Un sistema composto da più agenti di intelligenza artificiale ha colpito reti governative taiwanesi, operando in parallelo, modificando autonomamente le proprie strategie e individuando nuove vulnerabilità quando una strada si rivelava inefficace. Taipei conferma l’attacco e la sua provenienza estera, ma non punta il dito contro Pechino. L’attribuzione alla Cina resta per ora una valutazione tecnica
Non è tanto il numero dei sistemi violati, né quello degli account compromessi. Il dato che rende interessante l’ultimo attacco informatico contro Taiwan è il modo in cui è stato condotto. Per quattro giorni, all’inizio di luglio, una serie di agenti di intelligenza artificiale ha lavorato contemporaneamente contro infrastrutture governative dell’isola: ha ricostruito la superficie digitale dei bersagli, cercato vulnerabilità, sottratto credenziali e, quando una tecnica non funzionava, ne ha studiata un’altra.
Il Financial Times ha raccontato per primo l’operazione sulla base dell’analisi di Dream, società israeliana specializzata in intelligenza artificiale e cybersecurity. Il 13 agosto è arrivata anche una conferma da Taipei: il ministero degli Affari digitali taiwanese ha reso noto di aver individuato a luglio attacchi “anomali” contro agenzie governative, provenienti dall’estero e condotti attraverso una combinazione di attività manuali e agenti IA. Il governo non ha attribuito pubblicamente l’operazione alla Cina.
È una distinzione importante. Dream non ha identificato un gruppo specifico e non sostiene di avere dimostrato un coinvolgimento diretto delle autorità cinesi. La documentazione recuperata durante l’indagine contiene tuttavia comunicazioni interne in cinese semplificato, circostanza che secondo i ricercatori indica un operatore di lingua cinese. I dati delle vittime erano invece in cinese tradizionale. Il Financial Times, citando una persona a conoscenza dell’attacco, ha identificato Taiwan come il Paese colpito.
Otto agenti al lavoro insieme
Dream sostiene di avere ricostruito l’operazione partendo da un archivio online di oltre 160 megabyte contenente 1.395 file: in pratica, lo spazio di lavoro utilizzato durante la campagna. Tra il primo e il 4 luglio il sistema avrebbe condotto dodici diverse “ondate” di attacco, impiegando fino a otto agenti contemporaneamente.
Alla base c’erano Hermes e OpenClaw, due framework per agenti IA disponibili pubblicamente. Non è stato invece possibile stabilire quale modello linguistico fosse utilizzato come motore del sistema. Secondo l’analisi tecnica di Dream, le protezioni del modello sarebbero state aggirate presentando le operazioni come normali attività autorizzate di penetration testing.
Da un singolo portale governativo gli agenti sono riusciti a ricostruire collegamenti verso 21 diversi sistemi e a individuare endpoint, configurazioni di autenticazione e componenti della struttura di Single Sign-On dell’amministrazione. Da lì l’attacco ha cominciato ad allargarsi.
Il sistema ha individuato API accessibili senza autenticazione, recuperato nomi di utenti pubblici e condotto tentativi automatizzati sulle password. Il risultato, secondo Dream, è stato la compromissione di 85 account. Ottantaquattro di quelle credenziali hanno poi consentito l’accesso ad altri sistemi interni attraverso il meccanismo di Single Sign-On.
Complessivamente, i ricercatori sostengono che siano stati estratti almeno 2.564 record relativi al personale, insieme ad alcune credenziali di database, informazioni sull’architettura interna delle reti e altri dati tecnici. L’operazione è stata successivamente estesa a fornitori informatici della pubblica amministrazione, a un sistema di posta governativo, all’agenzia taiwanese per la sicurezza nucleare e ad almeno sette aziende del settore energetico.
La differenza è nell’autonomia
Una parte consistente delle tecniche impiegate non rappresenta una novità per chi si occupa di sicurezza informatica. Scansioni di rete, password spraying, ricerca di API mal configurate e sfruttamento delle debolezze dei sistemi di autenticazione appartengono da tempo alla cassetta degli attrezzi degli attaccanti.
Gli agenti non ricevevano semplicemente dal proprio operatore una sequenza predefinita di istruzioni. Il framework assegnava loro bersagli diversi, raccoglieva i risultati e utilizzava quelle informazioni per stabilire quale percorso di attacco avesse maggiori probabilità di successo. Dream ha trovato nella documentazione un vero sistema di attribuzione probabilistica delle priorità: quattordici possibili catene di attacco venivano continuamente ordinate e rivalutate alla luce dei risultati ottenuti.
