L’attaque IA contre PaperCut a frappé 395 organisations, comprimant le temps de réaction de la sécurité
L’attaque IA contre PaperCut a compromis au moins 440 serveurs dans 395 organisations identifiées réparties dans 48 pays, selon la société de renseignement sur les menaces GreyNoise. Des centaines d’agents de programmation auraient aidé un seul opérateur à développer des exploits, trouver des systèmes exposés et mener des attaques en parallèle. Une fois la campagne lancée, au moins 11 organisations ont été compromises en 26 secondes.
Cette vitesse est le fait déterminant. Les groupes criminels automatisent depuis des années l’analyse d’Internet et l’exploitation de vulnérabilités. Cette opération aurait ajouté des agents capables d’interpréter les résultats, d’ajuster les commandes, de gérer des espaces de travail distincts et de poursuivre différentes voies d’attaque.
La campagne a également révélé les limites de cette approche. Certains agents ont attaqué des organisations situées dans des pays que l’opérateur avait explicitement exclus. Les défenses ont tout de même stoppé certaines parties de l’opération, et l’attaquant n’a obtenu des privilèges d’administrateur de domaine que chez 12 victimes identifiées.
Le résultat n’est pas l’histoire d’un logiciel autonome déjouant chaque contrôle de sécurité. C’est un avertissement : un seul opérateur peut utiliser l’orchestration par IA pour condenser plusieurs étapes d’une intrusion. Des fenêtres de correctif mesurées en jours deviennent dangereusement larges lorsque le développement d’exploits et le déploiement de masse tiennent en quelques heures.
Ce que l’attaque IA contre PaperCut a réellement changé
La campagne a transformé une infrastructure de programmation agentique en couche opérationnelle d’exploitation de masse, et non simplement en assistant pour écrire du code malveillant.
GreyNoise attribue l’activité à un acteur malveillant probablement russophone opérant depuis une infrastructure associée à l’adresse IP 45.142.193.132. Son analyse détaillée de la campagne indique que l’acteur a commencé l’opération PaperCut le 31 août 2026.
La cible était PaperCut NG/MF, un logiciel de gestion d’impression auto-hébergé couramment connecté aux annuaires des organisations. Ces serveurs gèrent l’impression, la numérisation, la copie, les utilisateurs et les politiques associées. Sous Windows, l’application s’exécute normalement avec des privilèges SYSTEM, ce qui offre à un intrus ayant réussi une précieuse tête de pont.
L’acteur a ciblé deux vulnérabilités nouvellement divulguées, CVE-2026-81578 et CVE-2026-82078. La première concerne un contrôle d’accès inadéquat dans l’interface d’administration. Dans certaines conditions, une requête non authentifiée peut déclencher des actions administratives avant la fin des vérifications d’accès.
La seconde vulnérabilité concerne le chargement dynamique non sécurisé de classes. Un attaquant qui modifie la configuration concernée peut amener l’application à charger et exécuter du bytecode Java arbitraire. Enchaînées, ces failles créent un chemin menant d’une interface de gestion exposée à l’exécution de code à distance.
PaperCut a pris connaissance d’une activité suspecte pour la première fois à 9 h 42, heure normale de l’Est de l’Australie, le 27 août. Un client du secteur de l’éducation a signalé que son serveur PaperCut MF semblait compromis. La chronologie de la réponse de l’entreprise indique que les enquêteurs ont d’abord envisagé l’exploitation d’une vulnérabilité plus ancienne, déjà corrigée.
Les journaux ont plutôt révélé une voie jusque-là inconnue. PaperCut a déclaré son incident de priorité maximale et traité l’activité comme un zero-day exploité, ce qui signifie que les défenseurs ont rencontré l’attaque avant qu’un correctif général ne soit disponible.
L’entreprise a invité ses clients à retirer d’Internet les serveurs d’application directement exposés. Elle a également commencé à publier des mesures d’atténuation d’urgence tout en travaillant avec les clients touchés et des chercheurs externes afin de reconstruire la chaîne d’exploitation.
GreyNoise indique que l’attaquant ultérieur a construit un laboratoire comprenant un logiciel PaperCut vulnérable et un serveur Active Directory. Active Directory est le système de Microsoft destiné à gérer les identités, les ordinateurs et les autorisations au sein d’un réseau d’entreprise.
