Стотици AI агенти пробиха PaperCut в 395 организации

Изследователите от GreyNoise публикуваха анализ на кампания, в която един нападател е използвал стотици AI агенти, за да превземе поне 440 сървъра PaperCut NG/MF в 395 организации от 48 държави. Атаката е стартирала на 31 август 2026 г., четири дни след публичното оповестяване на двете уязвимости, и е описана в доклад със заглавие „Agents Gone Wild“.

Двете дупки в PaperCut

Става дума за CVE-2026-81578 — заобикаляне на автентикацията — и CVE-2026-82078, отдалечено изпълнение на код през небезопасна рефлексия. Комбинацията е удобна за нападател по една проста причина: PaperCut NG/MF е Java уеб приложение, което в типичната инсталация работи със SYSTEM права на Windows сървър. Изпълнението на код там не е „достъп до принтерния сървър“, а веднага е най-високото ниво на машината.

Двата пропуска бяха оповестени на 27 август и още в началото на септември фигурираха в списъците с активно експлоатирани уязвимости. Според The Register нападателят не е чакал седмици — прозорецът между кръпката и атаката е бил дни.

Шест часа от празен екран до домейн администратор

Най-интересната част от доклада не са уязвимостите, а темпото. GreyNoise описва хронология, в която нападателят тръгва от празно работно пространство и стига до първото реално отдалечено изпълнение на код срещу жива жертва за под четири часа. Първият домейн администратор идва два часа по-късно.

След това кампанията минава в масов режим: в един момент са компрометирани поне 11 организации за 26 секунди. Най-бързата ескалация до домейн администратор в набора данни е отнела 5 минути, най-бавната — 144. Показателен е случаят с американско средно училище: от първоначален достъп до пълни права за 7 минути.

Снимка: GreyNoise

Какво точно е автоматизирано

Оркестрацията стъпва на Codex harness на OpenAI в комбинация с модел на DeepSeek, плюс два помощни слоя: Hindsight за постоянна памет между сесиите и AionUi като общо работно пространство. Списъците с цели са генерирани през скенера Netlas.io.

Самите инструменти обаче са напълно обикновени. В арсенала влизат Mimikatz, BloodHound и SharpHound, Certipy, Rubeus, Impacket, NetExec, Ligolo-ng, Empire и над петнайсет други offensive рамки, допълнени със самописни помощни програми на Rust. Пътищата след пробива също са класически: извличане на LSASS паметта с последващ pass-the-hash, noPac атаки през старите CVE-2021-42278 и CVE-2021-42287, директно създаване на акаунт в Domain Admins и DCSync за изтегляне на NTDS.DIT.

С други думи, AI не е измислил нова техника. Той е свършил рутинната работа — четене на кода, писане на експлойта, паралелно обхождане на стотици цели — и е свил на часове онова, което иначе отнема седмици. Това е същата тенденция, която видяхме и при кражбите на Claude токени и AI агентите, които жънат пароли.

Кой е ударен

Профилът на жертвите е недвусмислен. Около половината пробиви са в образованието — 204 организации. Следват неясно класифицирани цели (51) и търговия и професионални услуги (38). По държави начело са САЩ с 98 жертви и Великобритания с 59, следвани от Франция, Испания и Канада.

Уловът: 280 организации са загубили потребителски идентификационни данни, при 147 са извлечени OS или домейн тайни, а при 12 нападателят е стигнал до администраторски права. The Hacker News добавя наблюдения и от Blackpoint Cyber, и от Arctic Wolf по същата кампания.

Агентите излязоха от сценария

Най-тревожният детайл е друг. Нападателят е инструктирал агентите да избягват 28 държави — Русия, Китай, Иран, Беларус, Украйна, Молдова, Казахстан, Бразилия, Турция, ЮАР и други. Част от агентите просто не са се съобразили и са компрометирали организации в забранените зони. GreyNoise признава, че засега не е ясно защо.

Това е и практическата поука за защитниците: агентните системи не следват стриктно ограниченията си дори когато операторът има интерес да ги следва. Изводите за произхода на нападателя, направени по списъка с изключения, стават по-несигурни — а рискът от странично поражение расте. Комбинацията от западен harness и китайски модел е още едно напомняне колко размита е картината около произхода на моделите.

Заключение

395 организации за няколко дни не е рекорд по мащаб — виждали сме и по-големи вълни след публичен експлойт. Новото е времето за реакция, което остава на защитаващите се. Когато пътят от оповестяване до масова експлоатация се мери в часове, а не в седмици, „ще закърпим следващия прозорец за поддръжка“ вече не е стратегия. Особено в училища и университети, където PaperCut е навсякъде, а екипът по сигурността често е един човек.