Dream rund um Sebastian Kurz deckt KI-Agenten-Angriff auf Taiwan auf

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

Ein 160 Megabyte großes Archiv, das offen im Netz lag, gab den Ausschlag: Das israelisch-österreichische Cybersecurity-Unternehmen Dream hat nach eigenen Angaben einen weitgehend autonom ablaufenden Cyberangriff auf Regierungsstellen in Asien rekonstruiert. Der Angriff lief über vier Tage im Juli, nutzte ausschließlich frei verfügbare Open-Source-KI-Agenten – und traf laut Financial Times Taiwan.

Der Fund war ein Nebenprodukt der Routinearbeit: Bei der laufenden Beobachtung von Bedrohungsakteuren stießen die Threat-Researcher von Dream auf ein exponiertes Online-Archiv mit 1.395 Dateien – dem kompletten Arbeitsbereich eines KI-gestützten Angriffs-Frameworks. Das Material dokumentierte Planung, Ausführung und Nachbereitung einer Intrusion-Kampagne gegen staatliche Infrastruktur. Dream veröffentlichte die Analyse am Mittwoch in seinem Research-Blog; die Financial Times berichtete zuerst und nannte Taiwan als Ziel. Dream selbst spricht nur von „Regierungsstellen in Asien“ und bestätigt das Zielland unter Verweis auf die eigene Unternehmenspolitik nicht.

OpenClaw und Hermes im Einsatz

Laut Dream-Analyse basierte das Angriffswerkzeug auf zwei frei verfügbaren Agenten-Frameworks: Hermes und OpenClaw. Beide erlauben es, Sprachmodelle mehrstufige Aufgaben eigenständig abarbeiten zu lassen. Das Framework startete pro Welle bis zu acht mit Buchstaben durchnummerierte Sub-Agenten gleichzeitig, jeder mit eigenem Ziel und eigener Technik. Über zwölf dokumentierte Wellen zwischen 1. und 4. Juli 2026 tauchten Agenten von A bis Q auf.

Der Ablauf laut Bericht:

• Aufklärung: Das System lud JavaScript-Bundles eines Angular-basierten Behördenportals herunter, dekompilierte sie und extrahierte eingebettete URLs, API-Endpunkte, OAuth-Client-IDs und Keycloak-Konfigurationen. Daraus kartierte es 21 verbundene Regierungssysteme samt nationaler SSO-Architektur. Bei einem einzigen Ziel fand es mehr als 36 API-Endpunkte – viele davon ohne jede Authentifizierung, eines gab die komplette Nutzerdatenbank frei.
• Erstzugang: Drei versteckte Debug-Endpunkte in einer Behörden-Webanwendung lieferten gültige Sessions ohne Zugangsdaten. Ein weiteres API akzeptierte JWT-Tokens mit dem Algorithmus-Feld none – Identitätstoken ließen sich also ohne Signaturschlüssel fälschen.
• Passwort-Angriff: Mit den zuvor abgegriffenen Mitarbeiter-Kennungen führte das System einen Password-Spraying-Angriff gegen ein Office-Automation-Portal. Das dort vorgeschaltete CAPTCHA löste es mit der Open-Source-Texterkennung Tesseract. Getestet wurden vorhersagbare Passwortmuster auf Basis der Mitarbeiter-IDs – 85 Konten wurden geknackt.
• Lateral Movement: 84 der 85 Accounts (98,8 Prozent) ließen sich über SSO-Bridge-Endpunkte auf interne Systeme weiterverwenden, ohne zusätzliche Authentifizierung oder MFA. Ein hochgeladener Web-Shell blieb wirkungslos, weil eine zweite Authentifizierungsschicht die Ausführung blockierte.
• Datenabfluss: Über 2.500 Personaldatensätze, dazu interne Datenbank-Zugangsdaten und Netzwerk-IP-Bereiche.
• Ausweitung: Der Angriff dehnte sich auf IT-Zulieferer der Regierung, eine Behörde für nukleare Sicherheit, ein Regierungs-Mailsystem und mindestens sieben Energieunternehmen aus.

Bayes-Statistik und „Learning Cycles“

Bemerkenswert ist für Dream weniger das technische Arsenal – es handelt sich durchwegs um bekannte Schwachstellenklassen, ein Zero-Day taucht im Bericht nicht auf – als die Entscheidungslogik. Das Framework bewertete jeden Fund mit einem formalen Bayes-Modell: Startwahrscheinlichkeit 0,5, danach Aktualisierung über Likelihood-Ratios je nach Beweislage. Ab einer Posterior-Wahrscheinlichkeit über 0,95 galt eine Lücke als bestätigt und wanderte in eine Angriffskette, unter 0,3 wurde sie verworfen. Eine zweite Ebene bewertete ganze Angriffsketten – 14 davon liefen parallel und wurden laufend neu priorisiert.