Des centaines d’agents auraient opéré via le harness Codex d’OpenAI tout en utilisant un modèle DeepSeek pour le travail de modèle sous-jacent. Cette distinction importe. Le harness fournissait un environnement de travail aux agents, tandis que le modèle générait ou évaluait des actions dans ces flux de travail.
L’opérateur a également utilisé Netlas, un service de découverte d’actifs sur Internet, pour créer des listes de cibles potentielles. Une fois que le travail de laboratoire a produit l’exécution de code à distance et la collecte d’identifiants, les agents sont passés du développement aux attaques contre des systèmes accessibles depuis Internet.
GreyNoise a recensé au moins 440 instances PaperCut compromises appartenant à 395 organisations identifiées. L’entreprise a averti que des victimes supplémentaires ne pouvaient pas être reliées de manière fiable à des organisations nommées. Ces chiffres doivent donc être interprétés comme des minimums observés, et non comme un recensement exhaustif.
L’attaque IA contre PaperCut est importante parce que les agents auraient couvert plusieurs tâches liées. Ils ont aidé à construire et affiner des exploits, à les tester en laboratoire, à identifier des cibles exposées et à exécuter des flux d’intrusion parallèles. L’automatisation classique peut exécuter rapidement des commandes, mais elle dépend généralement de branches prédéfinies avant l’exécution.
Un agent peut choisir parmi des outils après avoir interprété un résultat. Cela ne le rend pas intelligent au sens humain. Mais cela permet à l’opérateur d’externaliser davantage de décisions intermédiaires, réduisant la coordination manuelle nécessaire entre l’analyse, l’exploitation et la post-exploitation.
Cette différence a produit les extraordinaires pointes de vitesse de la campagne. GreyNoise indique que l’opérateur est passé d’un espace de travail vide à l’exécution de code à distance contre une victime réelle en moins de quatre heures. L’accès administrateur de domaine a suivi environ deux heures plus tard.
L’ampleur est arrivée après validation du flux de travail. Au moins 11 organisations ont été compromises en 26 secondes lorsque la campagne complète a commencé. La réponse traditionnelle aux incidents suppose un certain délai entre une nouvelle divulgation, un exploit fonctionnel et un déploiement à grande échelle. Ici, ces étapes ont presque fusionné en un seul processus continu.
Les réseaux éducatifs ont subi la pression la plus forte
Les établissements scolaires ont supporté la plus grande part des dommages, car l’exposition de PaperCut et les environnements de correctifs contraints ont créé une population de cibles particulièrement favorable.
GreyNoise a identifié 204 victimes du secteur de l’éducation parmi les 395 organisations. La catégorie suivante, les autres organisations ou organisations non classées, en comptait 51. Le commerce de détail, les entreprises commerciales et les services professionnels suivaient avec 38.
Cette répartition ne prouve pas que l’attaquant a délibérément sélectionné les établissements scolaires. GreyNoise a décrit la campagne comme opportuniste et a relié cette concentration à la base de clients de PaperCut. Les écoles, collèges et universités exploitent couramment une impression centralisée sur les campus, dans les bibliothèques, les laboratoires et les bureaux administratifs.
Les États-Unis comptaient 98 victimes identifiées, tandis que le Royaume-Uni en comptait 59. Des organisations en France, en Espagne et au Canada figuraient également de manière notable. Au total, l’ensemble des victimes observées couvrait 48 pays.
Les réseaux éducatifs réunissent plusieurs conditions qui accroissent les enjeux. Ils prennent souvent en charge de nombreux utilisateurs, des appareils non gérés, des applications anciennes et des installations décentralisées. Les fenêtres de maintenance doivent composer avec les cours, les examens, les périodes d’inscription et des effectifs techniques limités.
Un serveur de gestion d’impression peut aussi sembler moins critique qu’un fournisseur d’identité ou qu’une passerelle Internet. Cette perception devient dangereuse lorsque le serveur est joint au domaine, s’exécute avec des privilèges élevés et peut atteindre d’autres systèmes internes.
Dans un lycée américain, GreyNoise a observé une transition de sept minutes entre l’accès initial et l’obtention complète des privilèges d’administrateur de domaine. Les privilèges d’administrateur de domaine peuvent offrir à un intrus un contrôle étendu sur les comptes, les politiques et les systèmes Windows connectés à l’annuaire.
