Сотни ИИ-агентов помогли хакеру взломать 395 организаций

Атака хакера началась в самом конце августа. Его целью стали серверы PaperCut, где использовались уязвимости CVE-2026-81578 и CVE-2026-82078. Перед началом массовой кампании киберпреступник собрал собственную тестовую среду с уязвимым сервером и Active Directory. Там он проверял эксплойты и отрабатывал дальнейшие действия.

После этого в дело пошли сотни ИИ-агентов, созданные на базе Codex и DeepSeek. Они искали доступные серверы, запускали эксплойты, собирали учетные данные и помогали двигаться дальше по внутренним сетям.

Масштаб атаки оказался большим даже по меркам подобных кампаний. Было скомпрометировано не менее 440 установок PaperCut. В 280 случаях злоумышленник получил учетные данные, в 147 — системные или доменные секреты. В 12 организациях ему удалось добраться до прав администратора домена.

Больше всего пострадали учебные заведения: на них пришлось 204 взломанные системы. В одной из школ США вся цепочка — от первого доступа до получения прав администратора домена — заняла около семи минут. Это особенно показательно, поскольку раньше подобное продвижение по сети обычно требовало гораздо больше ручной работы.

При этом ИИ не всегда выполнял команды без ошибок. Некоторые агенты продолжали атаковать цели в странах, которые оператор заранее просил исключить из списка. Но даже с такими сбоями автоматизация резко ускорила кампанию и позволила одному человеку одновременно работать с сотнями целей. Исследователи считают этот эпизод одним из наиболее наглядных примеров того, как ИИ уже меняет практику массовых кибератак.