El ataque de IA contra PaperCut afectó a 395 organizaciones y comprimió el reloj de la seguridad
El ataque de IA contra PaperCut comprometió al menos 440 servidores de 395 organizaciones identificadas en 48 países, según la firma de inteligencia de amenazas GreyNoise. Al parecer, cientos de agentes de programación ayudaron a un operador a desarrollar exploits, encontrar sistemas expuestos y ejecutar ataques en paralelo. Una vez iniciada la campaña, al menos 11 organizaciones fueron comprometidas en 26 segundos.
Esa velocidad es el hecho definitorio. Los grupos criminales llevan años automatizando el escaneo de internet y la explotación de vulnerabilidades. Esta operación, según los informes, añadió agentes capaces de interpretar resultados, ajustar comandos, gestionar espacios de trabajo separados y continuar por distintas rutas de ataque.
La campaña también expuso los límites de ese enfoque. Algunos agentes atacaron organizaciones en países que el operador había excluido explícitamente. Las defensas aún detuvieron partes de la operación, y el atacante alcanzó privilegios de administrador de dominio en solo 12 víctimas identificadas.
El resultado no es una historia sobre software autónomo que derrota todos los controles de seguridad. Es una advertencia de que un operador puede utilizar la orquestación de IA para comprimir varias etapas de una intrusión. Las ventanas de parcheado medidas en días se vuelven peligrosamente generosas cuando el desarrollo del exploit y el despliegue masivo caben dentro de unas horas.
Lo que realmente cambió el ataque de IA contra PaperCut
La campaña convirtió la infraestructura de programación basada en agentes en una capa operativa para la explotación masiva, no simplemente en una ayuda para escribir código malicioso.
GreyNoise atribuye la actividad a un probable actor de amenazas rusoparlante que operaba desde infraestructura asociada con la dirección IP 45.142.193.132. Su detallado análisis de la campaña indica que el actor inició la operación contra PaperCut el 31 de agosto de 2026.
El objetivo era PaperCut NG/MF, software de gestión de impresión alojado localmente y comúnmente conectado a directorios organizacionales. Estos servidores gestionan la impresión, el escaneo, la copia, los usuarios y las políticas relacionadas. En Windows, la aplicación normalmente se ejecuta con privilegios SYSTEM, lo que proporciona a un intruso exitoso un valioso punto de apoyo.
El actor apuntó a dos vulnerabilidades divulgadas recientemente, CVE-2026-81578 y CVE-2026-82078. La primera implica un control de acceso inadecuado en la interfaz administrativa. En condiciones específicas, una solicitud no autenticada puede desencadenar acciones administrativas antes de que finalicen las comprobaciones de acceso.
La segunda vulnerabilidad implica la carga dinámica insegura de clases. Un atacante que modifique la configuración correspondiente puede hacer que la aplicación cargue y ejecute bytecode Java arbitrario. Encadenadas, las fallas crean una ruta desde una interfaz de gestión expuesta hasta la ejecución remota de código.
PaperCut tuvo conocimiento por primera vez de actividad sospechosa a las 9:42 a. m., hora estándar del este de Australia, el 27 de agosto. Un cliente del sector educativo informó de que su servidor PaperCut MF parecía comprometido. La cronología de respuesta de la empresa indica que los investigadores consideraron inicialmente la explotación de una vulnerabilidad anterior que ya había sido parcheada.
En cambio, los registros apuntaban a una vía previamente desconocida. PaperCut declaró su incidente de máxima prioridad y trató la actividad como un zero-day explotado, lo que significa que los defensores se enfrentaron al ataque antes de que hubiera una corrección general disponible.
La empresa instó a sus clientes a retirar de internet los servidores de aplicaciones expuestos directamente. También comenzó a publicar mitigaciones de emergencia mientras trabajaba con clientes afectados e investigadores externos para reconstruir la cadena de explotación.
GreyNoise afirma que el atacante posterior construyó un laboratorio con software PaperCut vulnerable y un servidor Active Directory. Active Directory es el sistema de Microsoft para gestionar identidades, equipos y permisos en una red empresarial.