Ce résultat n’était pas typique de toutes les victimes. GreyNoise a observé un accès administrateur de domaine dans 12 organisations, soit une faible part du total identifié. Toutefois, le cas du lycée montre la limite supérieure lorsque l’exposition, les identifiants et la configuration interne s’alignent en faveur de l’attaquant.
L’acteur a collecté des identifiants auprès de 280 victimes et obtenu des secrets du système d’exploitation ou du domaine auprès de 147 d’entre elles, selon les mécaniques de l’attaque. Ces résultats étendent l’incident au-delà de la simple compromission d’une application web.
Un identifiant volé peut rester utile après que les administrateurs ont corrigé la faille initiale. Les attaquants peuvent réutiliser des hachages de mots de passe, des comptes de service, des certificats ou des comptes nouvellement créés pour revenir par une autre voie. Cela rend le confinement et la rotation des identifiants aussi importants que l’installation de la mise à jour logicielle.
Les enquêteurs ont signalé trois voies courantes vers des privilèges plus élevés. L’une extrayait la mémoire LSASS et les secrets du registre depuis des serveurs connectés au domaine. LSASS est un processus Windows qui gère les éléments d’authentification et peut exposer des hachages d’identifiants lorsqu’il est compromis.
L’attaquant pouvait alors utiliser le pass-the-hash, une technique qui permet de s’authentifier avec un hachage de mot de passe capturé sans connaître le mot de passe original. Une autre voie utilisait noPac, une attaque établie contre les organisations qui n’avaient pas corrigé deux anciennes vulnérabilités Active Directory.
Une troisième voie était plus directe. Si PaperCut s’exécutait sur un contrôleur de domaine ou sous un compte de service administrateur de domaine, l’attaquant pouvait créer un compte et l’ajouter au groupe Domain Admins.
L’intrus aurait utilisé DCSync après avoir obtenu des privilèges suffisants. DCSync imite le comportement de réplication d’un contrôleur de domaine afin de demander des informations de mot de passe à Active Directory. Une opération réussie peut exposer des identifiants dans l’ensemble du domaine.
Ces voies illustrent pourquoi la configuration déterminait l’impact. Le même exploit initial produisait des résultats différents selon l’emplacement du serveur, les privilèges du compte de service, les anciens correctifs et l’accès à l’infrastructure d’annuaire.
La pression immédiate repose sur les administrateurs responsables de PaperCut, mais la responsabilité ne peut pas s’arrêter là. Les équipes chargées des identités doivent vérifier si des identifiants ont été exposés. Les équipes d’opérations de sécurité doivent enquêter sur l’activité après l’accès initial. Les équipes réseau doivent réexaminer pourquoi une interface de gestion d’impression était accessible publiquement.
Les dirigeants font également face à un problème de calendrier inconfortable. Les processus de correctifs d’urgence exigent souvent des vérifications de compatibilité et une approbation des changements. Un attaquant orchestré par IA peut progresser alors que ces étapes sont encore en cours de planification.
Le propre récit de PaperCut attribue à la détection et à l’équipe de forensic du premier client la préservation d’éléments de preuve précieux. La machine virtuelle touchée a été isolée rapidement, ce qui a permis aux enquêteurs de récupérer des journaux ayant aidé à révéler la voie d’exploitation.
C’est un contrepoint important à la vitesse de la campagne. La détection rapide dans un établissement scolaire a aidé le fournisseur à avertir une population de clients bien plus vaste. Les organisations éducatives étaient fortement représentées parmi les victimes, mais un client du secteur de l’éducation a également fourni des preuves essentielles à la réponse.
Le compromis central oppose vitesse et contrôle
Les essaims d’agents augmentent le débit d’un attaquant, mais ils introduisent aussi des défaillances de coordination susceptibles de révéler ses intentions et de gaspiller ses accès.
L’expression « essaim IA » peut évoquer une armée numérique coordonnée, dotée d’un esprit stratégique partagé. Le système observé était moins cinématographique et plus pragmatique. Un opérateur humain aurait créé de nombreux espaces de travail d’agents et leur aurait attribué des tâches parallèles.
Chaque espace de travail pouvait développer du code, exécuter des outils, traiter des résultats ou agir sur une cible distincte. L’ensemble ressemblait à un essaim, car des centaines de flux de travail opéraient simultanément. Leur valeur venait de l’exécution en parallèle et de l’adaptation locale, et non d’un raisonnement collectif parfait.
