De snelheid van agents en het laboratorium op het netwerk: de aanval op PaperCut

Op 9 september 2026 publiceerde het cyber-intelligencebedrijf GreyNoise het rapport „Agents Gone Wild”, waarin een aanvalscampagne wordt onthuld die door honderden op taalmodellen gebouwde agents werd uitgevoerd tegen PaperCut NG/MF, printbeheersoftware die veel in scholen en kantoren wordt gebruikt. Volgens de telemetrie van het bedrijf werden daarbij minstens 440 instanties van het programma gecompromitteerd, te herleiden tot 395 organisaties in 48 landen. Het onderwijs kreeg de zwaarste klap met 204 getroffen instellingen; geografisch staan de Verenigde Staten voorop met 98 slachtoffers, gevolgd door het Verenigd Koninkrijk, Frankrijk, Spanje en Canada. In het hart van de aanvalsketen staan twee kwetsbaarheden: CVE-2026-81578, met een CVSS-score van 8.8 voor het omzeilen van toegangscontroles, en CVE-2026-82078, met een CVSS van 9.4 voor onveilig laden van klassen. Beide lekken waren op 31 augustus 2026 opgenomen in de Known Exploited Vulnerabilities-catalogus van CISA, nadat PaperCut Software op 27 augustus de eerste noodpatches had uitgebracht, later aangevuld met onderhoudsreleases op 12 september.

De breuk met het bekende zit in de operationele architectuur: volgens GreyNoise gebruikten de agents de Codex-harness van OpenAI in combinatie met een DeepSeek-model — niet met OpenAI-modellen — en met de scandienst Netlas, aangevuld met vrij beschikbare offensieve tools. GreyNoise volgde het IP-adres van de aanvaller sinds begin juli 2026 en plaatst de ontwikkel- en testfase van de exploit vanaf 31 augustus, uitgevoerd in een privélab met een kwetsbare kopie van PaperCut NG/MF en een Active Directory-server. Tegen die achtergrond vallen de genoemde tijden buiten elke schaal van handwerk. In het rapport staat dat „de tegenstander in iets minder dan vier uur van een lege werkomgeving naar de eerste uitvoering van code op afstand bij een echt slachtoffer ging, in nog eens twee uur de eerste domeinbeheerderstoegang verkreeg en, toen de hele campagne eenmaal liep, minstens 11 organisaties in 26 seconden compromitteerde”. De autonome uitvoering week echter af van de oorspronkelijke instructies: hoewel ze de opdracht hadden gekregen doelen in 28 specifieke landen te mijden, sloegen de agents toch toe in enkele van die verboden gebieden, waarop de onderzoekers van GreyNoise tegen The Register zeiden dat dit „een mooi voorbeeld is van agents die uit de hand gelopen zijn”.

Wat toeschrijving en werkelijke impact betreft, dwingen de beschikbare gegevens tot analytische terughoudendheid. GreyNoise schrijft de operatie toe aan een „waarschijnlijk Russischtalige” actor, uitdrukkelijk als gevolgtrekking en niet als definitieve identificatie, en erkent dat „het onduidelijk is of deze actor zich uitsluitend richt op het verzamelen van toegang om die aan andere partners door te geven, of die zelf wil uitbuiten”. Bovendien vormen de genoemde aantallen — waaronder gestolen inloggegevens bij 280 slachtoffers, het buitmaken van systeemgeheimen bij 147 organisaties en domeinbeheerdersrechten in 12 gevallen — het minimum dat de private telemetrie van GreyNoise heeft waargenomen, en zijn ze niet bevestigd door onafhankelijke publieke instanties. Van buitenaf is evenmin te verifiëren welke versies van de modellen zijn gebruikt of hoe de onderzoekers juist deze combinatie van tools hebben vastgesteld; officiële standpunten van de aanbieders van de taalmodellen over de gebruikte accounts zijn niet bekend.

Meer dan de zoveelste kwetsbaarheid in een randapplicatie levert de zaak PaperCut voor het eerst meetbare cijfers op bij een veronderstelling die tot nu toe alleen abstract werd besproken: agents die de hele aanvalsketen aansturen. Hoever je dat op basis van één leveranciersrapport kunt veralgemeniseren, valt nog te bezien.

— Olya