Was ist ein nahezu autonomer KI-Cyberangriff 2026? Hermes, OpenClaw und der Angriff auf Behördensysteme
Dream veröffentlichte am 12. August einen nahezu autonomen Multi-Agenten-Angriffsworkspace; die Presse folgte am nächsten Tag. Hier trennt sich, was der Bericht belegt, von dem, was er nicht belegt.
Am 12. August 2026 veröffentlichte Dream Research Labs, der Forschungszweig der israelischen Sicherheitsfirma Dream, einen Bericht: Anfang Juli hatte das Team einen Angriffsworkspace von etwa 160 MB und 1395 Dateien. Der Bericht nennt das einen nahezu autonomen Einbruch bei Regierungsstellen in Asien — kein Demo-Chatprotokoll.
Am 13. August folgten CyberScoop, PCMag und andere, nannten es den ersten öffentlich dokumentierten nahezu autonomen KI-Angriff auf ein Regierungsziel und schrieben Taiwan. Dreams eigener Text sagt „Regierungsstellen in Asien“; die Taiwan-Zuordnung kommt aus späterer Berichterstattung und der Financial Times. Staatliche oder APT-Zuordnung ist kein Befund des Berichts. Es folgt nur, was öffentliche Quellen prüfen lassen: der Name des Gerüsts, was in vier Tagen geschah, und was Schlussfolgerung bleibt.
Was ein nahezu autonomer KI-Cyberangriff ist
Dream legt die Kampagne an den Schnitt dreier Kurven: offene Gewichte machen near-frontier-Schlussfolgern billiger; Agenten-Harnesses können planen, parallel schicken, Gedächtnis halten und Nachberichte schreiben; Leitplanken stoppen nur ehrlich fragende Operatoren. Das Wort ist near-autonomous: Nach menschlicher Orchestrierung ändert das Modell Ziel und Technik mitten in der Kampagne.
Wie das Hermes- und OpenClaw-Gerüst lief
Der Workspace trug zwei Kennungen: .hermes und .openclaw. Unteragenten waren buchstabiert; die Kampagne zeigt Agent A bis Agent Q, bis zu acht parallel pro Welle in drei Chargen. Dream schreibt, etwa vier Tage hätten 1395 Dateien erzeugt — kein Volumen für eine Person von Hand.
-
1
Aufklärung: das Behördennetz aus einem Portal zerlegen
Das Gerüst lud Angular-JavaScript eines Regierungsportals herunter, dekompilierte es und zog URLs, APIs, OAuth-Client-IDs und Keycloak-Konfiguration. Der Bericht nennt 21 verbundene Systeme und eine nationale SSO-Karte: sechs Unterbereiche, alle OIDC-Endpunkte, zwei RSA-Signaturschlüssel. Ein System gab seinen gesamten Benutzerbestand ohne Authentifizierung preis.
-
2
Zugang: Hintertüren, Spraying, JWT
Mehrere Einstiege liefen parallel: Debug-APIs in Produktion, die für beliebige Request-Bodies eine Sitzung gaben; Passwort-Spraying gegen ein Büroautomationsportal mit Namen aus der unauthentifizierten Benutzer-API, CAPTCHAs per Tesseract OCR bei angeblich 100 Prozent Trefferquote, 85 Konten über mehrere Runden; eine API akzeptierte JWTs mit
alg=none, also Identitätstoken ohne Signaturschlüssel. -
3
Laterale Bewegung und Diebstahl
84 von 85 Konten (98,8 %) wechselten über eine SSO-Brücke ins interne Informationssystem. Personaldaten stehen als 2564+: 1409 Beschäftigte, 916 aus einer unauthentifizierten API, 239 aus einem unauthentifizierten justiznahen Endpunkt. Das Gerüst scannte auch IT-Zulieferer, eine Atomaufsicht, Behördenmail und mehr als sieben Energieunternehmen — Scans, nicht bestätigte Kompromittierung aller.