La progression rapportée par l’opérateur explique cet avantage. Les agents travaillaient dans un laboratoire contrôlé jusqu’à trouver une voie fonctionnelle vers l’exécution de code à distance et l’accès aux identifiants. L’opérateur pouvait ensuite reproduire ce flux de travail sur une liste de cibles sans gérer personnellement chaque commande.
Cette organisation modifie l’économie des attaques. Une seule personne peut explorer plusieurs hypothèses simultanément, conserver les branches fructueuses et abandonner les tentatives infructueuses. Une fois qu’une séquence fonctionne, des agents supplémentaires peuvent l’appliquer à de nombreux systèmes exposés.
Les outils eux-mêmes n’avaient rien d’exotique. GreyNoise a identifié une collection comprenant Mimikatz, BloodHound, Certipy, Rubeus, Impacket, NetExec et Ligolo-ng. Les testeurs de sécurité comme les opérateurs malveillants utilisent bon nombre de ces projets depuis des années.
L’IA a relié ces composants établis. Les agents pouvaient choisir un outil, examiner sa sortie et tenter une autre étape. L’évolution majeure résidait dans l’orchestration de l’ensemble du flux de travail, et non dans une nouvelle catégorie d’exploit créée uniquement par un modèle.
Cette distinction permet de garder l’attaque PaperCut alimentée par l’IA en perspective. Les attaquants combinent depuis longtemps scanners de vulnérabilités, cadres d’exploitation, vol d’identifiants et outils d’administration à distance. Les systèmes agentiques réduisent les interventions humaines entre ces composants.
Pourtant, l’opérateur n’a pas obtenu un contrôle cohérent. GreyNoise a trouvé des instructions demandant aux agents d’éviter des entités dans 28 pays. La liste comprenait la Russie, la Chine, Hong Kong, la Thaïlande, l’Iran, l’Ukraine, la Biélorussie, la Moldavie, le Brésil et l’Afrique du Sud.
Les règles d’évitement révèlent souvent les calculs de risque d’un opérateur. Les groupes criminels peuvent exclure des pays où des victimes locales risqueraient d’attirer une attention indésirable des forces de l’ordre. GreyNoise s’est appuyé sur ce comportement, des signaux linguistiques et des éléments connexes pour évaluer que l’acteur était probablement russophone.
Certains agents ont néanmoins attaqué des organisations situées dans des pays interdits. GreyNoise a indiqué que la raison de ces écarts restait incertaine. Ils pourraient refléter une géolocalisation inexacte, des données de ciblage erronées, des instructions ambiguës, des erreurs d’outils ou la perte de contexte pertinent par les agents.
Quelle qu’en soit la cause, il s’agissait d’un échec du contrôle opérationnel. Un agent qui ignore les exclusions peut créer une exposition diplomatique, perturber des partenaires ou attaquer une infrastructure liée à l’opérateur. Le parallélisme amplifie ces erreurs aussi vite qu’il amplifie les exploitations réussies.
L’attaquant a également laissé certaines organisations compromises intactes pendant plusieurs jours. Selon GreyNoise, ces délais résultaient d’un manque de suivi plutôt que d’une résistance technique. Cela suggère que la campagne a créé davantage d’accès que son opérateur ne pouvait immédiatement exploiter.
Ce surplus peut s’expliquer de plusieurs manières. L’acteur développait peut-être des accès destinés à être vendus à des affiliés de ransomwares. Il collectait peut-être des options avant de choisir des victimes de valeur. Il a aussi pu dépasser sa propre capacité à examiner et monétiser les résultats.
GreyNoise n’a pas pu déterminer l’objectif final. Le vol de données, l’extorsion, le déploiement de ransomwares et le courtage d’accès restent tous plausibles. Présenter l’un d’eux comme l’objectif confirmé irait au-delà des éléments disponibles.
Les résultats inégaux exposent le compromis central. Les agents réduisent le travail nécessaire pour pénétrer des centaines d’environnements. Ils ne fournissent pas automatiquement le jugement, la priorisation, des contraintes fiables ou une stratégie finale cohérente.
