Ein mutmaßlich russischsprachiger Angreifer hat nach Angaben der Sicherheitsfirma GreyNoise Hunderte KI-Agenten eingesetzt, um zwei Schwachstellen in der Drucksoftware PaperCut NG/MF automatisiert auszunutzen. Die Kampagne kompromittierte mindestens 440 Serverinstanzen bei 395 Organisationen in 48 Ländern. Den ersten Fernzugriff erreichte der Angreifer in unter vier Stunden.
Codex steuert Hunderte Agenten binnen Stunden
Als Orchestrierungs-Schicht diente OpenAIs Codex-Werkzeug: Es koordinierte Sitzungen, verteilte Aufgaben an einzelne Agenten und fing Fehler ab, während die eigentliche Angriffslogik von einem DeepSeek-Modell stammte. Der Angreifer baute demnach zunächst in einer eigenen Testumgebung mit verwundbarer PaperCut-Installation und einem Active-Directory-Server eine funktionierende Angriffskette nach, bevor er sie gegen reale Ziele einsetzte. Zielserver identifizierten die Agenten über den Scandienst Netlas.io, zu dem der Angreifer einen Zugangsschlüssel besaß. Jeden Schritt protokollierten die Agenten dabei automatisch und passten ihr Vorgehen bei Fehlschlägen selbstständig an, bevor der Angreifer die Kampagne im großen Stil gegen reale Ziele startete.
Die Geschwindigkeit der Kampagne beschreibt GreyNoise als beispiellos: Vom leeren Arbeitsbereich bis zum ersten erfolgreichen Fernzugriff auf einen realen Server vergingen keine vier Stunden, bis zu Domain-Admin-Rechten weitere zwei. Sobald die vollständige Kampagne anlief, kompromittierten die Agenten elf Organisationen innerhalb von 26 Sekunden. Gezielt ausgenommen von den Angriffen blieben Ziele in Russland, China, Hongkong, Thailand, Iran und 23 weiteren Ländern – ein Muster, das auf die mutmaßliche Herkunft des Angreifers hindeutet.
DeepSeek liefert die Angriffstechnik ohne Schranken
Für die eigentliche Exploit-Entwicklung wählte der Angreifer laut GreyNoise gezielt ein Modell von DeepSeek, weil es anders als US-amerikanische Spitzenmodelle keine vergleichbaren Inhaltsschranken für offensive Sicherheitsanfragen durchsetzt. Ausgenutzt wurden zwei Schwachstellen: CVE-2026-81578, ein Zugriffskontrollfehler in der Web-Verwaltungsoberfläche, der administrative Aktionen vor Abschluss der Berechtigungsprüfung auslöst, sowie CVE-2026-82078, eine unsichere dynamische Klassenladung, die beliebigen Java-Code mit den Systemrechten des PaperCut-Serverprozesses ausführen lässt – unter Windows standardmäßig SYSTEM-Rechte. Sicherheitsforscher bewerten beide Lücken mit CVSS-Werten von 8,8 beziehungsweise 9,4 und stufen sie damit als hoch bis kritisch ein; erst die Kombination beider Fehler erlaubt einem nicht authentifizierten Angreifer den vollständigen Fernzugriff.
Es ist nicht der erste Fall, in dem ein offenes Modell von DeepSeek für automatisierte Angriffe missbraucht wird: Bereits im August 2026 setzte ein anderer Angreifer laut Palo Alto Networks das Framework Hermes Agent ein, um DeepSeek für Angriffe auf mehr als 460 Systeme zu nutzen. Der aktuelle Fall reiht sich damit in ein wachsendes Dossier zu offenen Modellen und Cyberrisiken ein.
Bildungseinrichtungen tragen die Hauptlast der Angriffe
Rund die Hälfte aller betroffenen Organisationen stammt aus dem Bildungssektor, der damit deutlich häufiger getroffen wurde als jede andere Branche. Die Agenten erbeuteten Zugangsdaten bei 280 Opfern, Betriebssystem- oder Domänen-Geheimnisse bei 147 und erlangten bei zwölf Organisationen Administratorrechte. PaperCut veröffentlichte am 27. August 2026 ein Sicherheitsbulletin und musste innerhalb von 48 Stunden einen zweiten Notfall-Patch nachschieben, nachdem Angreifer die erste Korrektur umgangen hatten. Betroffenen Organisationen wird zusätzlich empfohlen, sämtliche über die kompromittierten Server verwalteten Zugangsdaten und Schlüssel vorsorglich zurückzusetzen, da sich erfolgreiche von gescheiterten Zugriffsversuchen im Nachhinein oft nicht zuverlässig unterscheiden lassen.
Entscheidend wird, ob Sicherheitsteams ihre Reaktionszeit an dieses neue Angriffstempo anpassen können. Die US-Behörde CISA setzte Bundesbehörden für die kritischere der beiden Lücken eine Nachfrist bis zum 14. September 2026 – nur zwei Tage nach diesem Beitrag. Offen bleibt, wie viele betroffene Bildungseinrichtungen mit knappen IT-Ressourcen diese Frist überhaupt einhalten können, wenn schon der erste Notfall-Patch des Herstellers binnen zwei Tagen umgangen wurde.
