Někdo si postavil stovky AI agentů, poslal je na tiskové servery PaperCut po celém světě a dal jim jediné jasné pravidlo: nechoďte do těchhle 28 zemí. Agenti ho nedodrželi — v osmi z nich zaútočili a v jedné dotáhli útok až k plné správě domény. Celkem 440 serverů u 395 organizací ve 48 zemích. Pro českou firmu je na tom zajímavější než ta čísla něco jiného: zákaz zadaný agentovi jako seznam není bezpečnostní opatření, ale přání. A to platí i pro ten váš.
Co se stalo
- Zranitelnosti a kdo je potvrdil: PaperCut NG/MF, tiskové správcovské řešení, má dvě chyby — CVE-2026-81578 (obejití autentizace, CWE-306) a CVE-2026-82078 (nebezpečná reflexe v databázovém konektoru, CWE-470). Výrobce je popisuje ve svém bulletinu z 27. srpna 2026, naposledy aktualizovaném 10. září, a hodnotí je podle CVSS 4.0 na 8,8 (HIGH), resp. 9,4 (CRITICAL). Zřetězené dají neautentizovanému útočníkovi spuštění kódu v procesu PaperCut serveru.
- Zasaženo je „all versions". Tak to stojí v sekci Who is potentially impacted přímo u výrobce. Opravené jsou 26.0.5, 25.0.13 a 24.1.10, vydané 10. září jako běžné maintenance release, které nahrazují tři předchozí emergency patche. NVD u obou CVE uvádí totéž rozhraní verzí — záznam v NVD.
- Termín, který v novinách nebyl: americká CISA zapsala oba CVE do katalogu aktivně zneužívaných zranitelností 31. srpna 2026 s lhůtou na nápravu 14. září 2026. Je to v CSV exportu katalogu KEV, kde u obou záznamů najdete i poznámku, že jde o zřetězitelnou dvojici. Lhůta zavazuje americké federální úřady, ne vás — ale je to nejbližší veřejně stanovené datum, o které se dá opřít interní argumentace „tohle nemůže čekat na další patch okno".
- Jak do toho vstoupila AI: podle analýzy GreyNoise pravděpodobně ruskojazyčný útočník 31. srpna postavil laboratoř s nezáplatovaným PaperCutem a řadičem domény, vyvinul v ní exploit a pak vypustil stovky agentů. Z prázdného pracovního prostoru k prvnímu spuštění kódu na reálné oběti mu to trvalo necelé čtyři hodiny, k prvnímu domain adminovi dalších dvě. Po spuštění kampaně kompromitoval 11 organizací za 26 sekund; u jedné americké střední školy šel od prvního přístupu k plné správě domény za sedm minut.
- Čím to řídil — a tady se agregátory pletou: GreyNoise výslovně píše, že agenti běželi na harnessu OpenAI Codex, ale na modelu DeepSeek, a v závorce dodává „not OpenAI models". Ve zprávách, které o případu psaly, to většinou splynulo do „OpenAI a DeepSeek", což je něco jiného: nástroj pro orchestraci byl jeden, model pod ním jiný.
- Ten seznam zemí. Útočník měl z předchozích kampaní připravený výčet 28 států, kterým se měli agenti vyhnout: Rusko, Čína, Hongkong, Thajsko, Írán, Venezuela, Bělorusko, Kazachstán, Kyrgyzstán, Tádžikistán, Turkmenistán, Uzbekistán, Arménie, Azerbájdžán, Moldavsko, Ukrajina, Brazílie, Vietnam, Indonésie, Pákistán, Tanzanie, Bangladéš, Afghánistán, Turecko, Jižní Afrika, Namibie, Nigérie, Zimbabwe. V tabulce obětí u GreyNoise se přesto objevuje osm z nich — Jižní Afrika (9 obětí), Brazílie (5), Čína, Kazachstán, Namibie, Nigérie, Pákistán a Zimbabwe (po jedné), dohromady 20 organizací. U jedné z jihoafrických obětí útočník dokonce získal domain admin. GreyNoise to komentuje jako „dobrý příklad Agents Gone Wild" a otevřeně přiznává, že neví, proč se agenti odchýlili.
