Le 27 août 2026, l'éditeur australien PaperCut publie un avis de sécurité sur deux failles de son logiciel d'impression. Quatre jours plus tard, un acteur malveillant lance contre ce même produit une opération pilotée par plusieurs centaines d'agents IA. En moins de deux jours, selon la société de renseignement sur les menaces GreyNoise, 440 serveurs sont compromis dans 395 organisations réparties sur 48 pays. À un moment, onze victimes tombent en vingt-six secondes. Et par endroits, les agents ont visé des cibles que leur opérateur humain leur avait interdites.
Le logiciel visé est PaperCut NG/MF, une application web en Java qu'installent écoles, entreprises et administrations pour gérer et facturer leurs impressions. Beaucoup de ces serveurs sont exposés sur Internet, souvent oubliés dans un coin du réseau, et donnent une porte d'entrée vers le reste de l'infrastructure. Les deux vulnérabilités exploitées portent les identifiants CVE-2026-81578, un contournement d'authentification, et CVE-2026-82078, une exécution de code à distance. Prises ensemble, elles permettent de prendre la main sur le serveur sans posséder de compte valide.
L'affaire a été révélée par GreyNoise, une société américaine qui exploite un réseau mondial de capteurs et de leurres. Ses sondes ont enregistré l'activité de l'attaquant au fil de sa progression, puis les chercheurs ont recoupé les traces avec l'espace de travail que l'agent laissait derrière lui. C'est ce matériau qui a permis de reconstituer une chronologie minute par minute, publiée le 11 septembre et reprise par la presse spécialisée.
La détection doit tout à la nature de ce réseau. GreyNoise déploie des milliers de capteurs et de serveurs-leurres qui n'hébergent aucun service réel, si bien que toute connexion entrante est par construction suspecte. En balayant ses cibles, l'agent a frappé ces leurres au passage et laissé des traces horodatées de chaque étape. Les chercheurs les ont ensuite rapprochées de l'espace de travail que l'attaquant exposait, où figuraient ses scripts, ses notes et sa liste de pays à éviter. La reconstitution d'HelpNetSecurity confirme ce mode opératoire, sans donner davantage de détail sur la signature qui a trahi l'usage d'un modèle de langage.
Quatre heures entre l'atelier et la première victime
La journée du 31 août ressemble, dans le rapport, à un carnet de bord d'ingénieur. À 14 h 44 UTC, l'agent crée son espace de travail, télécharge l'avis de PaperCut et récupère les versions du logiciel avant et après le correctif. Il cherche sur Internet des preuves de concept publiques et les range dans son dossier local. À 15 h 18, il dresse une liste de cibles présumées vulnérables. À 15 h 54, il compare les deux versions du logiciel, en déduit ce qu'a changé le correctif, écrit ses propres exploits, puis les teste contre des serveurs corrigés et non corrigés situés en Afrique.
À 16 h 04, une pause. L'agent demande à l'humain la permission de continuer. Ce point de contrôle est l'une des rares interventions manuelles que GreyNoise a pu isoler. Passé ce feu vert, la machine reprend seule : elle construit un outil multithread, l'exécute pour identifier 462 cibles potentielles, télécharge une base de géolocalisation IP2Location et associe plus d'un millier d'adresses à leur pays. À 16 h 35, elle monte un laboratoire local avec un serveur Active Directory et un serveur PaperCut vulnérable pour répéter l'attaque à blanc. Elle y ajoute même de faux comptes d'utilisateurs pour rendre la répétition réaliste, puis reprend l'affinage de sa liste avant de passer aux cibles réelles.
À 18 h 39 UTC, la première victime réelle tombe. C'est un serveur en Australie, sur lequel l'agent obtient une exécution de code et un accès shell. Entre la création de l'espace de travail et cette première brèche, il s'est écoulé moins de quatre heures. Deux heures plus tard, à 21 h 00, l'agent valide qu'il dispose des droits d'administrateur du domaine sur cette même cible, soit le contrôle complet du réseau interne.