Les défenseurs ne devraient pas se rassurer de cette faiblesse. Une campagne inefficace peut néanmoins causer des dégâts considérables lorsque son coût opérationnel est faible. Un attaquant peut tolérer de nombreuses sessions échouées ou abandonnées si un petit nombre d’entre elles fournit un accès privilégié.
Dans le même temps, les éléments disponibles ne soutiennent pas l’affirmation selon laquelle une IA autonome aurait mené une attaque mondiale irrésistible. Un humain a choisi la catégorie de cibles, assemblé l’infrastructure, fourni les outils, défini les contraintes et, apparemment, décidé quand assurer le suivi.
La conclusion plus précise est plus limitée, mais aussi plus lourde de conséquences. L’orchestration agentique permet à un opérateur de gérer un volume d’activité adaptative qui aurait auparavant exigé davantage de personnes, de temps ou de scripts sur mesure.
Les défenses conventionnelles ont tout de même interrompu l’essaim
L’IA a accéléré le rythme de la campagne, mais les contrôles ordinaires ont tout de même déterminé si un serveur exposé devenait une compromission à l’échelle de l’entreprise.
PaperCut a publié son avis urgent le 27 août et a demandé à ses clients de retirer les serveurs d’application de l’exposition directe à internet. L’éditeur a ensuite distribué plusieurs correctifs d’urgence tout en poursuivant son enquête.
Les deux vulnérabilités affectaient les serveurs d’application et de site de PaperCut MF et NG sur les versions prises en charge. L’avis de sécurité mis à jour de PaperCut reste la source de l’éditeur pour les recommandations de remédiation et les indicateurs de compromission.
CVE-2026-81578 a reçu un score CVSS version 4 de 8,8. CVE-2026-82078 a reçu un score de 9,4. Le CVSS fournit une estimation normalisée de la gravité technique, même s’il ne mesure pas l’exposition réelle de chaque organisation.
Le 31 août, la Cybersecurity and Infrastructure Security Agency des États-Unis a ajouté les deux vulnérabilités à son catalogue Known Exploited Vulnerabilities. Ce catalogue suit les failles pour lesquelles il existe des preuves d’exploitation et fixe des échéances de remédiation aux agences fédérales.
PaperCut a ensuite intégré les correctifs dans des versions de maintenance testées. L’historique des versions de la version 26.0 décrit des corrections concernant un contrôle d’accès inapproprié et un chargement de classes non sécurisé. Il mentionne également un renforcement supplémentaire autour de la configuration de la base de données externe utilisée pour les recherches de cartes et d’identifiants.
Une évaluation technique de Rapid7 confirme que PaperCut a publié son premier avertissement le 27 août. Les deux identifiants CVE ont suivi le 28 août, à mesure que les chercheurs clarifiaient les composants de la chaîne d’exploitation.
L’installation de la version de maintenance actuelle ferme la voie initiale connue. Elle ne permet pas d’établir qu’un serveur déjà exposé est resté sain. Les organisations doivent traiter tout élément indiquant une exploitation antérieure comme un incident, et non comme un simple problème de maintenance logicielle.
Cette enquête devrait commencer par les indicateurs publiés par PaperCut, les journaux de l’application, les requêtes web, les modifications de configuration et les processus enfants lancés par le service PaperCut. Les défenseurs devraient également examiner les connexions sortantes et les fichiers nouvellement introduits.
L’examen des identités est essentiel, car la campagne ciblait fortement l’accès aux identifiants. Les équipes devraient inspecter la création de comptes privilégiés, les changements inhabituels de groupes, les réplications de répertoires suspectes et les authentifications utilisant les identifiants de comptes de service.
Une réponse complète peut exiger des changements de mots de passe, une rotation des identifiants, la révocation de certificats et la reconstruction d’un serveur compromis. Si un attaquant a obtenu des secrets de domaine, le seul correctif de PaperCut laisse intact l’accès plus durable.
L’architecture réseau fournit une autre couche de protection. L’interface applicative de PaperCut ne devrait pas être directement exposée, sauf si les opérations l’exigent. Les restrictions aux sources de confiance, les proxys inverses, les réseaux privés virtuels et des pare-feu applicatifs web soigneusement configurés peuvent réduire la surface d’attaque accessible.
GreyNoise a observé au moins une cible où le pare-feu applicatif web de Cloudflare a bloqué l’adversaire. Ce seul cas ne prouve pas que chaque configuration de WAF peut arrêter l’exploit. Il montre qu’un agent ne contourne pas un contrôle correctement positionné simplement parce que l’IA a sélectionné ses commandes.
