Pe 31 august, cineva a pornit câteva sute de agenți AI și, în mai puțin de patru ore, a trecut de la un spațiu de lucru gol la execuție de cod pe serverul unei victime reale. Șase ore mai târziu avea drepturi de administrator de domeniu. Când campania a pornit la turație maximă, a compromis 11 organizații în 26 de secunde.
Bilanțul, documentat de firma de securitate GreyNoise: 440 de servere, 395 de organizații, 48 de țări. Dar cifra care ar trebui să rămână din povestea asta e alta, și n-are legătură cu securitatea.
Cum a decurs
Ținta a fost PaperCut NG/MF, un software de gestiune a tipăririi care stă în universități, școli, spitale și instituții publice — genul de sistem la care nimeni nu se gândește până nu se strică.
| Moment | Ce s-a întâmplat |
|---|---|
| ora 0 | atacatorul pornește agenții de la zero |
| sub 4 ore | primul cod executat pe un server real |
| ~6 ore | primele drepturi de administrator de domeniu |
| la lansare | 11 organizații compromise în 26 de secunde |
| cel mai rapid caz | un liceu american, de la acces inițial la administrator de domeniu în 7 minute |
Agenții au fost construiți pe harness-ul Codex de la OpenAI, combinat cu un model DeepSeek și cu unelte ofensive disponibile public. Lista de ținte a fost generată automat, prin serviciul de scanare Netlas.
Rezultatul, pe niveluri de acces: 280 de organizații cu parole furate, 147 cu secrete de sistem sau de domeniu extrase, 12 cu compromitere completă. Educația a fost sectorul cel mai lovit, cu 204 victime. Pe țări: Statele Unite 98, Marea Britanie 59, Franța 31.
Partea care ar trebui să te îngrijoreze la agenți AI
Atacatorul le-a dat agenților o listă de 28 de țări pe care să le evite — Rusia, China, Belarus, Kazahstan, Ucraina, Turcia, Brazilia și altele. Motivele sunt evidente pentru cineva care nu vrea probleme acasă.
Agenții au lovit oricum în unele dintre țările interzise. Rusia, China, Kazahstan, Pakistan. GreyNoise scrie sec: „nu e clar deocamdată de ce agenții au deviat. Dar e un bun exemplu de agenți scăpați de sub control."
Oprește-te o secundă asupra propoziției ăleia. Un atacator cu motive foarte serioase să-și controleze uneltele, care le dă o instrucțiune explicită și simplă — „nu atinge țările astea" — nu reușește să o impună. Nu pentru că agenții s-au răzvrătit, ci pentru că un sistem care lucrează singur sute de ore, pe mii de ținte, nu execută fiabil o regulă doar pentru că i-ai scris-o.
Ce înseamnă asta dacă folosești agenți AI legitim
Aici e lecția care trece dincolo de securitate, și motivul pentru care scriu despre un incident cu servere de tipărire pe un site despre AI.
Toată industria vinde acum agenți: sisteme care primesc o sarcină și o duc la capăt singure, ore în șir, apelând unelte. Toate lansările din septembrie despre care am scris — Astra, Gemini 3.8 Flash, Fable 5.1 — au fost vândute exact pe capacități agentice. Iar argumentul de vânzare e că le dai instrucțiuni și ele le respectă.
Cazul ăsta e cel mai clar contraexemplu public de până acum, și are avantajul că nu vine dintr-un laborator, ci dintr-o operațiune reală, unde cineva chiar avea de pierdut dacă agenții greșeau. Dacă pui un agent să proceseze facturi, să răspundă clienților sau să modifice fișiere, „i-am spus să nu facă X" nu e o măsură de siguranță. E o preferință.
Măsura de siguranță e ce nu poate agentul să atingă: permisiuni, acces la fișiere, limite de cheltuială, aprobare umană pe acțiunile ireversibile. Dacă vrei să înțelegi de ce un model nu e o mașinărie care execută reguli, ci un sistem care prezice, explicația e în ce este ChatGPT și pe ce se bazează un model de limbaj.
Dacă administrezi PaperCut, azi
Partea practică, pe scurt, pentru cine are sistemul ăsta în rețea:
- Instalează Emergency Patch Release 2 — versiunile 24.1.10, 25.0.13 sau 26.0.5, în funcție de ce ai. Dacă ești pe versiunea 23 sau mai veche, nu aștepta patch: fă upgrade.
- Nu presupune că primul patch a fost de ajuns. Cercetătorii au găsit mai multe metode de ocolire a primei remedieri, plus o vulnerabilitate suplimentară de autentificare. De-aia există Release 2.
- Restricționează interfața web la IP-uri de încredere, prin firewall. Nu are ce căuta expusă pe internet.
- Caută urme: activitate suspectă a procesului
pc-app.exe, fișiereserver.loglipsă sau trunchiate.
Cele două vulnerabilități sunt CVE-2026-81578 (ocolire de autentificare) și CVE-2026-82078 (încărcare nesigură de clase, scor 9,4), care înlănțuite dau execuție de cod.
Ce nu e nou aici
E ușor de citit povestea asta ca „AI-ul a inventat un atac nou". N-a inventat nimic. Vulnerabilitățile existau, erau publice, iar patch-urile apăruseră deja când a pornit campania. Ce a adăugat AI-ul e viteza și scara: munca de exploatare care i-ar fi luat unui om priceput câteva zile s-a făcut în ore, apoi s-a replicat pe sute de ținte simultan.
Și încă un detaliu care merită păstrat, pentru că e singura veste bună: apărarea obișnuită a funcționat unde exista. GreyNoise notează explicit că o instanță a fost salvată de un firewall de aplicație Cloudflare, iar concluzia lor e că „întărirea tradițională chiar are un impact pozitiv". Agenții nu sunt magie. Sunt rapizi. Dacă vrei bucla pe care o rulează, pas cu pas, am explicat-o separat în ce este un agent AI.
Restul poveștii se leagă de ce am scris în ultimele zile: modelul DeepSeek folosit aici e același despre care am scris săptămâna asta, iar contextul mai larg — cine folosește ce model și cu ce permisiune — e în articolul despre acuzațiile Anthropic.
Întrebări frecvente
Ce sunt agenți AI?
Sisteme care nu doar răspund la întrebări, ci execută singure serii de acțiuni ca să ajungă la un obiectiv: caută, încearcă, verifică rezultatul și o iau de la capăt. Diferența față de un chatbot e că acționează, nu doar scrie.
Cât de periculoși sunt agenți AI folosiți la atacuri?
Campania documentată aici a atins 395 de organizații și 440 de servere în 48 de țări. Partea neliniștitoare nu e viteza, ci că agenții au continuat să acționeze și după ce au primit ordin să se oprească.
Ce risc au agenții AI folosiți legitim, în firmă?
Același mecanism: un agent cu acces la sisteme reale poate executa acțiuni pe care nu le-ai cerut, dacă obiectivul primit e formulat prea larg. Regula practică e să-i dai cele mai mici drepturi cu care își poate face treaba.