- Kde to naopak neprošlo: GreyNoise uvádí, že nejméně v jednom případě útok zastavil web application firewall od Cloudflare, a shrnuje to větou, která je pro čtenáře tohohle webu asi nejdůležitější v celé zprávě: „Fundamental hardening of environments still matters against AI-enabled threats." Domain admin se povedl jen u 12 ze 440 zasažených instancí.
- Druhý nezávislý zdroj: Blackpoint Cyber našel u téhož útočníka odhalený webový adresář s celým projektem. Popisuje soubory stavu psané „z pohledu asistenta pracujícího na úkolech pro uživatele", jeden záznam z 31. srpna říká, že projekt „staví výpis materiálů vyžádaný uživatelem", jiný zaznamenává sken „přerušený uživatelem" a rovnou k tomu dopisuje, co se má příště změnit. Cílový seznam měl přes 500 systémů, nástroj zpracovával až 200 cílů souběžně a nedokončené recykloval až ve stovce opakovacích kol. Blackpoint z toho vyvozuje, že hlavní přínos AI nebyl nová technika, ale snížení lidské práce potřebné k držení kampaně v chodu.
- Co si výrobce netroufá potvrdit: PaperCut k publikovaným indikátorům třetích stran (jmenovitě GreyNoise) píše, že je nezávisle neověřil a že nepocházejí z hlášení od zákazníků, takže si je máte proti svému prostředí ověřit sami. Zároveň dodává, že hlášení nových kompromitací za poslední týden výrazně zpomalila, ale že chování po průniku u druhé vlny bylo sofistikovanější než na začátku.
Jedna věc jistá není: v tabulce obětí GreyNoise Česko není. Ze střední a východní Evropy se tam objevuje po jedné oběti z Polska, Rumunska, Bulharska, Estonska a Litvy. Neznamená to, že se to u nás nestalo — GreyNoise sám píše, že řadu skutečných obětí nedokázal přiřadit ke konkrétní organizaci, a vidí jen to, co prošlo jeho senzory. Znamená to jen, že o české oběti veřejně nikdo neinformoval.
Proč se to týká i vás
Tenhle případ se dá číst dvěma způsoby a oba jsou pro českou firmu použitelné.
Za prvé jako obránce. PaperCut je nudný software na účtování tisku, který má skoro každá škola, úřad a větší kancelář — v tabulce obětí je školství s 204 organizacemi bezkonkurenčně první, pak služby, reality a coworkingy, IT a tiskoví prodejci. Podstatné je, že aplikační server PaperCutu běží na Windows standardně s oprávněními SYSTEM, obvykle je v doméně a napojený na Active Directory. To z tiskového serveru dělá vstup do identit celé firmy, i když ho v mapě rizik vedete jako periferii. V tomhle není nic specificky „AI": zafungoval firewall a záplata, ne AI politika.
Za druhé jako někdo, kdo sám nasazuje agenty. A tady je ta opravdová lekce. Útočník měl přesně tu podobu omezení, jakou dnes vidím u většiny firemních nasazení: seznam v promptu nebo konfiguraci, o kterém se předpokládá, že ho model dodrží. Útočník měl navíc silnou motivaci, aby ho agenti dodrželi — vyhýbal se zemím, kde by mu hrozily potíže. Přesto v osmi z 28 udeřili. Když takové opatření neudrží ani útočník, který na jeho dodržení má vlastní zájem, nebude držet ani u vás. Rozdíl mezi seznamem a opatřením je v tom, kdo ho vynucuje: pravidlo v promptu vynucuje model, pravidlo v síti nebo v oprávněních vynucuje infrastruktura. Jen to druhé je kontrola.
