„Agent AI pomaga hakerowi” brzmi już niemal banalnie. W kampanii przeciwko PaperCut różnica była jednak mierzalna: według GreyNoise napastnik użył setek agentów i w ciągu 26 sekund skompromitował co najmniej 11 organizacji. Cała obserwowana kampania objęła co najmniej 440 instancji należących do 395 zidentyfikowanych organizacji w 48 krajach.

To był prawdziwy atak, nie eksperyment laboratoryjny

GreyNoise śledził infrastrukturę napastnika od początku lipca. 31 sierpnia obserwowany, prawdopodobnie rosyjskojęzyczny sprawca cyberataku, zaczął używać AI do przygotowania, testowania i wykorzystania podatności w PaperCut NG/MF. To popularne oprogramowanie do zarządzania drukowaniem, często działające jako aplikacja webowa na serwerze Windows i zintegrowane z Active Directory.

Badacze opisują wyraźną sekwencję: napastnik najpierw zbudował własne środowisko testowe z podatnym PaperCut i Active Directory, równolegle tworzył listy celów, a po uzyskaniu zdalnego wykonania kodu i kradzieży poświadczeń w laboratorium uruchomił kampanię przeciwko rzeczywistym systemom.

WebsiteGarage / Usługi

Sprawdź nasze usługi.

Według GreyNoise orkiestracja korzystała z setek agentów działających przez środowisko OpenAI Codex, modelu DeepSeek oraz publicznie dostępnych narzędzi ofensywnych. To ważne rozróżnienie: raport nie twierdzi, że jeden model samodzielnie „zhakował świat”. AI było częścią całego zestawu narzędzi i procesu prowadzonego przez człowieka.

Tempo było tym, co naprawdę się zmieniło

GreyNoise podaje, że od pustego środowiska roboczego do pierwszego zdalnego wykonania kodu u realnej ofiary minęły niecałe cztery godziny. Około dwie godziny później napastnik uzyskał pierwsze uprawnienia administratora domeny. Po pełnym uruchomieniu kampanii co najmniej 11 organizacji zostało skompromitowanych w 26 sekund.

Nie wszystkie włamania kończyły się jednak pełnym przejęciem sieci. Spośród 440 obserwowanych instancji PaperCut GreyNoise odnotował kradzież poświadczeń w 280 przypadkach, dostęp do sekretów systemu lub domeny w 147 oraz uprawnienia administratora domeny w 12 organizacjach. To nadal poważny wynik, ale pokazuje różnicę między „serwer został trafiony” a „napastnik przejął całą domenę”.

W jednym przypadku droga od pierwszego dostępu do administratora domeny zajęła siedem minut. Najszybsze przejęcie domeny w całym zbiorze trwało pięć minut, najdłuższe 144 minuty. Takie tempo ma praktyczne znaczenie, bo klasyczny model obrony zakładający, że po pierwszym alercie zespół ma godzinę na spokojną analizę, może po prostu nie zdążyć.

Agenty przyspieszyły atak, ale nie uczyniły go wszechmocnym

Ten incydent jest ciekawy również dlatego, że pokazuje ograniczenia agentów. Napastnik próbował omijać cele w 28 krajach, ale według GreyNoise część agentów nie zachowała tych ograniczeń. Badacze wskazują to jako przykład problemu z dużą liczbą autonomicznie wykonujących zadania procesów: im większa skala, tym trudniej zagwarantować, że wszystkie będą przestrzegały polityki operatora.

Z drugiej strony zwykłe zabezpieczenia nadal działały. GreyNoise opisuje co najmniej jeden przypadek, w którym Cloudflare WAF zatrzymał próbę. To niezbyt filmowe, ale ważne: setki agentów nie zamieniają poprawnie skonfigurowanej infrastruktury w dekorację.

Co dokładnie łatał PaperCut

PaperCut potwierdza aktywne incydenty związane z CVE-2026-81578 i CVE-2026-82078. Pierwsza podatność dotyczyła niewłaściwej kontroli dostępu w webowym interfejsie zarządzania. Druga była związana z niebezpiecznym dynamicznym ładowaniem klas w połączeniu z zewnętrzną bazą danych używaną przez funkcję wyszukiwania użytkowników na podstawie karty lub identyfikatora.

10 września producent wydał wersje serwisowe 26.0.5, 25.0.13 i 24.1.10, które zastępują wcześniejsze awaryjne łatki. PaperCut rekomenduje aktualizację do pełnego wydania serwisowego i nadal oznacza sprawę jako aktywny incydent z potwierdzonymi przypadkami u klientów.

Dlaczego ten przypadek jest ważniejszy niż kolejna historia o „AI hackerze”

Najważniejszy wniosek nie brzmi „AI potrafi włamywać się do serwerów”. Automatyzacja ofensywna istniała od dawna. Zmienia się natomiast koszt koordynowania wielu równoległych zadań: rozpoznania, przygotowania środowiska, testowania, poprawiania błędów i atakowania kolejnych celów.

Agent nie musi być genialny, jeśli można uruchomić ich setki. W takim modelu nawet proces, który czasem popełnia błąd, może być użyteczny, bo następny agent próbuje kolejnej ścieżki, a człowiek pełni rolę dyrygenta całej orkiestry.

Dla obrony przesuwa to akcent z pytania „czy ktoś znajdzie naszą lukę?” na „jak długo luka pozostaje użyteczna po publicznym ujawnieniu i czy system potrafi ograniczyć skutki pierwszego udanego wejścia?”. Patch management, segmentacja, minimalne uprawnienia i ochrona dostępu do usług wystawionych do internetu stają się jeszcze bardziej istotne właśnie dlatego, że atakujący mogą szybciej skalować powtarzalne działania.

Komentarz WebsiteGarage

Łatwo zrobić z tej historii kolejne hasło „AI przejęło cyberprzestępczość”. Raport GreyNoise mówi coś bardziej interesującego. Człowiek nadal wybrał cel, zbudował proces i miał zestaw klasycznych narzędzi. AI obniżyło koszt robienia wielu rzeczy naraz i poprawiania ich w locie.

To może być dużo ważniejsze niż wizja jednego superinteligentnego hakera. Firmy nie muszą przegrać dlatego, że przeciwnik jest lepszy. Mogą przegrać dlatego, że przeciwnik robi sto przeciętnych prób równolegle, zanim ktoś zdąży otworzyć pierwszy ticket.

Na szczęście druga część raportu jest równie konkretna: zwykłe zabezpieczenia nadal mają sens. Nie potrzebujemy „AI firewalla na AI ataki”. Najpierw trzeba mieć aktualny system, rozsądne uprawnienia, ograniczony dostęp z internetu i monitoring, który nie czeka do jutra z wysłaniem alertu.