che ha agito da solo dall'inizio alla fine senza alcuna guida umana: c'era comunque un operatore che sceglieva gli obiettivi e impartiva le direttive generali, lasciando poi agli agenti AI l'esecuzione dei singoli passaggi tecnici.
Il ministero non ha nominato la Cina nella propria dichiarazione, limitandosi a parlare di una "fonte estera". Ha inoltre precisato che le agenzie coinvolte hanno già completato le procedure di gestione dell'incidente e che sono state introdotte nuove linee guida di protezione e un rafforzamento del monitoraggio dei sistemi, proprio in risposta a questo nuovo tipo di minaccia assistita da AI.
È davvero il primo attacco "autonomo" della storia?
Diversi titoli internazionali hanno usato espressioni come "primo attacco completamente autonomo della storia contro un governo". È una sintesi giornalisticamente efficace, ma vale la pena guardarla con un po' di distanza.
Quella definizione arriva dalla caratterizzazione dei ricercatori di Dream, che descrivono l'operazione come il primo caso osservato di attacco "end-to-end" quasi interamente gestito da agenti AI contro un bersaglio governativo. È un giudizio tecnico legittimo, basato su ciò che hanno effettivamente trovato nell'archivio analizzato. Ma, come detto poco sopra, la stessa Taiwan — cioè la vittima diretta, con accesso alla propria indagine interna — parla di un modello ibrido, non di un'assenza totale di intervento umano.
La mia lettura: la differenza tra "autonomo" e "quasi autonomo" non è un dettaglio da pignoli. Un conto è un'AI che sceglie da sola il bersaglio e decide di attaccare; un altro è un'AI a cui un operatore umano assegna un obiettivo e che poi, all'interno di quel perimetro, si muove, si corregge e si adatta senza bisogno di istruzioni passo-passo. Quello che è successo a Taiwan è la seconda cosa — che resta comunque un salto enorme rispetto agli attacchi automatizzati "classici" a cui eravamo abituati fino a un anno fa.
C'è poi un secondo aspetto su cui vale la pena essere precisi: nessuna fonte citata in questo articolo, né Dream né i media che hanno seguito la vicenda, sostiene che gli agenti abbiano scelto autonomamente Taiwan come bersaglio o abbiano deciso da soli di lanciare l'operazione. La scelta dell'obiettivo e la decisione di attaccare restano, in questa ricostruzione, elementi umani. Quello che è cambiato radicalmente è tutto ciò che succede dopo quella decisione iniziale.
Perché questa storia conta anche se non ti occupi di sicurezza nazionale
Nel mio lavoro di gestione di un punto vendita, il punto che mi colpisce più da vicino non è tanto che gli hacker abbiano attaccato un governo — cosa che, purtroppo, succede regolarmente — quanto il fatto che gli strumenti usati in questo caso, Hermes e OpenClaw, sono framework open source, scaricabili gratuitamente da chiunque abbia una minima competenza tecnica. Dream lo mette nero su bianco nella propria analisi: il costo per condurre un attacco sofisticato si è abbassato drasticamente, mentre il costo per difendersi da un attacco del genere non è affatto diminuito allo stesso ritmo. È un problema che riguarda in prospettiva anche le piccole aziende, non solo le infrastrutture statali.
Se ti interessa il lato pratico della difesa, su ScelgoIo trovi anche la guida su come attivare l'autenticazione a due fattori su Gmail, WhatsApp e banca, le impostazioni da cambiare per proteggere meglio privacy e sicurezza su Android e l'analisi su come Copilot può leggere istruzioni invisibili nei file Word.
- Dream Security Blog — la ricerca tecnica originale, fonte primaria di gran parte dei dettagli di questo articolo
- The Register — riporta e cita direttamente l'analisi tecnica dei ricercatori di Dream
- Taipei Times (edizione del 14 agosto, ora di Taipei) — dichiarazione integrale del ministero taiwanese per gli Affari Digitali (MODA)
- NBC News / Reuters — conferma ufficiale del ministero taiwanese
- CNN Business — intervista al responsabile strategia di Dream
- Tom's Hardware — ricostruzione della campagna basata sul report FT
Domande frequenti
Autore: Rocco Caiazza – Fondatore di ScelgoIo