Según los informes, cientos de agentes operaron mediante el entorno Codex de OpenAI mientras usaban un modelo DeepSeek para el trabajo subyacente del modelo. Esa distinción importa. El entorno proporcionaba un espacio para que los agentes trabajaran, mientras que el modelo generaba o evaluaba acciones dentro de esos flujos de trabajo.
El operador también utilizó Netlas, un servicio de descubrimiento de activos en internet, para crear listas de posibles objetivos. Una vez que el trabajo de laboratorio produjo ejecución remota de código y recolección de credenciales, los agentes pasaron del desarrollo a los ataques contra sistemas públicos.
GreyNoise contabilizó al menos 440 instancias de PaperCut comprometidas pertenecientes a 395 organizaciones identificadas. La empresa advirtió que no se podía vincular de forma fiable a víctimas adicionales con organizaciones identificadas. Por tanto, estas cifras deben leerse como mínimos observados, no como un censo completo.
El ataque de IA contra PaperCut importa porque, según los informes, los agentes cubrieron varias tareas conectadas. Ayudaron a crear y perfeccionar exploits, probarlos en un laboratorio, identificar objetivos expuestos y ejecutar flujos de intrusión paralelos. La automatización convencional puede ejecutar comandos rápidamente, pero normalmente depende de ramas predefinidas escritas antes de la ejecución.
Un agente puede elegir entre herramientas después de interpretar un resultado. Eso no lo hace inteligente en el sentido humano. Pero sí permite al operador externalizar más decisiones intermedias, reduciendo la coordinación manual necesaria entre el escaneo, la explotación y la pos-explotación.
Esa diferencia produjo los extraordinarios picos de velocidad de la campaña. GreyNoise afirma que el operador pasó de un espacio de trabajo vacío a la ejecución remota de código contra una víctima real en menos de cuatro horas. El acceso de administrador de dominio llegó aproximadamente dos horas después.
La escala llegó después de validar el flujo de trabajo. Al menos 11 organizaciones fueron comprometidas en 26 segundos cuando comenzó la campaña completa. La respuesta tradicional a incidentes presupone cierto retraso entre una nueva divulgación, un exploit funcional y el despliegue amplio. Aquí, esas etapas casi se derrumbaron en un único proceso continuo.
Las redes educativas afrontaron la mayor presión
Las escuelas soportaron la mayor parte del daño porque la exposición a PaperCut y los entornos de parcheado restringidos crearon una población de objetivos excepcionalmente favorable.
GreyNoise identificó 204 víctimas del sector educativo entre las 395 organizaciones. La siguiente categoría, otras organizaciones o sin clasificar, sumó 51. Le siguieron el comercio minorista y los servicios comerciales y profesionales, con 38.
La distribución no demuestra que el atacante seleccionara deliberadamente las escuelas. GreyNoise describió la campaña como oportunista y vinculó la concentración con la base de clientes de PaperCut. Las escuelas, institutos y universidades suelen operar impresión centralizada en campus, bibliotecas, laboratorios y oficinas administrativas.
Estados Unidos tuvo 98 víctimas identificadas, mientras que Reino Unido tuvo 59. También aparecieron de forma destacada organizaciones de Francia, España y Canadá. En total, el conjunto de víctimas observado cubrió 48 países.
Las redes educativas combinan varias condiciones que elevan lo que está en juego. A menudo dan soporte a muchos usuarios, dispositivos no gestionados, aplicaciones heredadas e instalaciones descentralizadas. Las ventanas de mantenimiento deben competir con las clases, los exámenes, los periodos de matrícula y una dotación técnica limitada.
Un servidor de gestión de impresión también puede parecer menos crítico que un proveedor de identidad o una puerta de enlace a internet. Esa percepción se vuelve peligrosa cuando el servidor está unido al dominio, se ejecuta con privilegios elevados y puede alcanzar otros sistemas internos.
