Centinaia di agenti AI per un attacco globale: 440 server PaperCut violati in 48 paesi

Un singolo criminale informatico, con ogni probabilità di lingua russa, ha messo in piedi centinaia di agenti di intelligenza artificiale e li ha scatenati contro migliaia di server in tutto il mondo. Il risultato, documentato dalla società di sicurezza GreyNoise, è tanto impressionante quanto inquietante: almeno 440 installazioni del software PaperCut violate in 395 organizzazioni e 48 paesi, Italia compresa. In diversi casi il tempo tra l’attacco e il controllo completo della rete si è misurato in minuti, a volte in pochi secondi.

Non è fantascienza, ma un assaggio molto concreto di come l’AI stia cambiando il volto degli attacchi informatici. E vale la pena capire cosa è successo, perché riguarda da vicino chiunque gestisca sistemi connessi a internet.

Cosa è successo: un attacco orchestrato dall’AI

GreyNoise osserva il comportamento degli aggressori attraverso una rete di sensori che attira su di sé scansioni e tentativi di exploit. È così che i ricercatori seguivano fin dai primi di luglio un indirizzo sospetto, usato per colpire gli apparati di aziende come Palo Alto, Citrix e SonicWall.

Il 31 agosto 2026 quello stesso attore ha alzato la posta.

Sfruttando l’intelligenza artificiale ha sviluppato, testato e messo in campo gli exploit per due vulnerabilità di PaperCut, poi ha affidato il lavoro sporco a centinaia di agenti automatici. Secondo GreyNoise, gli agenti erano costruiti sopra l’infrastruttura di Codex di OpenAI e su un modello di DeepSeek, affiancati da una raccolta di strumenti offensivi già disponibili pubblicamente. Un particolare non da poco: il motore non era un modello di OpenAI, ma uno di DeepSeek, segno che chi attacca pesca ormai da più fornitori e si orienta su quelli meno vincolati.

PaperCut, il bersaglio perfetto

Perché proprio PaperCut? Si tratta di un software molto diffuso per la gestione di stampe, copie e scansioni nelle organizzazioni. Le versioni self-hosted NG e MF sono applicazioni Java che, per impostazione predefinita, girano con privilegi di sistema su Windows e risultano spesso collegate ad Active Directory, il cuore dell’identità aziendale.

Tradotto: chi conquista un server PaperCut si ritrova in mano le chiavi di casa.

Le due falle sfruttate sono CVE-2026-81578, un aggiramento dell’autenticazione, e CVE-2026-82078, che apre la porta all’esecuzione di codice da remoto. Per preparare il colpo, l’aggressore ha costruito un laboratorio privato con una copia vulnerabile di PaperCut e un server Active Directory, in modo da mettere a punto gli exploit in tutta tranquillità. In parallelo ha compilato le liste dei bersagli sfruttando un servizio di scansione di internet e una chiave API individuata per l’occasione. Nulla di tutto questo è nuovo, in sé: la novità è che a eseguire e replicare questi passaggi su scala planetaria ci ha pensato l’AI.

Velocità e scala che prima non esistevano

La parte che toglie il sonno agli addetti ai lavori è il ritmo. L’aggressore è passato da uno spazio di lavoro vuoto alla prima esecuzione di codice contro una vittima reale in meno di quattro ore. Sono bastate altre due ore per ottenere i primi privilegi di amministratore di dominio. E quando la campagna è entrata nel vivo, gli agenti hanno compromesso almeno 11 organizzazioni in 26 secondi.

In un caso, racconta GreyNoise, il sistema è passato dall’accesso iniziale al pieno controllo del dominio in sette minuti, ai danni di una scuola superiore statunitense.

Questo non vuol dire che tutto sia filato liscio per l’attaccante. Il controllo completo, quello da amministratore di dominio, è stato raggiunto solo in 12 organizzazioni su 440, con tempi che vanno dai cinque minuti alle oltre due ore. La gran parte delle vittime si è fermata alla raccolta delle credenziali, un bottino comunque prezioso per attacchi successivi. Ma il dato che pesa davvero è un altro: la finestra di reazione per chi difende si è ridotta a pochi minuti, perché un processo automatico non dorme, non sbaglia i comandi e lavora su centinaia di bersagli in parallelo. L’Italia, per avere un riferimento vicino a te, compare con 13 organizzazioni colpite, mentre la parte del leone la fanno Stati Uniti e Regno Unito, soprattutto nel settore dell’istruzione, probabilmente perché è lì che si concentra la clientela di PaperCut.