Le principe du moindre privilège change également le résultat. Exécuter l’application avec des autorisations d’annuaire excessives transforme une compromission applicative en raccourci vers le contrôle du domaine. Une identité de service strictement limitée donne à l’attaquant moins d’identifiants et de capacités administratives à hériter.
La segmentation peut empêcher un serveur d’impression compromis de contacter des contrôleurs de domaine, des réseaux de gestion ou des charges de travail sans rapport. Les restrictions de sortie peuvent également entraver l’infrastructure de commande, les outils de tunnelisation et l’exfiltration de données.
La vitesse de détection devient plus importante à mesure que la vitesse des attaquants augmente. Toutefois, l’automatisation n’oblige pas les défenseurs à répondre individuellement à chaque commande malveillante. Ils peuvent se concentrer sur les transitions à forte valeur, comme une application publique qui lance un shell ou demande des secrets d’annuaire.
Les chiffres de la campagne soutiennent cette vision en couches. Au moins 440 instances ont été compromises, mais l’accès administrateur de domaine est apparu dans 12 organisations identifiées. Cet écart reflète un suivi incomplet par l’attaquant, des configurations différentes et les frictions imposées par les défenses.
Les équipes de sécurité devraient également préserver les preuves avant de reconstruire les systèmes. L’isolement rapide du premier client ayant signalé l’incident a fourni à PaperCut des informations ayant permis de reconstituer l’attaque. Détruire les journaux lors d’une remédiation précipitée peut rendre bien plus difficile la définition de l’ampleur de l’incident dans toute l’organisation.
La réponse la plus solide combine donc cinq actions : mettre à jour le logiciel, supprimer l’exposition inutile, enquêter sur les accès existants, effectuer la rotation des identités concernées et limiter les privilèges du serveur.
Aucun de ces contrôles ne dépend de l’identification de l’origine humaine, agentique ou scriptée d’une requête ordinaire. Ils interrompent le comportement qui compte.
C’est pourquoi l’étiquette IA ne devrait pas dominer la réponse à incident. Les outils de l’opérateur expliquent la vélocité de la campagne. Les vulnérabilités, les privilèges, les identifiants et les chemins réseau expliquent son impact.
Le nombre de 395 victimes doit être interprété avec prudence
L’ampleur observée est suffisamment crédible pour exiger une action, mais elle ne répond pas à toutes les questions concernant l’impact sur les victimes ou l’autonomie des agents.
Le chiffre principal provient de GreyNoise, et non d’une liste publique de divulgations d’incidents par 395 organisations. Son Global Observation Grid utilise des capteurs internet et d’autres signaux de menace pour étudier les infrastructures et activités malveillantes.
GreyNoise affirme avoir lié 440 instances compromises à 395 organisations nommées. L’entreprise a également observé des victimes qu’elle ne pouvait pas attribuer de façon fiable. Ce chiffre décrit les organisations pour lesquelles des preuves de compromission ont été identifiées, et non 395 violations de données confirmées indépendamment.
Cette terminologie est importante. Un serveur compromis établit un accès non autorisé. Une violation de données implique souvent un accès confirmé à des informations protégées, tandis qu’un ransomware implique le chiffrement ou l’extorsion. Les recherches disponibles ne montrent pas que chaque victime a subi l’un ou l’autre de ces résultats.
Selon GreyNoise, la collecte d’identifiants a eu lieu chez 280 victimes. Des secrets de systèmes d’exploitation ou de domaines ont été obtenus auprès de 147 d’entre elles, et un accès administrateur de domaine est apparu dans 12 cas. Ces catégories indiquent différents niveaux d’intrusion et ne devraient pas être ramenées à une déclaration uniforme d’impact.
La même prudence s’applique au mot « autonome ». Les agents auraient exécuté des tâches et choisi des étapes sans approbation pour chaque commande. Un opérateur humain a néanmoins mis en place l’environnement, fourni les objectifs, sélectionné les outils et conservé le contrôle stratégique.
Les éléments publics ne révèlent pas chaque prompt de modèle, chaque intervention ni la part exacte d’actions initiées sans examen humain. Ils étayent plus clairement la description « orchestrée par l’IA » que l’affirmation d’une campagne entièrement autonome.