En una escuela secundaria estadounidense, GreyNoise observó una transición de siete minutos desde el acceso inicial hasta el control total de administrador de dominio. Los privilegios de administrador de dominio pueden otorgar a un intruso un control amplio sobre cuentas, políticas y sistemas Windows conectados al directorio.
Ese resultado no fue típico en todas las víctimas. GreyNoise observó acceso de administrador de dominio en 12 organizaciones, una pequeña proporción del total identificado. Sin embargo, el caso de la escuela secundaria muestra el límite superior cuando la exposición, las credenciales y la configuración interna se alinean a favor del atacante.
El actor recolectó credenciales de 280 víctimas y obtuvo secretos del sistema operativo o del dominio de 147, según la mecánica del ataque. Estos resultados amplían el incidente más allá del simple compromiso de una aplicación web.
Una credencial robada puede seguir siendo útil después de que los administradores parcheen la falla original. Los atacantes pueden reutilizar hashes de contraseñas, cuentas de servicio, certificados o cuentas recién creadas para regresar por una ruta diferente. Eso hace que la contención y la rotación de credenciales sean tan importantes como instalar la actualización de software.
Los investigadores informaron de tres rutas comunes hacia mayores privilegios. Una extraía la memoria de LSASS y secretos del registro de servidores conectados al dominio. LSASS es un proceso de Windows que gestiona material de autenticación y puede exponer hashes de credenciales cuando se ve comprometido.
El atacante podía usar después pass-the-hash, una técnica que autentica con un hash de contraseña capturado sin conocer la contraseña original. Otra ruta utilizaba noPac, un ataque establecido contra organizaciones que no habían corregido dos vulnerabilidades anteriores de Active Directory.
Una tercera ruta era más directa. Si PaperCut se ejecutaba en un controlador de dominio o bajo una cuenta de servicio de administrador de dominio, el atacante podía crear una cuenta y añadirla al grupo Domain Admins.
Según los informes, el intruso utilizó DCSync tras obtener privilegios suficientes. DCSync imita el comportamiento de replicación de un controlador de dominio para solicitar información de contraseñas a Active Directory. Una operación exitosa puede exponer credenciales de todo el dominio.
Estas rutas ilustran por qué la configuración determinó el impacto. El mismo exploit inicial produjo resultados distintos según la ubicación del servidor, los privilegios de las cuentas de servicio, los parches antiguos y el acceso a la infraestructura de directorio.
La presión inmediata recae sobre los administradores responsables de PaperCut, pero la responsabilidad no puede terminar ahí. Los equipos de identidad deben comprobar si se expusieron credenciales. Los equipos de operaciones de seguridad deben investigar la actividad posterior a la entrada inicial. Los equipos de red deben replantearse por qué una interfaz de gestión de impresión era accesible públicamente.
Los directivos también afrontan un problema de plazos incómodo. Los procesos de parcheado de emergencia suelen requerir comprobaciones de compatibilidad y aprobación de cambios. Un atacante orquestado por IA puede avanzar mientras esos pasos aún se están programando.
El propio relato de PaperCut atribuye al equipo de detección y análisis forense del primer cliente la preservación de pruebas valiosas. La máquina virtual afectada fue aislada rápidamente, lo que permitió a los investigadores recuperar registros que ayudaron a revelar la ruta de explotación.
Ese es un contrapunto importante a la velocidad de la campaña. La detección rápida en una escuela ayudó al proveedor a advertir a una población de clientes mucho mayor. Las organizaciones educativas estuvieron muy representadas entre las víctimas, pero un cliente educativo también aportó pruebas esenciales para la respuesta.
La disyuntiva central es velocidad frente a control
Los enjambres de agentes aumentan el rendimiento de un atacante, pero también introducen fallos de coordinación que pueden revelar intenciones y desperdiciar accesos.
La expresión “enjambre de IA” puede sugerir un ejército digital coordinado que opera con una mente estratégica compartida. El sistema observado fue menos cinematográfico y más práctico. Según los informes, un operador humano creó muchos espacios de trabajo de agentes y les asignó tareas paralelas.