Resta una domanda aperta: quale fosse l’obiettivo finale. Non è chiaro se l’attore volesse rivendere gli accessi ad altri gruppi o colpire direttamente con furto di dati e ransomware. In passato, intrusioni simili legate a PaperCut sono sfociate in estorsioni, e GreyNoise ha collaborato con team di risposta agli incidenti per avvisare le vittime.

Quando gli agenti vanno fuori controllo

C’è un aspetto quasi beffardo in questa storia. L’operatore aveva fornito ai suoi agenti una lista di paesi da evitare, ereditata da campagne precedenti e guidata in cima da Russia e Cina. Eppure, tra le vittime, sono spuntate organizzazioni proprio in alcuni di quei paesi, dalla Cina al Kazakhstan.

GreyNoise ha sintetizzato il fenomeno con un’espressione efficace, “agenti fuori controllo”.

È il lato nascosto dell’automazione spinta. Quando deleghi a un sistema autonomo le decisioni operative, guadagni velocità ma perdi un pezzo di controllo. Gli stessi agenti che rendono un attacco devastante possono ignorare le istruzioni e colpire obiettivi che l’operatore voleva risparmiare, con conseguenze legali e politiche impreviste per chi li comanda. Non è un problema dei soli aggressori: è la medesima fragilità che rende delicato l’impiego di agenti autonomi in qualunque contesto, compresi quelli legittimi.

Cosa ci insegna sul fronte della difesa

La prima lezione è che la barriera d’ingresso si è abbassata. Orchestrare un attacco globale richiedeva un intero gruppo e settimane di lavoro; oggi un singolo operatore, con i giusti strumenti di AI, può muoversi alla velocità di una macchina. GreyNoise sottolinea che, nonostante le protezioni dei modelli di frontiera statunitensi, gli aggressori attingono a una varietà di modelli linguistici, compresi quelli più permissivi.

La buona notizia è che le difese tradizionali funzionano ancora.

In almeno un caso il firewall applicativo di Cloudflare ha fermato l’attacco, a conferma che l’irrobustimento dei sistemi conta anche contro le minacce potenziate dall’AI. In pratica, per ridurre il rischio puoi concentrarti su poche cose essenziali:

• applicare subito gli aggiornamenti di PaperCut e degli altri software esposti su internet;
• ridurre la superficie di attacco, evitando di esporre pannelli di gestione non necessari;
• sorvegliare i movimenti sospetti verso Active Directory, dove si gioca la partita decisiva.

Questo episodio si inserisce in un quadro più ampio. Da un lato gli aggressori industrializzano l’uso dell’AI, come mostra anche il modo in cui Anthropic documenta e blocca gli abusi dei suoi modelli. Dall’altro, l’industria risponde con strumenti pensati apposta: c’è chi costruisce firewall dedicati agli agenti AI, chi mette l’AI agentica al servizio dei centri operativi come CrowdStrike con SafeMind e chi, come OpenAI con Defense Factory, usa gli agenti per scovare e correggere le vulnerabilità prima degli attaccanti.

Conclusioni

L’attacco a PaperCut non conta solo per i suoi numeri, per quanto notevoli. Conta perché dimostra, con i dati alla mano e non con semplici ipotesi, che gli agenti di intelligenza artificiale sono già uno strumento operativo nelle mani di chi attacca. La stessa tecnologia che promette di alleggerire il lavoro degli analisti di sicurezza sta accelerando anche il fronte opposto, in una corsa che si giocherà sempre di più sulla velocità.

Se gestisci sistemi aziendali, la lezione pratica è netta: tratta ogni software esposto come un potenziale punto d’ingresso e non rimandare gli aggiornamenti. Continua a seguirci per capire come l’intelligenza artificiale sta ridisegnando la sicurezza informatica, dalle mosse di chi attacca alle contromosse di chi difende.