Warum das kein bloßes Modellstarten ist
Bayes-Rangfolge, kein Blindscan
Befunde starten bei Prior P=0,50, dann Update über Scan, curl-Bestätigung, Wirkung und WAF; nur P>0,95 steigt in eine Angriffskette. Das Archiv nennt P_success = P_chain × (1 − P_blocker). Laterale SSO-Bewegung wurde mit 99 % bewertet; später pivotierten 98,8 % der Konten.
Neue Techniken mitten in der Kampagne
Sogenannte Learning Cycles durchsuchen Schwachstellendatenbanken, GitHub und Papers, zugeschnitten auf den Stack der Zielregierung. Das Archiv hat fünf Runden, v1 bis v5, inklusive bekannter CVEs landesspezifischer Produkte und üblicher Portal-Schwächen.
Eigene Fehlalarme werden verworfen
Die 12-Wellen-Zusammenfassung listet sieben False Positives. Das klarste: ein Registrierungs-Nickname als Blind-SQLi nach 21 Sekunden Verzögerung; Nachtest zeigte SMTP-Timeout, nicht SLEEP(5). Bestätigte Punkte brauchten noch zwei Runden Kreuzprüfung mit je drei Agenten.
| Öffentliche Aussage | Dream-Bericht | Spätere Berichte |
|---|---|---|
| Ziel | Regierungsstellen in Asien | Taiwan (FT / CyberScoop / PCMag) |
| Operator | Wechsel vereinfacht/traditionell; chinesischsprachiger Operator | Manche Überschriften sagen „chinesische Hacker“; das ist keine amtliche Zuordnung |
| Leitplanken | Jede Aktivität als autorisierter Pentest dargestellt | Stimmt mit dem Bericht überein |
Dreams Kern: Dieses Niveau braucht mehr als ein geöffnetes Modell. Es braucht Aufgabenabstimmung, Agentenkoordination und Entscheidungslogik — die Bayes-Rangfolge, Selbstkorrektur und Lernschleifen in diesem Gerüst.
# Öffentliche Zeitlinie (aus der Berichterstattung)
2026-07-01–04 12 Angriffswellen (Dream)
2026-07 Anfang Workspace entdeckt
2026-08-12 Dream veröffentlicht; Details zuerst mit FT geteilt
2026-08-13 CyberScoop / PCMag folgenLesen und Grenzen
- Kostenasymmetrie ist das Kernurteil des Berichts
- Dream schreibt, ein kompetenter Angriff sei billiger geworden, die Verteidigung nicht im gleichen Maß. Das ist Autorenfazit, kein neues Ereignisfaktum.
- Die Webshell wurde kein volles RCE
- Ein unbeschränkter Upload ließ eine Webshell durch; Forms Authentication blockierte die Ausführung. Der Bericht verbucht Teilerfolg.
- SDK-Statik traf nicht die echten Einbrüche
- Das Gerüst holte Java- und ASP.NET-SSO-Beispiele von GitBook und lief lokales SAST; Überlappung mit der bestätigten Schwachstellenliste war null. Die Treffer waren serverseitige Probleme, die eine Blackbox finden konnte.
Fragen zum Gegenprüfen
Ist das ein bestätigter staatlicher Angriff?
Nein. Dream schließt aus vereinfachtem Chinesisch in internen Statusnotizen und traditionellem Chinesisch in zielgerichteter Analyse auf einen chinesischsprachigen Operator. Überschriften mit „chinesischen Hackern“ sind Presse, keine bestätigte Dream-Zuordnung.
Ist das Ziel bestätigt Taiwan?
Dreams Text sagt Regierungsstellen in Asien. CyberScoop und PCMag nennen Taiwan und die Financial Times. Beide Formulierungen stehen lassen; die Pressenennung ist nicht Dreams Stempel.
Sind Hermes und OpenClaw Zweck-Malware?
Dream beschreibt sie als verbreitete Open-Source-KI-Agenten-Frameworks. Angreifer legten Multi-Agenten-Orchestrierung darüber. Der Bericht setzt die Namen nicht mit einer einzelnen kommerziellen Malware-Marke gleich.