Cada espacio de trabajo podía desarrollar código, ejecutar herramientas, procesar resultados o actuar contra un objetivo distinto. El efecto agregado se asemejaba a un enjambre porque cientos de flujos de trabajo operaban simultáneamente. Su valor provenía de la ejecución en paralelo y la adaptación local, no de un razonamiento colectivo perfecto.
La progresión reportada por el operador explica la ventaja. Los agentes trabajaron dentro de un laboratorio controlado hasta encontrar una vía funcional hacia la ejecución remota de código y el acceso a credenciales. Después, el operador podía replicar ese flujo de trabajo en una lista de objetivos sin gestionar personalmente cada comando.
Esa disposición cambia la economía de los atacantes. Una sola persona puede explorar varias hipótesis de forma simultánea, conservar las ramas exitosas y descartar los intentos fallidos. Una vez que una secuencia funciona, otros agentes pueden aplicarla en numerosos sistemas expuestos.
Las herramientas en sí no eran exóticas. GreyNoise encontró una colección que incluía Mimikatz, BloodHound, Certipy, Rubeus, Impacket, NetExec y Ligolo-ng. Los probadores de seguridad y operadores maliciosos han utilizado muchos de estos proyectos durante años.
La IA conectó esos componentes establecidos. Los agentes podían elegir una herramienta, inspeccionar su salida e intentar otro paso. El avance significativo fue la orquestación de todo el flujo de trabajo, no una nueva clase de exploit creada únicamente por un modelo.
Esta distinción mantiene el ataque de PaperCut impulsado por IA en perspectiva. Los atacantes llevan mucho tiempo combinando escáneres de vulnerabilidades, marcos de explotación, robo de credenciales y utilidades de administración remota. Los sistemas agénticos eliminan más pausas humanas entre esos componentes.
Sin embargo, el operador no logró un control consistente. GreyNoise encontró instrucciones que indicaban a los agentes evitar entidades en 28 países. La lista incluía Rusia, China, Hong Kong, Tailandia, Irán, Ucrania, Bielorrusia, Moldavia, Brasil y Sudáfrica.
Las reglas de exclusión suelen revelar los cálculos de riesgo de un operador. Los grupos criminales pueden excluir países donde las víctimas locales podrían atraer atención no deseada de las fuerzas del orden. GreyNoise utilizó ese comportamiento, señales lingüísticas y pruebas relacionadas para evaluar que el actor probablemente era rusohablante.
No obstante, algunos agentes atacaron organizaciones en países prohibidos. GreyNoise afirmó que el motivo de esas desviaciones seguía siendo incierto. Los fallos podrían reflejar geolocalización inexacta, datos de objetivos defectuosos, instrucciones ambiguas, errores de herramientas o agentes que perdieron contexto relevante.
Cualquiera que fuera la causa, se trató de un fallo de control operativo. Un agente que ignora exclusiones puede generar exposición diplomática, interrumpir a socios o atacar infraestructura vinculada al operador. El paralelismo amplifica esos errores tan rápido como amplifica la explotación exitosa.
El atacante también dejó algunas organizaciones comprometidas sin tocar durante días. Según GreyNoise, esas demoras se debieron a la falta de seguimiento, no a resistencia técnica. Esto sugiere que la campaña generó más acceso del que su operador podía utilizar de inmediato.
Ese excedente tiene varias explicaciones posibles. El actor podría haber estado desarrollando accesos para venderlos a afiliados de ransomware. Podría haber estado reuniendo opciones antes de elegir víctimas valiosas. También podría haber superado su propia capacidad para revisar y monetizar los resultados.
GreyNoise no pudo determinar el objetivo final. El robo de datos, la extorsión, el despliegue de ransomware y la intermediación de accesos siguen siendo plausibles. Presentar cualquiera de ellos como el propósito confirmado iría más allá de las pruebas.
Los resultados desiguales exponen la principal disyuntiva. Los agentes reducen el trabajo necesario para entrar en cientos de entornos. No aportan automáticamente criterio, priorización, restricciones fiables ni una estrategia final coherente.