A ještě jedna věc, která mi na Blackpointově nálezu přišla nejzajímavější: útočníkovi agenti fungovali především proto, že si předávali kontext mezi sezeními — co je hotové, co je zablokované, co zkusit dál. Přesně to je mechanismus, kterým se z „AI, co napíše skript" stane proces, který běží dál i bez pozornosti člověka. Pokud u sebe nasazujete agenty s pamětí a s možností samostatně opakovat neúspěšné pokusy, máte technicky totéž a platí pro vás tytéž otázky: kdo vidí ten stav, kdo ho umí přerušit a co se stane, když se agent odchýlí.
Co s tím
- 1. Zjistěte, jestli máte PaperCut, a jestli je vidět z internetu. Když ano, aktualizujte na 26.0.5, 25.0.13 nebo 24.1.10 a nezapomeňte na Site Servery a sekundární tiskové servery — výrobce výslovně píše, že nestačí primární aplikační server. Mobility Print, Print Deploy a klientský software zasažené nejsou a aktualizaci nepotřebují. Kdo je na Emergency Patch 3, je proti těmhle CVE chráněný a upgrade může naplánovat běžně; kdo je na Release 1 nebo 2, má to udělat hned.
- 2. Než zavoláte forenzika, projděte si server.log. PaperCut zveřejnil konkrétní řetězce, které se v něm objevují po zneužití — mezi nimi
ERROR No suitable driver found for jdbc:no:xaDatabase error looking up cardID: VALUES CAST(X'cafebabe— a upozorňuje i na to, že chybějící nebo zkrácený server.log je sám indikátorem. Dál doporučuje hledat službu Windows s názvem „Remote Access Service" (agent SimpleHelp) a neočekávané instalace AnyDesku. Absence indikátorů ale podle výrobce nic nevylučuje. - 3. U vlastních agentů převeďte alespoň jedno „zakázané" pravidlo z textu do infrastruktury. Typicky to, co má nejdražší následek: kam smí agent volat (výchozí zákaz odchozích spojení a povolený výčet), do jakých dat smí (samostatný účet s právy jen na to, co potřebuje), a kolik pokusů smí udělat, než se zastaví. Nedělejte to naráz pro všechno — jedno pravidlo přenesené do sítě nebo oprávnění vydrží víc než deset odstavců v promptu.
- 4. Přestaňte tiskové a další „periferní" servery vést mimo rizikovou mapu. Kritérium není důležitost aplikace, ale s jakými oprávněními běží a co je za ní. Jeden dotaz do vaší správy majetku: které servery běží jako SYSTEM nebo pod účtem s právy v doméně a jsou zároveň dosažitelné zvenčí. To je váš seznam, kde se AI rychlost útočníka projeví nejdřív.
A teď proti vlastnímu byznysu: tenhle případ není důvod si objednat AI audit. Kdyby ho zasažené organizace měly, nezachránilo by je to — zachránila by je záplata, firewall a účet bez zbytečných práv, tedy věci, které dělá běžná IT správa a nepotřebuje k nim nikoho zvenčí. Pokud máte na tuhle sobotu volnou hodinu, věnujte ji bodu 1, ne hledání konzultanta. AI governance řešte tam, kde agenty nasazujete vy sami; tam, kde jste jen oběť útočníkovy automatizace, je odpovědí obyčejná hygiena.
Kde to řeším s klienty
To, co z tohoto případu u klientů skutečně používám, je krátký přehled: které agenty a AI nástroje máte v provozu, jaká omezení jsou jen textem v promptu a která jsou vynucená sítí nebo oprávněními. Většinou z toho vyjde dvě až tři věci, které se dají přesunout do druhé kategorie za odpoledne. Je to součást AI Act Readiness Auditu, ale jde to i samostatně. Pokud chcete jen vědět, jak na tom jste, začněte AI Risk Scanem zdarma — a jestli vám z něj vyjde, že vaše největší riziko je nezáplatovaný server a ne AI, napíšu vám to tam přesně takhle.