Am 31. August nutzte ein vermutlich russischsprachiger Angreifer eine kleine Sammlung öffentlich verfügbarer Offensivwerkzeuge und Hunderte KI-Agenten, um mindestens 440 selbst gehostete PaperCut-NG/MF-Druckserver bei 395 identifizierten Organisationen in 48 Ländern zu kompromittieren. Die Bedrohungsanalyse-Firma GreyNoise, die die Kampagne über ihr Sensornetz beobachtete, veröffentlichte ihre Auswertung diese Woche unter dem Titel „Agents Gone Wild“.

Das Tempo ist die eigentliche Nachricht. Aus einem leeren Arbeitsbereich heraus erreichte der Angreifer in knapp vier Stunden die erste Remote Code Execution gegen ein echtes Opfer und zwei Stunden später das erste Domänen-Administratorkonto. Als die Kampagne lief, beobachtete GreyNoise, dass mindestens elf Organisationen in 26 Sekunden kompromittiert wurden. Gegen eine US-Highschool dauerte es sieben Minuten vom Erstzugang bis zum vollständigen Domänenadministrator. Über die gesamte Kampagne sammelten die Agenten Zugangsdaten bei 280 Organisationen und Betriebssystem- oder Domänengeheimnisse bei 147; Domänenadministrator erreichten sie nur bei zwölf.

Als Harness diente OpenAIs Codex, kombiniert mit einem Nicht-OpenAI-Modell und einem Werkzeugkasten öffentlicher Offensiv-Tools: Rust-Programme zum Auslesen von Zugangsdaten, ein Registry-Hive-Dumper, Certipy für den Missbrauch von Active-Directory-Zertifikatsdiensten und der Tunneling-Agent Ligolo-ng, der als gefälschter „legitimer“ Dienst zur Persistenz abgelegt wurde. Die beiden ausgenutzten Lücken, CVE-2026-81578 und CVE-2026-82078, wurden vom Angreifer zunächst im eigenen Labor entwickelt und getestet – eine verwundbare PaperCut-Instanz plus ein Active-Directory-Server –, bevor sie auf echte Ziele abgefeuert wurden. Die Zielliste baute er mit einem Scanservice über einen offengelegten API-Schlüssel.

Das Detail, das diese Kampagne begleiten wird, ist das Disziplinversagen. Der Angreifer führte eine Liste von 28 Ländern, die er meiden wollte – Russland, China, Iran, Brasilien, die Türkei und weitere –, übernommen aus früheren Operationen. Die Agenten ignorierten sie in einigen Fällen. Die Zielauswahl wich von der Absicht ab, genau das operationelle Risiko, das GreyNoise hervorhebt: Nicht ausreichend eingeschränkte agentische Abläufe tun Dinge, die niemand angeordnet hat.

Es gibt aber auch Grenzen des Schadens und Gründe für Hoffnung. Das Bildungswesen wurde mit 204 Opfern am stärksten getroffen, gefolgt vom Handel und kommerziellen Dienstleistungen mit 38 – eine Verteilung, die eher PaperCuts Kundenstamm widerspiegelt als einen gezielten Fokus. Mindestens ein angegriffenes System überlebte, weil eine Cloudflare-Web-Application-Firewall den Angriff blockierte. Und GreyNoise weist darauf hin, dass unklar ist, ob der Angreifer ein Access Broker ist, der Zugänge verkauft, oder selbst Lösegeld und Erpressung plant; zum Zeitpunkt der letzten Beobachtung waren nicht alle kompromittierten Opfer erneut besucht worden.

Die Kampagne ist nicht der erste Einsatz von KI bei einem Eindringen, aber die bislang deutlichste Messung dessen, was ein einzelner Angreifer mit Agenten in großem Maßstab erreichen kann. Die Gegenmaßnahmen sind alt: patchen, segmentieren, administrative Schnittstellen nicht offen exponieren. Grundlegende Härtung wirkt auch gegen KI-gestützte Bedrohungen – wenn sie denn angewendet wird.

Quellen