Los defensores no deberían tranquilizarse por esa debilidad. Una campaña ineficiente aún puede causar daños sustanciales cuando su coste operativo es bajo. Un atacante puede tolerar muchas sesiones fallidas o abandonadas si unas pocas producen acceso privilegiado.
Al mismo tiempo, las pruebas no respaldan afirmaciones de que una IA autónoma completó un ataque global imparable. Un humano seleccionó la clase de objetivo, montó la infraestructura, proporcionó herramientas, estableció restricciones y, aparentemente, decidió cuándo realizar seguimiento.
La conclusión más precisa es más acotada y más trascendental. La orquestación agéntica permite a un operador gestionar un volumen de actividad adaptativa que antes requería más personas, más tiempo o scripts más personalizados.
Las defensas convencionales siguieron interrumpiendo el enjambre
La IA aumentó el ritmo de la campaña, pero los controles ordinarios siguieron determinando si un servidor expuesto se convertía en una intrusión de alcance empresarial.
PaperCut emitió su aviso urgente el 27 de agosto e indicó a los clientes que retiraran los servidores de aplicaciones de la exposición directa a internet. Posteriormente, el proveedor distribuyó varios parches de emergencia mientras continuaba su investigación.
Las dos vulnerabilidades afectaban a los servidores de aplicaciones y de sitio de PaperCut MF y NG en todas las versiones compatibles. El aviso de seguridad actualizado de PaperCut sigue siendo la fuente del proveedor para orientación de remediación e indicadores de compromiso.
CVE-2026-81578 recibió una puntuación de 8,8 en CVSS versión 4. CVE-2026-82078 recibió una puntuación de 9,4. CVSS proporciona una estimación estandarizada de la gravedad técnica, aunque no mide la exposición real de cada organización.
El 31 de agosto, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos añadió ambas vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas. El catálogo rastrea fallos con evidencia de explotación y establece plazos de remediación para las agencias federales.
Más tarde, PaperCut incorporó las correcciones en versiones de mantenimiento probadas. El historial de versiones de la versión 26.0 describe correcciones para controles de acceso inadecuados y carga insegura de clases. También registra endurecimientos adicionales en torno a la configuración de bases de datos externas utilizada para búsquedas de tarjetas e identificaciones.
Una evaluación técnica de Rapid7 confirma que PaperCut publicó por primera vez su advertencia el 27 de agosto. Los dos identificadores CVE llegaron el 28 de agosto, a medida que los investigadores aclaraban los componentes de la cadena de explotación.
Instalar la versión de mantenimiento actual cierra la vía inicial conocida. No establece que un servidor previamente expuesto permaneciera limpio. Las organizaciones deben tratar la evidencia de explotación previa como un incidente, no simplemente como un problema de mantenimiento de software.
La investigación debe comenzar con los indicadores publicados por PaperCut, los registros de aplicaciones, las solicitudes web, los cambios de configuración y los procesos secundarios iniciados por el servicio de PaperCut. Los defensores también deben examinar las conexiones salientes y los archivos introducidos recientemente.
La revisión de identidades es esencial porque la campaña se centró en gran medida en el acceso a credenciales. Los equipos deben inspeccionar la creación de cuentas privilegiadas, cambios inusuales en la pertenencia a grupos, replicación sospechosa de directorios y autenticación mediante credenciales de cuentas de servicio.
Una respuesta completa puede requerir cambios de contraseñas, rotación de credenciales, revocación de certificados y la reconstrucción de un servidor comprometido. Si un atacante obtuvo secretos del dominio, aplicar parches solo a PaperCut deja intacto el acceso más persistente.
La arquitectura de red aporta otra capa. La interfaz de aplicaciones de PaperCut no debería exponerse directamente, salvo que las operaciones lo requieran. Las restricciones de fuentes fiables, los proxies inversos, las redes privadas virtuales y los firewalls de aplicaciones web cuidadosamente configurados pueden reducir la superficie de ataque accesible.
