“Ein KI-Agent hilft einem Hacker” klingt inzwischen fast banal. Bei der Kampagne gegen PaperCut war der Unterschied allerdings messbar: Laut GreyNoise setzte der Angreifer Hunderte Agenten ein und kompromittierte innerhalb von 26 Sekunden mindestens 11 Organisationen. Insgesamt betraf die beobachtete Kampagne mindestens 440 Instanzen von 395 identifizierten Organisationen in 48 Ländern.

Das war ein echter Angriff, kein Laborversuch

GreyNoise verfolgte die Infrastruktur des Angreifers seit Anfang Juli. Am 31. August begann der beobachtete, mutmaßlich russischsprachige Angreifer, KI für die Vorbereitung, Erprobung und Ausnutzung von Schwachstellen in PaperCut NG/MF einzusetzen. Die Software wird häufig für Druckmanagement verwendet, läuft oft als Webanwendung auf Windows-Servern und ist nicht selten mit Active Directory verbunden.

Die Forscher beschreiben eine klare Abfolge: Zuerst baute der Angreifer eine eigene Testumgebung mit einer verwundbaren PaperCut-Instanz und Active Directory auf, parallel stellte er Ziellisten zusammen. Nachdem ihm im Labor Remote Code Execution und der Diebstahl von Zugangsdaten gelungen waren, startete er die Kampagne gegen reale Systeme.

WebsiteGarage / Leistungen

Entdecke unsere Leistungen.

Laut GreyNoise lief die Orchestrierung über Hunderte Agenten in einer OpenAI-Codex-Umgebung, das DeepSeek-Modell und öffentlich verfügbare offensive Tools. Genau diese Unterscheidung ist wichtig: Der Bericht behauptet nicht, dass ein einzelnes Modell allein “die Welt gehackt” hat. KI war Teil eines größeren Werkzeugkastens und eines von einem Menschen gesteuerten Prozesses.

Was sich wirklich verändert hat, war das Tempo

GreyNoise zufolge vergingen vom leeren Arbeitsverzeichnis bis zur ersten Remote Code Execution bei einem echten Opfer weniger als vier Stunden. Rund zwei Stunden später erlangte der Angreifer erstmals Domain-Admin-Rechte. Nach dem vollständigen Start der Kampagne wurden mindestens 11 Organisationen innerhalb von 26 Sekunden kompromittiert.

Nicht jeder erfolgreiche Zugriff endete allerdings mit der kompletten Übernahme des Netzwerks. Unter 440 beobachteten PaperCut-Instanzen registrierte GreyNoise in 280 Fällen gestohlene Zugangsdaten, in 147 Fällen Zugriff auf System- oder Domain-Secrets und in 12 Organisationen Domain-Admin-Rechte. Das ist weiterhin ernst, zeigt aber den Unterschied zwischen “der Server wurde getroffen” und “der Angreifer kontrolliert die komplette Domain”.

In einem Fall dauerte der Weg vom ersten Zugriff bis zum Domain-Admin sieben Minuten. Die schnellste vollständige Übernahme im Datensatz brauchte fünf Minuten, die langsamste 144 Minuten. Dieses Tempo ist praktisch relevant, weil ein klassisches Abwehrmodell nach dem Motto “nach dem ersten Alarm haben wir erst einmal eine Stunde für die Analyse” schlicht zu langsam sein kann.

Die Agenten machten den Angriff schneller, aber nicht allmächtig

Der Vorfall ist auch deshalb interessant, weil er die Grenzen solcher Agenten zeigt. Der Angreifer wollte Ziele in 28 Ländern ausdrücklich auslassen, doch laut GreyNoise hielten sich einige Agenten nicht an diese Vorgabe. Die Forscher sehen darin ein Beispiel für ein grundsätzliches Skalierungsproblem: Je mehr autonome Prozesse parallel Aufgaben ausführen, desto schwieriger wird es, sicherzustellen, dass alle die Regeln des Operators einhalten.

Auf der anderen Seite funktionierten klassische Schutzmaßnahmen weiterhin. GreyNoise beschreibt mindestens einen Fall, in dem eine Cloudflare WAF den Versuch stoppte. Nicht besonders filmreif, aber wichtig: Hunderte Agenten machen eine sauber konfigurierte Infrastruktur nicht automatisch zur Dekoration.

Was PaperCut konkret gepatcht hat

PaperCut bestätigt aktive Vorfälle im Zusammenhang mit CVE-2026-81578 und CVE-2026-82078. Die erste Schwachstelle betraf eine fehlerhafte Zugriffskontrolle in der webbasierten Verwaltungsoberfläche. Die zweite hing mit unsicherem dynamischem Laden von Klassen zusammen, in Kombination mit einer externen Datenbank, die für die Benutzersuche per Karte oder Kennung verwendet wurde.

Am 10. September veröffentlichte der Hersteller die Service-Releases 26.0.5, 25.0.13 und 24.1.10, die die vorherigen Notfall-Patches ersetzen. PaperCut empfiehlt das Update auf ein vollständiges Service-Release und führt den Fall weiterhin als aktiven Vorfall mit bestätigten Kundenfällen.

Warum dieser Fall wichtiger ist als die nächste Geschichte vom “KI-Hacker”

Die wichtigste Erkenntnis lautet nicht: “KI kann Server hacken.” Offensive Automatisierung gibt es seit Jahren. Was sich verändert, sind die Kosten dafür, viele Aufgaben parallel zu koordinieren: Aufklärung, Aufbau einer Testumgebung, Tests, Fehlerkorrekturen und das Abarbeiten weiterer Ziele.

Ein Agent muss nicht genial sein, wenn du Hunderte davon starten kannst. In so einem Modell kann selbst ein Prozess, der regelmäßig Fehler macht, nützlich sein, weil der nächste Agent einen anderen Weg ausprobiert und der Mensch als Dirigent des ganzen Orchesters fungiert.

Für die Verteidigung verschiebt sich damit die Frage von “findet jemand unsere Lücke?” zu “wie lange bleibt die Lücke nach der öffentlichen Bekanntgabe praktisch nutzbar, und kann unser System die Folgen des ersten erfolgreichen Zugriffs begrenzen?” Patch-Management, Segmentierung, minimale Berechtigungen und der Schutz öffentlich erreichbarer Dienste werden noch wichtiger, gerade weil Angreifer wiederholbare Schritte schneller skalieren können.

WebsiteGarage-Kommentar

Aus der Geschichte lässt sich leicht die nächste Schlagzeile “KI übernimmt die Cyberkriminalität” basteln. Der GreyNoise-Bericht sagt etwas Interessanteres. Der Mensch wählte weiterhin das Ziel, baute den Prozess und arbeitete mit klassischen Werkzeugen. KI senkte vor allem die Kosten dafür, viele Dinge gleichzeitig zu erledigen und Fehler unterwegs schneller auszubessern.

Das könnte deutlich wichtiger sein als die Vorstellung eines einzelnen superintelligenten Hackers. Unternehmen müssen nicht verlieren, weil der Gegner grundsätzlich besser ist. Sie können verlieren, weil der Gegner hundert mittelmäßige Versuche parallel startet, bevor jemand überhaupt das erste Ticket geöffnet hat.

Zum Glück ist die zweite Hälfte des Berichts genauso konkret: Normale Schutzmaßnahmen funktionieren weiterhin. Wir brauchen nicht als Erstes eine “KI-Firewall gegen KI-Angriffe”. Wir brauchen zunächst aktuelle Systeme, vernünftige Berechtigungen, begrenzten Internetzugang zu sensiblen Diensten und Monitoring, das mit dem Alarm nicht bis morgen wartet.