Blieb ein Weg versperrt, startete das System sogenannte „Learning Cycles“: Agenten durchsuchten Schwachstellendatenbanken, GitHub-Repos und Security-Publikationen nach passenden Techniken für die konkrete Zielumgebung. Fünf solcher Zyklen sind dokumentiert. Auch Selbstkorrektur ist belegt: Sieben Fehlalarme wurden vom System selbst identifiziert und verworfen, darunter eine vermeintliche SQL-Injection, deren 21-Sekunden-Verzögerung sich als SMTP-Timeout entpuppte.

Die Sicherheitsmechanismen der eingesetzten Modelle wurden nicht technisch ausgehebelt, sondern umgangen, indem die gesamte Operation als „autorisierter Penetrationstest“ deklariert wurde. Welches Modell die Agenten antrieb, konnten die Forscher zunächst nicht feststellen. Gegenüber CSO Online erklärte ein Dream-Sprecher nach der Veröffentlichung, man habe inzwischen Hinweise auf den Einsatz eines DeepSeek-V4-Flash-Modells gefunden, wisse aber nicht, ob es das einzige verwendete Modell war.

Zuordnung bleibt offen, Taiwan bestätigt Vorfall

Dream schreibt den Angriff keiner konkreten Gruppe zu. Als Indiz für einen chinesischsprachigen Betreiber führen die Forscher an, dass die internen Statusberichte in vereinfachtem Chinesisch verfasst waren, während die erbeuteten Zieldaten in traditionellem Chinesisch vorlagen – gebräuchlich in Taiwan, Hongkong und Macau. Chinesische Behörden reagierten laut FT nicht auf Anfragen.

Taiwans Ministerium für digitale Angelegenheiten bestätigte einen Tag nach dem FT-Bericht Angriffe im Juli. Die Attacken seien aus dem Ausland gekommen und hätten einen hybriden Ansatz verwendet, der manuelle Operationen mit Unterstützung durch KI-Agenten wie OpenClaw kombiniert habe, so das Ministerium laut Reuters. Angriffsquellen, Methoden und Schadensumfang seien vollständig untersucht, die betroffenen Stellen hätten den Vorfall abgearbeitet.

Die nationale Cybersicherheitsbehörde begann demnach am 20. Juli mit Warnmeldungen. Eine explizite Verbindung zwischen dem Dream-Bericht und dem eigenen Vorfall stellte Taipeh nicht her. Gegenüber CSO Online relativierte auch Dream: Man habe keine Belege für einen bestätigten Einbruch in die Systeme der betroffenen Organisation gefunden, der Bericht beschreibe das Framework zum Zeitpunkt der Analyse.

Das Unternehmen hinter dem Fund

Dream hat als Geschäftsmodell, Regierungen und Staaten Cyber-Defense-Möglichkeiten anzubieten, um sich und kritische Infrastruktur digital zuschützen – mit dem versprechen, die digitale Souveränität zu steigern.

wurde 2023 vom israelischen Cyber-Unternehmer Shalev Hulio und dem ehemaligen österreichischen Bundeskanzler Sebastian Kurz gegründet. Hulio war zuvor Mitgründer der NSO Group, die 2021 wegen des Einsatzes ihrer Pegasus-Software gegen Journalisten und Oppositionelle von den USA auf eine Sanktionsliste gesetzt wurde. Dream mit Sitz in Tel Aviv positioniert sich als Anbieter für staatliche KI- und Cyberverteidigung und wurde im Juni nach einer 260-Millionen-Dollar-Runde mit Investoren wie Bain Capital mit drei Milliarden Dollar bewertet – zuvor waren es 1,1 Milliarden.

Amir Becker, Chief Strategy Officer bei Dream und früher Leiter von Cyberoperationen der israelischen Signals-Intelligence-Einheit 8200, spricht von einem „end-to-end autonomen Angriff“, wie er ihm gegen ein staatliches Ziel bisher noch nicht untergekommen sei. Seine Schlussfolgerung: Regierungen müssten künftig von einem Dauerzustand des Angriffs ausgehen.

Zur Einordnung: Taiwans Nationale Sicherheitsbehörde registrierte 2025 nach eigenen Angaben durchschnittlich 2,6 Millionen chinesische Cyberangriffe pro Tag – ein Plus von sechs Prozent gegenüber dem Vorjahr. Kenny Huang, Vorsitzender des Taiwan Network Information Center, hält den nun dokumentierten Fall für den ersten offengelegten vollautomatisierten Angriff auf eine Regierung.