GreyNoise observó al menos un objetivo donde el firewall de aplicaciones web de Cloudflare bloqueó al adversario. Ese caso aislado no demuestra que toda configuración de WAF pueda detener el exploit. Sí demuestra que un agente no elude un control correctamente ubicado simplemente porque la IA haya seleccionado sus comandos.
El principio de mínimo privilegio también cambia el resultado. Ejecutar la aplicación con permisos excesivos sobre el directorio convierte la intrusión de la aplicación en un atajo hacia el control del dominio. Una identidad de servicio con alcance limitado proporciona al atacante menos credenciales y capacidades administrativas que heredar.
La segmentación puede impedir que un servidor de impresión comprometido contacte controladores de dominio, redes de gestión o cargas de trabajo no relacionadas. Las restricciones de salida también pueden interferir con la infraestructura de comandos, las herramientas de tunelización y la extracción de datos.
La velocidad de detección cobra mayor importancia a medida que aumenta la velocidad del atacante. Sin embargo, la automatización no obliga a los defensores a igualar individualmente cada comando malicioso. Pueden centrarse en transiciones de alto valor, como una aplicación pública que inicia una shell o solicita secretos del directorio.
Las cifras de la campaña respaldan esta visión por capas. Al menos 440 instancias fueron comprometidas, pero el acceso de administrador de dominio apareció en 12 organizaciones identificadas. Esa brecha refleja un seguimiento incompleto por parte del atacante, configuraciones diferentes y fricción defensiva.
Los equipos de seguridad también deberían preservar las pruebas antes de reconstruir sistemas. El rápido aislamiento por parte del primer cliente que informó del incidente proporcionó a PaperCut información que ayudó a reconstruir el ataque. Destruir registros durante una remediación apresurada puede dificultar mucho más la delimitación del alcance en toda la organización.
Por tanto, la respuesta más sólida combina cinco acciones: actualizar el software, eliminar la exposición innecesaria, investigar el acceso existente, rotar las identidades afectadas y limitar los privilegios del servidor.
Ninguno de estos controles depende de identificar si una solicitud provino de un humano, un agente o un script ordinario. Interrumpen el comportamiento que importa.
Por eso la etiqueta de IA no debería dominar la respuesta ante incidentes. Las herramientas del operador explican la velocidad de la campaña. Las vulnerabilidades, los privilegios, las credenciales y las rutas de red explican su impacto.
El recuento de 395 víctimas requiere una lectura cuidadosa
La escala observada es lo bastante creíble como para exigir acción, pero no responde todas las preguntas sobre el impacto en las víctimas o la autonomía de los agentes.
La cifra principal proviene de GreyNoise, no de una lista pública de divulgaciones de incidentes de 395 organizaciones. Su Global Observation Grid utiliza sensores de internet y otras señales de amenazas para estudiar infraestructura y actividad maliciosas.
GreyNoise afirma haber vinculado 440 instancias comprometidas con 395 organizaciones identificadas. También observó víctimas que no pudo atribuir de forma fiable. La cifra describe organizaciones en las que se identificó evidencia de compromiso, no 395 filtraciones de datos confirmadas de manera independiente.
Esa terminología importa. Un servidor comprometido establece acceso no autorizado. Una filtración de datos suele implicar acceso confirmado a información protegida, mientras que el ransomware implica cifrado o extorsión. La investigación disponible no muestra que todas las víctimas sufrieran alguno de esos resultados.
Según GreyNoise, la recolección de credenciales ocurrió en 280 víctimas. Se obtuvieron secretos del sistema operativo o del dominio de 147, y el acceso de administrador de dominio apareció en 12. Estas categorías indican distintos niveles de intrusión y no deberían agruparse en una única declaración uniforme de impacto.
La misma cautela se aplica a la palabra “autónomo”. Según se informó, los agentes ejecutaron tareas y seleccionaron pasos sin aprobación para cada comando. Un operador humano aún establecía el entorno, proporcionaba objetivos, seleccionaba herramientas y mantenía el control estratégico.
La evidencia pública no revela cada prompt del modelo, cada intervención ni la proporción exacta de acciones iniciadas sin revisión humana. Respalda con mayor claridad la descripción de una campaña “orquestada por IA” que la afirmación de una campaña totalmente autónoma.
