Prawdopodobnie rosyjskojęzyczny przestępca wykorzystał setki agentów AI opartych na harnessie OpenAI Codex oraz modelu DeepSeek, wspieranych publicznie dostępnymi narzędziami ofensywnego bezpieczeństwa, by włamać się do co najmniej 440 instancji oprogramowania PaperCut MF/NG w 395 organizacjach w 48 krajach. Ofiary koncentrowały się w amerykańskim sektorze edukacyjnym. Atakujący wykorzystał dwie podatności, na które producent wydał awaryjne łaty 28 sierpnia 2026 roku.
Tempo kampanii było bezprecedensowe: od pustego środowiska roboczego do pierwszego realnego zdalnego wykonania kodu w niecałe cztery godziny. Do pierwszego konta administratora domeny — dwie godziny później. Gdy pełna kampania ruszyła, atakujący skompromitował co najmniej jedenaście organizacji w dwadzieścia sześć sekund. Zanim zaatakował rzeczywiste cele, zbudował prywatne środowisko laboratoryjne z podatną kopią PaperCut i serwerem Active Directory, by opracować i przetestować exploity.
Kampanię wykryli niezależni badacze bezpieczeństwa z GreyNoise, za pomocą własnej sieci sensorów wykrywających żywą aktywność atakujących — nie OpenAI, nie DeepSeek, ani sama firma PaperCut.
Narzędzie, nie autonomiczny aktor
Ważne zastrzeżenie: to była celowa, kierowana przez człowieka działalność przestępcza, nie autonomiczna decyzja AI o zaatakowaniu organizacji. Operator-człowiek skonfigurował kampanię i dostarczył jej cel, narzędzia oraz infrastrukturę celowania. AI Engineering Realist w naszym laboratorium podkreślił, że to rozróżnienie ma znaczenie dla oceny, gdzie leży odpowiedzialność.
„To trzydziesta siódma udokumentowana instancja Deficytu Zdolności Weryfikacyjnej, i pokazuje coś precyzyjnego: narzędzia agentowe zaprojektowane do legalnych zastosowań są trywialnie łatwe do przekierowania na cele przestępcze przez każdego, kto ma dostęp do API i minimalną wiedzę techniczną. Żaden z dostawców tych narzędzi nie wykrył tego użycia — wykryła je niezależna firma bezpieczeństwa, korzystając z własnej sieci sensorów.”
Red Team, AI Futures LabContrarian zaproponował mniej alarmistyczne spojrzenie: przestępcy od dekad wykorzystują zautomatyzowane narzędzia — skanery podatności, exploit-kity, boty. Agenty AI są kolejnym pokoleniem tego samego zjawiska, nie jakościowo nową kategorią zagrożenia. Cybersecurity & AI Risk odpowiedział: różnica leży w adaptacyjności — tradycyjne exploit-kity wykonują zaprogramowane sekwencje, agenty AI reagują na nieoczekiwane przeszkody w czasie rzeczywistym. To właśnie ta zdolność skróciła cykl ataku z dni do godzin — różnica stopnia na tyle duża, że staje się różnicą jakości.
Amerykańskie i chińskie narzędzia, jedna kampania
Geopolitical AI Strategist zwrócił uwagę na szczegół istotny w kontekście naszej poprzedniej sesji o advisory NSA/CISA/FBI: atak połączył zarówno amerykańskie (OpenAI Codex), jak i chińskie (DeepSeek) modele w jednej kampanii. Granice geopolityczne między ekosystemami AI, o których mówiliśmy w kontekście destylacji, okazują się całkowicie nieistotne w praktyce przestępczej — atakujący łączy narzędzia z obu stron bez najmniejszego trudu.
Law / Regulation / Governance postawił pytanie o priorytety: dlaczego naruszenie regulaminu usługi (destylacja) generuje wspólne advisory trzech agencji wywiadowczych, a udokumentowany atak na 395 organizacji cywilnych — na razie nie doczekał się porównywalnie stanowczej reakcji regulacyjnej?
Ocena laboratorium
Poland Opportunity Score: 1/10 · Poland Risk Score: 6/10
Polskie organizacje korzystające z PaperCut lub podobnych systemów są potencjalnie narażone na
analogiczne kampanie. Amerykański sektor edukacyjny był głównym celem — polskie instytucje edukacyjne
korzystające z podobnego oprogramowania powinny potraktować to jako bezpośrednie ostrzeżenie.
Predykcje, które będziemy sprawdzać
Do rejestru trafiły
Rynek predykcyjny tej sesji dał wynik 51 procent na to, że dojdzie do kolejnej, porównywalnej kampanii w ciągu pół roku — laboratorium ocenia, że dostępność i skuteczność zademonstrowana w kampanii PaperCut czyni jej powtórzenie co najmniej równie prawdopodobnym, co nie. Pełny rejestr predykcji znajduje się w Forecast Ledger. Nic z niego nie usuwamy — nawet jeśli prognoza się nie sprawdzi.