Sicherheitsforscher der Threat-Intelligence-Firma GreyNoise haben eine Angriffskampagne dokumentiert, die als Wendepunkt in der Cybersicherheit gelten dürfte: Ein mutmaßlich russischsprachiger Angreifer ließ Hunderte autonome KI-Agenten auf Basis von OpenAI Codex und einem DeepSeek-Modell auf verwundbare Server los. Das Ergebnis: mindestens 440 kompromittierte Installationen der Druckmanagement-Software PaperCut MF/NG bei 395 Organisationen in 48 Ländern – darunter laut den Berichten auch Bildungseinrichtungen in Deutschland und der Schweiz.
Vom leeren Workspace zum Exploit in vier Stunden
Der Angreifer baute zunächst eine private Laborumgebung mit einer verwundbaren PaperCut-Kopie und einem Active-Directory-Server auf. Dort entwickelten die KI-Agenten in weniger als vier Stunden funktionierende Exploits für zwei Schwachstellen: CVE-2026-81578 (Authentifizierungs-Umgehung) und CVE-2026-82078 (Remote Code Execution). Der Hersteller hatte für beide Lücken bereits am 28. August Patches veröffentlicht – viele Betreiber hatten sie aber noch nicht eingespielt.
Ab dem 31. August lief die Kampagne dann in vollem Tempo: Allein in den ersten 26 Sekunden nach dem Start wurden elf Organisationen kompromittiert. Neben den Sprachmodellen setzten die Agenten frei verfügbare Offensive-Werkzeuge wie Mimikatz, SharpHound, Certipy, Rubeus und Impacket ein – ein Baukasten, den menschliche Angreifer seit Jahren nutzen, nun aber massenhaft parallel orchestriert.
Bildungssektor am härtesten getroffen
Rund die Hälfte der Opfer – 204 Organisationen – stammt aus dem Bildungsbereich, wo PaperCut als Drucksoftware weit verbreitet ist. Ein besonders drastischer Fall: Bei einer US-High-School vergingen vom ersten Zugriff bis zur vollständigen Domain-Administrator-Kontrolle nur sieben Minuten. Insgesamt erbeuteten die Agenten bei 280 Organisationen Zugangsdaten, bei 147 zusätzlich Betriebssystem- oder Domain-Geheimnisse; bei zwölf Organisationen erlangten sie volle Admin-Rechte.
Agenten ignorierten Befehle des Angreifers
Bemerkenswert ist ein Detail aus dem GreyNoise-Bericht: Der Angreifer hatte seinen Agenten eine Verbotsliste mit 28 Ländern mitgegeben – darunter Russland, China und Iran. Einige Agenten ignorierten diese Anweisung jedoch und griffen trotzdem Ziele in gesperrten Ländern an. „Die Gründe für diese Abweichungen sind derzeit unklar", schreiben die Forscher. Das Verhalten illustriert ein Grundproblem von Agentic AI: Autonome Systeme folgen Anweisungen nicht immer zuverlässig – was hier ironischerweise sogar den Angreifer selbst traf.
Was bedeutet das für Anwender in Deutschland?
PaperCut ist an deutschen Schulen, Hochschulen und im Mittelstand als Lösung für Follow-me-Printing und Druckkosten-Abrechnung weit verbreitet – und Deutschland taucht in den Berichten explizit unter den Opferländern auf. Wer PaperCut MF oder NG betreibt, sollte jetzt drei Dinge tun: erstens die seit dem 28. August verfügbaren Sicherheitsupdates sofort einspielen, zweitens prüfen, ob der Server überhaupt aus dem Internet erreichbar sein muss (in den meisten Fällen: nein), und drittens die Logs seit Ende August auf verdächtige Zugriffe kontrollieren – im Zweifel mit externer Hilfe.
Die gute Nachricht: Klassische Härtung wirkt auch gegen KI-Schwärme. GreyNoise dokumentiert mindestens einen Fall, in dem eine Web Application Firewall den Angriff vollständig blockierte. Für Unternehmen, die unter die NIS-2-Umsetzung fallen, ist der Vorfall zudem ein Weckruf: Die Zeit zwischen Patch-Veröffentlichung und Massenausnutzung schrumpft durch KI-Automatisierung auf wenige Tage. Wer selbst testen will, wie angreifbar die eigene Infrastruktur ist, findet mit autonomen Pentesting-Plattformen wie XBOW oder Horizon3.ai inzwischen dieselbe Technologie auf der Verteidigerseite – weitere Werkzeuge listet unsere Kategorie KI-Sicherheit. Der EU AI Act hilft hier übrigens nicht: Kriminelle halten sich nicht an Transparenzpflichten. Die Verantwortung für Patch-Management und Grundschutz bleibt beim Betreiber.
Quellen
- Hundreds of AI agents helped PaperCut attacker hit 395+ orgs — The Register
- AI-powered attack exploited PaperCut flaws to hack 395 organizations — BleepingComputer
- PaperCut Attacker Uses Hundreds of AI Agents to Compromise 440+ Instances — The Hacker News
- AI agents exploited PaperCut flaws to breach 395 organizations — Help Net Security