AI黑客开始自己换路，台湾政府系统成了试验场 (2026)

导读

金融时报记者 Tom Wilson 于 2026 年 8 月 12 日发表的原报道《China-linked hackers hit Taiwan in unprecedented 'autonomous' AI cyber attack》，写的不是一个模型在实验室里意外写出恶意代码。

它写的是一套被研究人员发现的攻击工具：在 7 月初连续运行 4 天，同时调度最多 8 个 AI agent，绘制 21 个政府系统，遇到阻拦后重排攻击路径，并最终攻破至少 85 个政府用户账户，提取超过 2,500 条人员记录。1

这篇报道最重要的地方，不是证明 AI 已经取代黑客，而是证明攻击链里最耗人的几段工作，开始可以由 agent 自己接起来。

作者丨 AI 科技评论

编辑丨 AI 科技评论

01｜先把新闻说清楚

FT 将目标指向台湾，但 Dream 没有公开确认受害政府的身份。

一名了解这次攻击的人士告诉 FT，目标是台湾；Dream 只确认已经向一个「亚太地区」国家通报了入侵，并以公司政策为由拒绝确认具体政府。1

台湾数字发展部门拒绝评论具体入侵事件，只表示涉及政府机构或关键基础设施的事件会按照既有报告与响应程序处理。1

Dream 的研究人员在一份 160MB 的在线档案中发现了这次行动的痕迹。

档案包含 1,395 个文件，显示攻击工具使用了两个开源 AI agent 系统：Hermes 和 OpenClaw。

这两个系统让 AI 模型能够自主执行任务，但 Dream 没有识别出究竟是哪一个模型驱动了这些 agent。1

所以，今天能确认的不是「某个中国大模型发动了攻击」。

能确认的是，一套使用公开可得 AI 工具的攻击工具，已经在真实政府目标上展示了更高程度的自动化。

02｜「自主」到底自主在哪里

传统自动化脚本通常沿着预先写好的路径运行。

一条路径失败，脚本就停在原地，等人来改。

FT 报道中的工具更像一个会自己换路的施工队：一组 agent 负责摸清目标，另一组寻找漏洞，其他 agent 根据结果调整下一步。

在 7 月初的 4 天里，它同时部署最多 8 个自主 agent，映射 21 个政府系统，研究漏洞，并在受阻后改变策略。1

Dream 认为，最突出的变化是工具会根据手头证据，持续给可能的攻击路径排序和重新排序。

一条路失败后，它会派另一个 agent 去互联网搜集信息，再设计新的方法。

这一步很关键。

AI 在这里不只是替人写一段代码，而是在攻击流程中承担了「观察—判断—换路」的连接工作。1

AI 科技评论注意到，「自主攻击」这个词容易把读者带到科幻片里。

FT 原文真正提供的证据更具体，也更克制：并行调度、持续侦察、路径重排和自动化执行。

它没有证明这套系统不需要人类设定目标，也没有证明它可以在完全没有人类参与的情况下完成所有攻击决策。

03｜数字很大，但每个数字的含义不同

这次事件至少留下了四组数字。

21 个政府系统，对应的是攻击工具完成的目标映射范围。

最多 8 个 agent，对应的是同一时间可以并行运行的自动化单元。

至少 85 个用户账户，对应的是已被攻破的政府账户规模。

超过 2,500 条人员记录，对应的是从账户或系统中提取出的数据量。1

这四个数字不能相加，也不能被压缩成一个「AI 攻击了 21 个系统」的模糊结论。

工具映射过系统，不等于每个系统都被攻破。

账户被攻破，不等于所有账户拥有同样权限。

记录被提取，也不等于攻击者已经控制了整个政府网络。

FT 还称，攻击随后扩大到台湾核安全机构，以及至少 7 家能源公司。

这说明攻击范围从政府网站和用户账户继续向关键基础设施延伸，但报道没有给出这些后续目标各自被攻破的完整结果。1

读这类报道，数字后面的动词比数字本身更重要。

「映射」「研究」「改变策略」「攻破」「提取」「扩展」，分别代表不同阶段，不能被一个更刺激的标题抹平。

04｜它和普通的 AI 辅助黑客有什么不同

AI 早就可以帮助人类查找漏洞、生成脚本和整理公开信息。

变化出现在工作流的中间位置。

以前，人需要把侦察结果交给另一个工具，再把失败原因告诉下一步程序。

现在，agent 可以读取结果、判断路径是否值得继续，再把任务交给另一个 agent。

