Agentes de IA hackearam 395 empresas em 48 países: o que o ataque ao PaperCut ensina

Um ataque descoberto em setembro mostrou o que acontece quando um criminoso troca o teclado por um enxame de agentes de IA. Segundo a GreyNoise, um ator suspeito de falar russo usou centenas de agentes de IA rodando sobre o Codex da OpenAI e um modelo da DeepSeek pra invadir servidores de impressão PaperCut NG/MF em 395 organizações espalhadas por 48 países. Essa matéria reúne os números da campanha, como os agentes trabalharam sozinhos do zero até o controle total da rede, e o que esse caso muda pra quem cria ou usa Agentes IA no dia a dia.

O que aconteceu no ataque ao PaperCut?

Entre 31 de agosto e a campanha completa, o atacante comprometeu 440 instâncias do PaperCut MF/NG em 395 organizações, segundo o relatório da GreyNoise. Na etapa de maior intensidade, os agentes de IA invadiram pelo menos 11 organizações em 26 segundos.

O ponto de entrada foram duas falhas encadeadas, CVE-2026-81578 (bypass de autenticação) e CVE-2026-82078 (execução remota de código por reflexão insegura), que juntas deixam um invasor sem credencial executar código arbitrário no servidor de impressão. O PaperCut é usado por escolas, prefeituras e empresas de médio porte pra gerenciar impressão em rede, e por rodar com privilégios altos costuma estar plugado direto no domínio Windows da organização.

Como os agentes de IA conduziram o ataque sozinhos?

O atacante não escreveu o exploit à mão: orientou os agentes a analisar os patches de segurança do PaperCut, reconstruir o caminho de execução de código numa réplica local do software e escrever ferramentas de varredura em Go, ajustando o código a cada erro que aparecia em tempo real. Do espaço de trabalho vazio até a primeira execução de código bem-sucedida numa vítima real levou menos de 4 horas. Mais 2 horas depois, o mesmo processo já tinha o primeiro acesso de administrador de domínio.

A velocidade se repetiu vítima após vítima: uma escola nos Estados Unidos caiu do primeiro acesso ao controle total do domínio em 7 minutos, o caso mais rápido registrado. O relatório do The Hacker News descreve a rotina pós-invasão dos agentes: coleta de hives do registro do Windows, entrega de payloads Meterpreter em Java, e mapeamento automático de usuários, processos e configurações sensíveis, tudo em cadeia, sem intervenção manual em cada etapa.

Pra sustentar isso, os agentes usaram um arsenal ofensivo já conhecido da comunidade de segurança (Mimikatz, SharpHound, Certipy, BloodHound, Rubeus, Impacket), só que orquestrado automaticamente. Segundo a GreyNoise, a inovação não foi técnica de invasão nova nenhuma: foi cortar o trabalho humano de pesquisa, depuração e repetição que antes limitava a velocidade de um ataque desse tamanho.

Quais setores e países foram mais atingidos?

A educação concentrou quase metade dos alvos: 204 das 395 organizações vítimas (46%) são escolas, universidades ou redes de ensino, seguidas por varejo (38), imóveis e hospitalidade (29), TI/provedores de serviço gerenciado (25) e saúde (8), conforme o levantamento da GreyNoise.

Por país, os Estados Unidos concentraram o maior número de vítimas:

País	Organizações atingidas
Estados Unidos	98
Reino Unido	59
França	31
Espanha	31
Canadá	24
Bélgica	16
Portugal	16
Austrália	15
Alemanha	15
Suíça	14

O atacante também programou os agentes pra evitar 28 países, entre eles Rússia, China, Irã e Venezuela, coerente com a atribuição a um operador russo, embora a própria GreyNoise tenha registrado falhas nessa lista de exclusão durante a campanha.

Dá pra parar um ataque desse com defesa tradicional?

Sim, e o próprio relatório traz um exemplo prático: um firewall de aplicação web (WAF) da Cloudflare bloqueou o ataque em pelo menos uma das tentativas registradas, mesmo contra um adversário orientado por IA. A GreyNoise resume a lição direto: hardening básico de ambiente (patch em dia, WAF na frente de serviço exposto, segmentação de rede) continua sendo a primeira barreira, IA do lado do atacante ou não.

Isso não anula o problema de velocidade. Quando um agente de IA reduz de dias pra minutos o tempo entre uma vulnerabilidade conhecida virar exploit funcional, a janela pra aplicar o patch antes de ser explorado também encolhe. A resposta não é abandonar automação, é usar a mesma lógica do lado de quem defende: monitoramento automatizado, resposta a incidente automatizada, e prioridade absoluta em manter sistema exposto à internet sempre atualizado.

O que esse ataque muda pra quem cria com Agentes IA?

A diferença entre o atacante do PaperCut e alguém que constrói um agente pra automatizar atendimento, triagem ou operação de uma empresa não está na técnica. Orquestrar múltiplos agentes que planejam, executam, avaliam o resultado e ajustam o próximo passo sozinhos é exatamente a competência por trás de qualquer agente autônomo bem construído, seja pra invadir um servidor ou pra rodar um processo de negócio 24 horas por dia. A diferença está em quem autorizou aquele agente a agir e sobre qual sistema.

Isso reforça uma responsabilidade concreta pra quem constrói agentes pra clientes ou pro próprio negócio: mapear com clareza o que o agente tem permissão de tocar, limitar escopo e credencial ao mínimo necessário, e manter humano no loop nas decisões que mudam alguma coisa de verdade. Um agente mal escopado que erra é risco de negócio; a mesma arquitetura, nas mãos erradas e sem controle nenhum, é a campanha que acabou de comprometer 395 empresas.

A Formação em Agentes IA e Automações da ibe.IA ensina a montar esses agentes com esse tipo de controle desde o primeiro dia, pra quem quer atender clínica, imobiliária ou e-commerce com IA de forma responsável.

Conheça a Formação em Agentes IA e Automações

E se essa leitura te ajudou a entender o que está acontecendo, segue a ibe.IA no Instagram (@ibe.ia) que toda semana sai conteúdo desse jeito.