L’attribution reste également une évaluation plutôt qu’une identité établie. GreyNoise a décrit l’acteur comme probablement russophone. La liste des pays exclus renforce cette hypothèse, mais elle ne désigne ni un individu, ni un groupe criminel, ni un commanditaire gouvernemental.
La date de début de la campagne exige une précision similaire. PaperCut a reçu son premier signalement client le 27 août. GreyNoise a fait remonter cette opération particulière orchestrée par l’IA au 31 août. Il s’agit d’étapes liées, mais elles ne prouvent pas que le même acteur est à l’origine de la première compromission signalée.
D’autres attaquants exploitaient déjà les failles. Une fois les vulnérabilités rendues publiques et les correctifs révélateurs d’indices, plusieurs groupes peuvent reproduire la technique. PaperCut se souvenait de ce schéma lors de son incident de 2023, quand d’autres groupes criminels et soutenus par des États ont ensuite exploité des serveurs exposés.
Cet épisode antérieur de PaperCut constitue la comparaison historique pertinente. Les vulnérabilités de 2023 ont été largement exploitées après leur divulgation, notamment dans des opérations de rançongiciel et d’espionnage. La campagne de 2026 ajoute une coordination agentique à une surface d’attaque déjà éprouvée.
L’objectif non résolu est ce qui compte le plus pour les victimes. Si l’opérateur avait l’intention de vendre des accès, les activités ultérieures pourraient provenir d’un autre ensemble d’infrastructures et utiliser d’autres outils. Une organisation pourrait ne constater aucune perturbation immédiate tout en restant exposée via des identifiants volés.
Si l’objectif était le vol de données, les enquêteurs doivent déterminer à quelles ressources le serveur PaperCut et ses comptes de service pouvaient accéder. Si un rançongiciel était prévu, l’absence d’action immédiate pourrait correspondre à une phase de préparation plutôt qu’à un abandon.
Un défi de mesure existe également. GreyNoise observe une activité internet importante, mais aucun fournisseur unique ne dispose d’une visibilité complète au sein de chaque réseau touché. Certaines victimes ont peut-être contenu le serveur immédiatement. D’autres n’ont peut-être pas détecté de mouvement post-exploitation.
Les rapports des éditeurs et du renseignement peuvent évoluer à mesure que les enquêtes progressent. Le nombre de victimes peut augmenter, les catégories être révisées et les conclusions techniques se resserrer. Un traitement responsable doit préserver cette incertitude sans minimiser les éléments urgents déjà disponibles.
La lecture sceptique n’est donc pas que l’événement a été inventé ou qu’il est inoffensif. Elle consiste à constater que « 395 organisations compromises par une IA autonome » condense plusieurs conclusions distinctes en une formule plus spectaculaire.
Un résumé plus défendable serait le suivant : GreyNoise affirme qu’un opérateur a utilisé des centaines de flux de travail agentiques assistés par l’IA pour compromettre au moins 440 instances PaperCut au sein de 395 organisations identifiées. L’élévation de privilèges a connu un succès inégal, et l’objectif final de l’opérateur demeure inconnu.
Cette formulation préserve les deux dimensions des éléments disponibles. L’opération a atteint une ampleur et une vitesse inhabituelles. Elle dépendait aussi d’une direction humaine, d’outils offensifs connus, d’infrastructures exposées et de faiblesses de sécurité propres aux victimes.
Trois signaux montreront si cela devient le nouveau schéma d’attaque
La phase suivante dépend de la réutilisation de l’exploit, de la monétisation des accès volés et de la capacité des défenseurs à réduire l’exposition publique avant l’arrivée des imitateurs.
Le premier signal est l’activité ultérieure chez les victimes connues. Les enquêteurs devraient surveiller le déploiement de rançongiciels, les notifications de vol de données, les annonces de courtiers en accès, ou de nouvelles infrastructures utilisant les identifiants récupérés lors de la campagne initiale.
Des opérations ultérieures confirmées renforceraient l’idée que des essaims d’agents peuvent alimenter une chaîne d’approvisionnement plus large de la cybercriminalité. L’absence d’activité en aval suggérerait que la campagne a généré davantage d’accès que son opérateur ne pouvait exploiter efficacement.
