✨︎ Resumen (TL;DR):
- Dream documentó un marco basado en Hermes y OpenClaw que atacó sistemas de un gobierno asiático entre el 1 y el 4 de julio de 2026.
- El sistema descifró 85 cuentas; 84 llegaron al sistema interno mediante SSO y el marco extrajo más de 2,500 registros de personal.
- Las entradas confirmadas fueron endpoints de depuración en producción, APIs sin autenticación y tokens de identidad sin firma.
Un marco de agentes de IA construido sobre Hermes y OpenClaw atacó sistemas de un gobierno asiático entre el 1 y el 4 de julio de 2026; el Financial Times identificó al objetivo como Taiwán. En cuatro días, el sistema descifró 85 cuentas, extrajo más de 2,500 registros de personal y aprovechó endpoints de depuración expuestos, APIs sin autenticación y tokens de identidad sin firma.
Dream, la empresa israelí de ciberseguridad que analizó el caso, publicó su informe el 12 de agosto de 2026. El documento examina un espacio de trabajo de 160 megabytes y 1,395 archivos, donde el marco desplegó hasta 8 agentes en paralelo y mapeó 21 sistemas conectados.
El escaneo después alcanzó proveedores de tecnología del gobierno, una agencia de seguridad nuclear y más de 7 empresas de energía. Dream no nombró al país por política interna y dijo haber avisado a un gobierno de Asia-Pacífico. El Financial Times, que adelantó la investigación, identificó a Taiwán como objetivo.
Un marco de agentes de IA es un sistema que coordina varios agentes para buscar, comprobar y priorizar rutas de ataque con base en la evidencia. El marco documentado por Dream aplicó esa lógica a los sistemas conectados del gobierno.
Tres fallas conocidas abrieron el acceso
El acceso no dependió de una técnica inédita. Dream confirmó tres vías basadas en configuraciones que dejaron servicios expuestos.
En una aplicación web del gobierno, los agentes encontraron 3 endpoints ocultos de depuración. Cualquier petición devolvía una sesión válida sin credenciales.
Otra interfaz aceptaba tokens JWT cuyo campo de algoritmo estaba en none. Ese valor permitía falsificar identidades sin conocer la llave de firma.
Un tercer sistema exponía su base completa de usuarios sin autenticación, con miles de nombres, departamentos e identificadores de cuenta.
Con esa lista, el marco atacó el portal de automatización de oficina de una dependencia. El portal tenía CAPTCHA y los agentes lo resolvieron con Tesseract, un motor de reconocimiento óptico de caracteres de código abierto que existe desde hace décadas.
Después probaron contraseñas derivadas del identificador de cada empleado, con mayúsculas o símbolos comunes añadidos. La primera ronda comprometió 12 cuentas y los patrones adicionales sumaron 73 más.
El análisis estático que el marco ejecutó con IA sobre los SDK de integración del gobierno no produjo ni un solo exploit confirmado. Dream cruzó esos resultados con su lista final de vulnerabilidades validadas y no encontró coincidencias.
Las intrusiones reales provinieron de fallas del lado del servidor que las pruebas estándar de caja negra pueden detectar.
El SSO convirtió 85 cuentas en acceso interno
Cada sistema interno conectado tenía su propia entrada de inicio de sesión único, o SSO, pero esa entrada confiaba automáticamente en la sesión del portal de oficina. No pedía autenticación adicional, doble factor ni confirmación del usuario.
De las 85 cuentas descifradas, 84 entraron al sistema de información interno de la dependencia. La proporción fue de 98.8%.
El análisis registró estos accesos y datos:
- 1,409 registros de empleados con nombre, departamento e identificador.
- Una API sin autenticación entregó 916 usuarios adicionales.
- Un endpoint del Ministerio de Justicia, también abierto, entregó 239 profesionales del derecho.
- El archivo incluyó 7 secretos de cliente del sistema de identidad y 6 credenciales de bases de datos internas.