Quando una tecnica non funzionava, il sistema avviava quelli che definiva “learning cycles”: sessioni durante le quali gli agenti cercavano autonomamente in database di vulnerabilità, repository GitHub e pubblicazioni specializzate informazioni utili a costruire una strada alternativa. Anche gli errori venivano verificati. Dream ha individuato sette falsi positivi che gli stessi agenti avevano successivamente scartato dopo ulteriori controlli.
È questo il punto che sposta la discussione sull’uso dell’IA in campo cyber. L’intelligenza artificiale non serve più soltanto ad accelerare la scrittura del codice o a consigliare l’operatore umano. Può iniziare a svolgere una parte crescente del lavoro che fino a poco tempo fa richiedeva una squadra di specialisti: osservare, scegliere, provare, correggere e ricominciare.
“Autonomo”, tuttavia, non significa senza esseri umani. Come ha osservato a Reuters Cris Thomas, ricercatore di Semgrep, qualcuno deve ancora scegliere il bersaglio, definire l’obiettivo e impartire la direttiva iniziale. È quindi più corretto parlare di un attacco con un elevato livello di autonomia tattica, non di una macchina che decide da sola chi colpire.
Il precedente cinese con Claude
Anche per questo è opportuno usare cautela nel definire l’episodio taiwanese come il primo attacco cyber autonomo in assoluto.
Un precedente importante risale al settembre 2025. Anthropic aveva individuato e bloccato una campagna di cyberspionaggio attribuita con “alta confidenza” a un gruppo sponsorizzato dallo Stato cinese, denominato GTG-1002. Gli operatori avevano manipolato Claude Code facendogli credere di partecipare ad attività legittime di sicurezza informatica. Circa trenta aziende e amministrazioni pubbliche erano state prese di mira e in un numero limitato di casi l’intrusione aveva avuto successo.
Secondo Anthropic, l’intelligenza artificiale aveva svolto autonomamente tra l’80 e il 90 per cento delle attività tattiche: ricognizione, individuazione delle vulnerabilità, sviluppo degli exploit, raccolta delle credenziali, movimento laterale all’interno delle reti e analisi dei dati sottratti. L’intervento umano era rimasto concentrato sulle decisioni strategiche e su alcuni passaggi critici. Il caso di Taiwan segna dunque soprattutto un ulteriore avanzamento di una tendenza già visibile: agenti diversi utilizzati in parallelo, capacità di ridefinire le priorità durante l’operazione e componenti open source assemblate per costruire una piattaforma offensiva.
Taiwan come laboratorio della pressione cyber
Per Taipei, del resto, la questione non nasce con l’intelligenza artificiale.
Secondo il National Security Bureau taiwanese, nel 2025 le infrastrutture essenziali dell’isola hanno registrato in media 2,63 milioni di tentativi di attacco informatico attribuiti alla Cina ogni giorno, il 6 per cento in più rispetto all’anno precedente. I settori interessati vanno dall’energia alla sanità, dalle telecomunicazioni alle banche. In diversi casi, secondo l’intelligence taiwanese, l’aumento dell’attività cyber è coinciso con esercitazioni militari o momenti politicamente sensibili.
Il ministero degli Affari digitali ha spiegato che, nel caso di luglio, i sistemi di monitoraggio taiwanesi hanno rilevato l’attività e che dal 20 luglio il National Institute of Cyber Security ha iniziato a diffondere allerte mentre erano in corso le verifiche. Le autorità sostengono che le organizzazioni coinvolte abbiano successivamente gestito l’incidente e hanno annunciato un rafforzamento delle linee guida per la protezione contro gli attacchi assistiti dall’intelligenza artificiale.
Non c’è quindi, almeno per ora, la prova pubblica di una nuova unità cinese specializzata in offensive autonome, né quella di un attacco deciso direttamente da Pechino. Ci sono però due elementi meno spettacolari e probabilmente più rilevanti. Il primo è che una piattaforma capace di svolgere in parallelo una parte consistente delle mansioni di un team cyber può essere costruita utilizzando strumenti disponibili pubblicamente. Il secondo è che il vantaggio non consiste soltanto nella velocità. Consiste nella possibilità di mantenere contemporaneamente aperte molte più strade, scartare quelle inefficaci e concentrare le risorse sulle vulnerabilità che sembrano promettere risultati migliori.
Per un Paese sottoposto a una pressione informatica quotidiana come Taiwan, significa dover difendere la stessa superficie digitale contro avversari potenzialmente in grado di moltiplicare il numero delle operazioni senza moltiplicare nella stessa misura quello degli operatori.
