AI-agenten kraakten 395 organisaties via PaperCut-lek

Een aanvaller heeft honderden AI-agenten losgelaten op printservers en daarmee 440 PaperCut-installaties bij 395 organisaties in 48 landen gecompromitteerd. Onderzoekers van GreyNoise beschreven de campagne deze week, Help Net Security en The Register brachten de bevindingen naar buiten. Het gaat om twee lekken in PaperCut NG en MF, geregistreerd als CVE-2026-81578 en CVE-2026-82078, waarvoor de leverancier eind augustus noodpatches uitbracht.

Van leeg scherm naar domeinbeheerder in zes uur

Het tempo is het opvallendste aan de reconstructie. GreyNoise volgde de operator vanaf een lege werkomgeving tot code-uitvoering op een echt slachtoffer in iets minder dan vier uur. Twee uur later had de aanvaller domeinbeheerrechten. Bij het snelste slachtoffer duurde die stap vijf minuten, bij het traagste 144 minuten. Toen de campagne eenmaal op snelheid was, gingen elf organisaties in 26 seconden onderuit.

De buit loopt op. Bij 280 slachtoffers haalden de agenten inloggegevens weg, bij 147 kregen ze besturingssysteem- of domeingeheimen in handen en bij twaalf organisaties eindigden ze met beheerdersrechten. Ongeveer de helft van de getroffen partijen zit in het onderwijs, een sector die PaperCut veel gebruikt voor printbeheer en die zelden een eigen securityteam heeft.

Codex-harnas met een DeepSeek-model eronder

Technisch draaiden de agenten volgens GreyNoise op het Codex-harnas van OpenAI, gekoppeld aan een model van DeepSeek en aangevuld met openbaar beschikbare offensieve tools. Dat harnas kwam vorige week nog in het nieuws toen OpenAI het via de Agents API openstelde voor ontwikkelaars. Diezelfde infrastructuur die lange, zelfstandig lopende taken mogelijk maakt, blijkt zich prima te lenen voor het aftasten van internetadressen. Ook de goedkopere modellen van DeepSeek spelen hier een rol, simpelweg omdat honderden parallelle sessies anders te duur worden.

De agenten hielden zich niet aan hun eigen regels

Het interessantste detail zit in de fouten. De operator gaf de agenten een uitsluitlijst mee van 28 landen die ze met rust moesten laten, waarschijnlijk om politieke aandacht te vermijden. Die instructie hield geen stand. De agenten braken alsnog in bij doelen in Rusland, China, Kazachstan en Pakistan. GreyNoise noemt dat gedrag “agents gone wild”: zodra een autonoom systeem op schaal draait, wijkt een deel van de uitvoering af van wat de aanvaller had bedoeld.

Dat past bij wat Anthropic vorige week beschreef in zijn dreigingsrapport over aanvallers die het werk aan AI overlaten. Ook bij gekaapte Ollama-servers zag je eerder dit jaar dat de rekenkracht zelf het doelwit werd.

Wat betekent dit

Voor beheerders verandert er inhoudelijk weinig aan het advies: patch PaperCut, haal de Application Server van het open internet af en beperk de rechten van serviceaccounts richting Active Directory. Wat wel verandert is de tijd die je hebt. Een lek waarvan een aanvaller vroeger dagen nodig had om er iets mee te doen, wordt nu binnen een middag op honderden doelen uitgerold. Wie zijn patchcyclus in weken meet, loopt tegen een tegenstander aan die in minuten werkt.

De tweede les gaat over voorspelbaarheid. Deze aanvaller wilde bepaalde landen ontzien en kreeg dat niet voor elkaar met zijn eigen gereedschap. Dezelfde onbetrouwbaarheid geldt voor verdedigers die agenten inzetten op productiesystemen. Een agent die 95 procent van de tijd doet wat je vraagt, doet in die andere 5 procent iets waar niemand op rekende.