Los agentes también subieron una web shell mediante una API de carga sin restricciones y la colocaron en una ruta conocida. Una web shell es un archivo que sirve para ejecutar comandos en un servidor.
Una segunda capa de autenticación impidió su ejecución y dejó la operación a un paso de la ejecución remota de código.
La IA decidió qué probar después
El marco asignaba a cada hallazgo una probabilidad inicial de 0.50 y la modificaba según la evidencia. Un escaneo positivo, una confirmación manual o la presencia de un firewall de aplicaciones cambiaban ese valor.
Por encima de 0.95, el hallazgo entraba a la cadena de ataque; por debajo de 0.30, el sistema lo descartaba. La cadena de movimiento lateral mediante SSO recibió una probabilidad de éxito de 99% y terminó rindiendo 98.8%.
Cuando una vía se cerraba, el marco abría ciclos de aprendizaje: sesiones dedicadas a buscar en bases de vulnerabilidades, repositorios de GitHub y publicaciones técnicas de seguridad aplicables a esa infraestructura concreta. Dream documentó 5 de esos ciclos.
El sistema también descartó 7 falsos positivos propios. En un supuesto caso de inyección SQL, el agente interpretó un retraso de 21 segundos como señal de éxito. Al repetir la prueba, descubrió que la demora provenía del servidor de correo que intentaba enviar una verificación.
El resumen ejecutivo firmado por Dream Research Labs condensó el problema en una frase:
“El costo de ejecutar un ataque competente se desplomó; el de defenderse, no.”
El marco sorteó las salvaguardas del modelo subyacente al presentar toda su actividad como una prueba de penetración autorizada. Dream no logró determinar qué modelo movía a los agentes.
En contraste, el 10 de agosto, OpenAI abrió a sus socios aprobados el acceso a un modelo entrenado para rechazar menos peticiones ofensivas.
El origen de la operación sigue sin confirmarse
Dream no atribuye la operación a ningún grupo. La relación con China que aparece en el análisis descansa en un rasgo lingüístico: los reportes internos del marco usan chino simplificado, mientras los datos extraídos del objetivo están en chino tradicional.
El informe señala que esa variante es habitual en sitios oficiales de Taiwán, Hong Kong y Macao. Las autoridades chinas no respondieron a las solicitudes de comentario del Financial Times.
Un portavoz del Ministerio de Asuntos Digitales de Taiwán declinó comentar el caso por motivos de confidencialidad. Explicó que los incidentes que involucran a dependencias o infraestructura crítica se manejan mediante los procedimientos establecidos.
El portavoz también advirtió que los agentes de IA agregan dos problemas a la defensa: automatizan los ataques y se convierten ellos mismos en una superficie vulnerable.
Dream compite con seguridad nativa en IA
Dream tiene su sede en Tel Aviv. El empresario israelí Shalev Hulio, cofundador de NSO Group, y el excanciller austríaco Sebastian Kurz fundaron la empresa en 2023. En junio, la firma alcanzó una valuación de 3,000 millones de dólares.
El informe recomienda migrar hacia productos de seguridad con enfoque nativo en IA, un mercado en el que compite la propia Dream. La empresa también matiza que construir un sistema capaz de operar a este nivel exige coordinar agentes y ajustar la lógica de decisión; ejecutar un modelo por sí solo no basta.
El cambio fue la velocidad
Las fallas que abrieron el acceso al gobierno no eran exóticas: endpoints de depuración en producción, APIs sin autenticación, tokens sin firma y un inicio de sesión único sin segundo factor.
La Oficina Nacional de Seguridad de Taiwán calculó en enero un promedio de 2.6 millones de ciberataques chinos diarios durante 2025, 6% más que el año anterior. El marco documentado por Dream recorrió esa superficie en paralelo y ordenó sus acciones por probabilidad de éxito.
Dream no documentó una falla inédita. Documentó cómo un sistema coordinado encontró fallas conocidas, probó credenciales, validó accesos y siguió buscando cuando una ruta se cerraba. Lo que cambió fue el reloj.