La atribución también sigue siendo una evaluación, no una identidad establecida. GreyNoise describió al actor como probablemente rusohablante. La lista de exclusión de países refuerza esa valoración, pero no identifica a una persona, grupo criminal o patrocinador gubernamental.
La fecha de inicio de la campaña requiere una precisión similar. PaperCut recibió su primer informe de cliente el 27 de agosto. GreyNoise rastreó esta operación específica orquestada por IA hasta el 31 de agosto. Son hitos relacionados, pero no demuestran que el mismo actor provocara la primera intrusión reportada.
Otros atacantes ya estaban explotando las vulnerabilidades. Una vez que las vulnerabilidades se hacen públicas y los parches revelan pistas, múltiples grupos pueden reproducir la técnica. PaperCut recordó este patrón de su incidente de 2023, cuando otros grupos criminales y respaldados por Estados explotaron posteriormente servidores expuestos.
Ese episodio anterior de PaperCut es la comparación histórica relevante. Las vulnerabilidades de 2023 fueron ampliamente explotadas tras su divulgación, incluso en operaciones de ransomware y espionaje. La campaña de 2026 añade coordinación agéntica a una superficie de ataque ya probada.
El propósito no resuelto es lo que más importa para las víctimas. Si el operador pretendía vender acceso, la actividad posterior podría proceder de un conjunto de infraestructura distinto y utilizar herramientas diferentes. Una organización podría no ver una interrupción inmediata y, aun así, seguir expuesta a través de credenciales robadas.
Si el objetivo era el robo de datos, los investigadores deben determinar a qué podían acceder el servidor PaperCut y sus cuentas de servicio. Si se planeaba ransomware, la acción retrasada podría representar una fase de preparación, no un abandono.
También existe un desafío de medición. GreyNoise observa una actividad sustancial en internet, pero ningún proveedor individual tiene visibilidad completa dentro de todas las redes afectadas. Algunas víctimas podrían haber contenido el servidor de inmediato. Otras quizá no hayan detectado movimientos posteriores a la explotación.
Los informes de proveedores e inteligencia pueden cambiar a medida que maduran las investigaciones. El número de víctimas puede aumentar, las categorías pueden revisarse y las conclusiones técnicas pueden acotarse. Una cobertura responsable debe preservar esa incertidumbre sin restar importancia a la evidencia urgente ya disponible.
Por tanto, una lectura escéptica no sostiene que el evento fuera inventado o inofensivo. Sostiene que “395 organizaciones comprometidas por IA autónoma” condensa varios hallazgos distintos en una frase más dramática.
Un resumen más defendible es el siguiente: GreyNoise afirma que un operador utilizó cientos de flujos de trabajo de agentes asistidos por IA para comprometer al menos 440 instancias de PaperCut en 395 organizaciones identificadas. La escalada de privilegios tuvo un éxito desigual, y el objetivo final del operador sigue siendo desconocido.
Esta formulación preserva ambos lados de la evidencia. La operación logró una escala y velocidad inusuales. También dependió de dirección humana, herramientas ofensivas conocidas, infraestructura expuesta y debilidades de seguridad específicas de cada víctima.
Tres señales mostrarán si este se convierte en el nuevo patrón de ataque
La siguiente fase depende de la reutilización del exploit, la monetización de los accesos robados y de si los defensores reducen la exposición pública antes de que lleguen los imitadores.
La primera señal es la actividad posterior en víctimas conocidas. Los investigadores deberían vigilar el despliegue de ransomware, notificaciones de robo de datos, anuncios de corredores de acceso o nueva infraestructura que utilice credenciales obtenidas durante la campaña original.
Las operaciones posteriores confirmadas reforzarían la idea de que los enjambres de agentes pueden alimentar una cadena de suministro más amplia del cibercrimen. La ausencia de actividad posterior sugeriría que la campaña generó más accesos de los que su operador podía explotar eficazmente.