Le deuxième signal est l’adoption par d’autres acteurs de la menace. GreyNoise a observé un opérateur utilisant un harness Codex, un modèle DeepSeek et des outils offensifs familiers. Le changement majeur se produira si des groupes sans lien copient le flux de travail contre PaperCut ou d’autres vulnérabilités d’entreprise nouvellement divulguées.
Les imitateurs n’auraient pas besoin des prompts ni de l’infrastructure d’origine. Ils pourraient reproduire le schéma général : créer un laboratoire vulnérable, affecter des agents au développement d’exploits, générer des listes de cibles internet et lancer en parallèle des tâches de post-exploitation.
Les chercheurs en sécurité devraient rechercher des signatures temporelles similaires. Elles incluent de nombreuses cibles liées attaquées en quelques secondes, des chaînes d’outils répétées avec de légers ajustements propres à l’environnement, ainsi que des artefacts d’agents conservés dans des commandes ou espaces de travail.
Une hausse de ces campagnes confirmerait que l’orchestration agentique devient une infrastructure standard pour les attaquants. Si les cas demeurent rares, l’attaque IA contre PaperCut pourrait représenter une expérimentation opérationnelle avancée, mais encore inhabituelle.
Le troisième signal est la courbe d’exposition des serveurs PaperCut. Des correctifs appliqués avec succès, la suppression des interfaces publiques et une meilleure segmentation devraient réduire la population de cibles disponibles. Une exposition persistante laisserait les organisations vulnérables à des scripts plus simples et à d’autres attaquants guidés par des humains.
Cette métrique teste également la conclusion la plus utile de l’incident. Si un durcissement élémentaire réduit fortement l’exploitation, les défenseurs n’ont pas besoin de produits spéculatifs de détection de l’IA avant d’agir. Ils ont besoin d’inventaires d’actifs rigoureux, de mises à jour rapides, d’interfaces administratives contrôlées et d’identités protégées.
Les organisations utilisant PaperCut devraient vérifier dès aujourd’hui leur version installée par rapport aux recommandations actuelles de l’éditeur. Elles devraient également déterminer si le serveur était accessible depuis internet entre le 27 août et la remédiation.
S’il était exposé, les équipes devraient enquêter sur l’hôte et les identités connectées plutôt que de supposer que l’absence d’alerte signifie qu’elles sont en sécurité. La campagne a démontré que l’accès initial et la collecte d’identifiants peuvent intervenir plus vite qu’un cycle de revue manuel.
L’enseignement plus large s’applique à d’autres logiciels d’entreprise. Les équipes de sécurité devraient identifier les applications publiques qui s’exécutent avec des privilèges élevés ou se connectent directement à l’infrastructure d’identité. Ces systèmes offrent la même combinaison d’un point d’entrée accessible et d’une portée précieuse en post-exploitation.
Les développeurs et opérateurs de plateformes d’IA devraient s’en préoccuper pour une autre raison. Ce cas montre que les restrictions du modèle ne constituent qu’un contrôle parmi d’autres dans un système agentique. Les harnesses, les autorisations d’outils, la concurrence, la journalisation, la validation des cibles et la supervision de l’opérateur déterminent ce que les agents peuvent faire à grande échelle.
Les développeurs d’agents devraient appliquer des politiques d’action en dehors du modèle, en particulier pour le réseau, l’accès aux identifiants et les commandes destructrices. Une interdiction formulée en langage naturel n’équivaut pas à une limite technique. Les violations apparentes par les agents de la liste d’exclusion des pays rendent cette distinction concrète.
Les acheteurs de solutions de sécurité devraient résister à deux erreurs faciles. La première consiste à écarter l’événement au motif que les attaquants utilisaient déjà l’automatisation. La seconde consiste à traiter l’IA comme une capacité magique qui invalide les défenses existantes.
Les éléments disponibles étayent une position intermédiaire plus exigeante. L’orchestration par IA a modifié le rythme et la coordination de l’exploitation, tandis que l’architecture de sécurité conventionnelle déterminait toujours l’ampleur de la compromission.
L’attaque IA contre PaperCut devrait susciter une question concrète dans chaque organisation : quel serveur exposé à internet créerait le même chemin vers les privilèges si un attaquant condensait quatre jours d’expérimentation en quatre heures ?
Identifiez ce système, réduisez son exposition et testez le processus de réponse avant que le prochain essaim ne le fasse à votre place.