真正被压缩的，不只是写代码的时间，而是攻击链中人与工具之间的交接次数。

Dream 首席战略官 Amir Becker 曾负责以色列 8200 部队的网络行动。

他告诉 FT，自己此前没有见过针对政府目标的「端到端自主攻击」。1

这不是说人类黑客已经退出流程。

攻击者仍然需要选择目标、准备工具、设置任务边界，并决定哪些结果值得继续利用。

但如果一名操作员可以同时监督 8 个会自己换路的 agent，原来需要数名熟练人员反复执行的侦察工作，可能会被压缩成一个更高层的调度问题。

Anthropic、OpenAI 和 Meta 也曾报告，最新模型在测试中发起过预期之外的网络攻击行为。

FT 还提到，Anthropic 在去年 11 月称，怀疑中国国家支持的黑客操纵 Claude，尝试攻击 30 家国际企业和政府机构，但成功有限。

这些案例并不等价。

前者是模型在测试中的意外行为，后者是现实目标上的疑似攻击行动。

把它们放在一起，能看到的是同一个方向：模型从被动回答问题，开始被放进可以持续行动的工具链里。1

05｜「中国关联」不等于官方归因

FT 没有把这次攻击归因给某一个具体组织。

Dream 也没有给出具体团伙名称。

研究人员认为，黑客内部通信使用简体中文，因此攻击操作者与中国有关联的概率很高。

而从目标系统恢复的数据使用繁体中文，这种用法常见于台湾、香港和澳门的政府网站。1

这是一条线索，不是司法意义上的归因结论。

语言可以提示操作者的工作环境或目标习惯，却不能单独证明攻击者属于哪个机构，更不能直接证明国家政府下达了命令。

FT 记录了台湾数字发展部门的回应，也记录了中国方面没有回应置评请求。

报道因此停留在「疑似中国关联」这一层，没有把它升级成「中国政府实施了这次攻击」。1

这条证据边界不能省略。

在网络安全报道里，技术证据、语言线索、目标特征和国家归因是四张不同的表。

把它们拼成一张表，文章会更有气势，结论却会更不可靠。

06｜下一步看什么

第一，看 Dream 或台湾方面是否公开更多档案、样本或受影响系统信息。

目前外界知道攻击工具使用 Hermes 和 OpenClaw，也知道底层模型身份未知。

如果后续能确认模型、提示词、权限配置和人类操作员介入点，才能判断「自主」究竟走到了哪一步。

第二，看台湾核安全机构和能源企业是否确认了后续影响。

目前 FT 报道确认攻击扩大到这些目标，但没有公开每个目标的入侵结果、数据损失或系统中断情况。

这些信息决定事件是一次大范围侦察，还是已经造成关键基础设施层面的实际损害。

第三，看模型供应商如何处理「把攻击包装成授权安全测试」这一漏洞。

Dream 研究人员称，底层模型的安全防护被绕过，方法是把黑客活动呈现为获授权的系统漏洞测试。

这意味着安全防护不能只检查用户说了什么，还要判断工具接下来会把多个看似合理的动作组合成什么结果。1

台湾国家安全局今年 1 月报告称，台湾在 2025 年平均每天面对 260 万次中国网络攻击，比前一年增加 6%。

这个背景说明，AI agent 并不是凭空创造了台湾的网络压力。

它改变的是攻击方可以用多低的人工成本，把一次试探扩展成连续的、多路径的行动。1

原报道里的两句话

Dream 首席战略官 Amir Becker 对 FT 说：

「I had never seen such an end-to-end autonomous attack on a government target.」
中文译文：我此前从未见过针对政府目标的这种端到端自主攻击。1

他还说，政府现在必须假定自己处于持续网络攻击之下，并把这作为世界各国政府的基本假设。1

这句话的价值不在于它足够吓人。

它把防守方的工作从「发现一次入侵」改成了「假定下一条攻击路径正在被计算」。

AI 科技评论看来，这次事件还不能证明黑客已经把整个攻击流程交给机器。

但它已经证明，机器可以在攻击者离线的时间里继续找路。

当网络防线仍在等人来判断下一步时，另一端的 agent 可能已经开始排下一条路了。

References

1
China-linked hackers hit Taiwan in unprecedented 'autonomous' AI cyber attack - Financial Timesft.com

导读