La segunda señal es la adopción por parte de otros actores de amenazas. GreyNoise observó a un operador utilizando un harness de Codex, un modelo de DeepSeek y herramientas ofensivas conocidas. El cambio más amplio llegará si grupos no relacionados copian el flujo de trabajo contra PaperCut u otras vulnerabilidades empresariales recién divulgadas.
Los imitadores no necesitarían los prompts ni la infraestructura originales. Podrían reproducir el patrón general: construir un laboratorio vulnerable, asignar agentes al desarrollo de exploits, generar listas de objetivos en internet y lanzar tareas paralelas posteriores a la explotación.
Los investigadores de seguridad deberían buscar firmas temporales similares. Estas incluyen muchos objetivos relacionados atacados en cuestión de segundos, cadenas de herramientas repetidas con pequeños ajustes específicos del entorno y artefactos de agentes conservados en comandos o espacios de trabajo.
Un aumento de estas campañas confirmaría que la orquestación agéntica se está convirtiendo en infraestructura estándar para atacantes. Si los casos siguen siendo poco frecuentes, el ataque de IA contra PaperCut podría representar un experimento operativo avanzado, pero aún inusual.
La tercera señal es la curva de exposición de los servidores PaperCut. La aplicación eficaz de parches, la eliminación de interfaces públicas y una mejor segmentación deberían reducir la población de objetivos disponible. Una exposición persistente dejaría a las organizaciones abiertas a scripts más simples y a más atacantes dirigidos por humanos.
Esta métrica también pone a prueba la conclusión más útil del incidente. Si el endurecimiento básico reduce drásticamente la explotación, los defensores no necesitan productos especulativos de detección de IA antes de actuar. Necesitan inventarios disciplinados de activos, actualizaciones rápidas, interfaces administrativas controladas e identidades protegidas.
Las organizaciones que ejecuten PaperCut deberían verificar hoy su versión instalada frente a la orientación actual del proveedor. También deberían determinar si el servidor era accesible desde internet entre el 27 de agosto y la remediación.
Si estuvo expuesto, los equipos deberían investigar el host y las identidades conectadas en lugar de asumir que la ausencia de una alerta implica seguridad. La campaña demostró que la entrada y la recopilación de credenciales pueden ocurrir más rápido que un ciclo de revisión manual.
La lección más amplia se aplica a otro software empresarial. Los equipos de seguridad deberían identificar aplicaciones públicas que se ejecuten con privilegios elevados o se conecten directamente a la infraestructura de identidad. Esos sistemas ofrecen la misma combinación de entrada accesible y valioso alcance posterior a la explotación.
Los desarrolladores y operadores de plataformas de IA deberían preocuparse por un motivo distinto. El caso muestra que las restricciones del modelo son solo un control dentro de un sistema agéntico. Los harnesses, los permisos de herramientas, la concurrencia, el registro, la validación de objetivos y la supervisión del operador determinan lo que los agentes pueden hacer a escala.
Los desarrolladores de agentes deberían aplicar políticas de acción fuera del modelo, especialmente para redes, acceso a credenciales y comandos destructivos. Una prohibición en lenguaje natural no equivale a un límite técnico. Las aparentes infracciones de los agentes a la lista de exclusión por países hacen concreta esa distinción.
Los compradores de seguridad deberían resistirse a dos errores fáciles. El primero es descartar el evento porque los atacantes ya utilizaban automatización. El segundo es tratar la IA como una capacidad mágica que invalida las defensas existentes.
La evidencia respalda una posición intermedia más difícil. La orquestación por IA cambió el ritmo y la coordinación de la explotación, mientras que la arquitectura de seguridad convencional siguió determinando la profundidad del compromiso.
El ataque de IA contra PaperCut debería impulsar una pregunta práctica dentro de cada organización: ¿qué servidor expuesto a internet crearía la misma ruta de privilegios si un atacante comprimiera cuatro días de experimentación en cuatro horas?
Encuentre ese sistema, reduzca su exposición y pruebe el proceso de respuesta antes de que el próximo enjambre lo haga por usted.