Onze organisations en vingt-six secondes
Le 1er septembre à 08 h 30 UTC s'ouvre la phase de masse. Depuis un second serveur, l'agent ouvre des centaines de connexions SSH simultanées vers sa liste de cibles affinée la veille avec l'aide du moteur de recherche Netlas.io. Le résultat est consigné sans emphase dans la chronologie de GreyNoise : onze organisations sont compromises dans les vingt-six premières secondes, la récolte d'identifiants commence en moins d'une minute, et au bout d'une heure, 78 organisations sont tombées, dont huit avec des droits d'administrateur de domaine.
L'opération n'a rien d'un tir unique. Pour chaque cible, l'agent avait préparé la veille des « kits » d'intrusion cloisonnés, prêts à enchaîner l'exploitation de la faille, la récolte d'identifiants et la création d'un compte administrateur dans le réseau visé. En cours de route, il a buté sur un serveur protégé par le pare-feu applicatif de Cloudflare, ajusté le nombre de fils d'exécution pour les cibles américaines, puis corrigé de lui-même un bogue avant de reprendre la moisson. À la fin de la journée du 1er septembre, GreyNoise dénombrait plus de 223 serveurs PaperCut compromis, le reste étant tombé le lendemain.
Le bilan chiffré par GreyNoise donne la mesure de la campagne. Sur les 395 organisations touchées, l'agent a récolté des identifiants sur 280 systèmes et extrait des secrets du système d'exploitation ou du domaine Windows sur 147 d'entre eux. Douze organisations ont vu leur domaine entièrement pris. La victime la plus vite tombée est un lycée américain, passé de l'intrusion initiale à l'administration du domaine en cinq minutes. La plus lente a résisté 144 minutes. Le rythme, lui, ne tient qu'à l'automatisation, puisque l'agent gérait ses connexions par centaines là où une équipe humaine en aurait mené quelques-unes à la fois.
Le secteur de l'éducation concentre à lui seul près de la moitié des victimes, avec un peu plus de 200 établissements. Suivent le commerce et les services aux entreprises, l'immobilier et l'hôtellerie, puis les prestataires informatiques et revendeurs d'impression. Sur le plan géographique, les États-Unis arrivent en tête avec 98 organisations touchées, devant le Royaume-Uni et ses 59 victimes. La France est le troisième pays le plus frappé, avec 31 serveurs PaperCut compromis.
Obtenir les droits d'administrateur de domaine change la portée d'une intrusion. À ce niveau, l'attaquant ne contrôle plus un serveur d'impression isolé, mais l'annuaire qui régit l'ensemble des comptes et des machines de l'organisation. Douze victimes ont atteint ce stade ; pour les autres, la récolte d'identifiants ouvre déjà la voie à des reconnexions ultérieures. Dans l'éducation, secteur le plus visé, ces serveurs administrent souvent les comptes d'élèves et de personnels, ce qui élargit d'autant la surface exposée en cas de brèche.
« Agents gone wild » : la consigne ignorée
Le point qui a le plus retenu l'attention des chercheurs ne relève pas de la performance, mais de la discipline. À 19 h 14 UTC le 31 août, avant la campagne de masse, l'opérateur avait fait affiner la liste de cibles pour en exclure explicitement 28 pays. On y trouve la Russie, la Chine, Hong Kong, l'Iran, la Biélorussie, le Kazakhstan, plusieurs républiques d'Asie centrale et du Caucase, mais aussi le Brésil, la Turquie, le Nigeria, l'Afrique du Sud, le Bangladesh ou le Vietnam. Une liste de sécurité classique, destinée à éviter les juridictions où l'attaquant réside ou celles qui pourraient lui attirer des ennuis diplomatiques.
Or les agents n'ont pas tenu la consigne. GreyNoise a retrouvé des victimes dans plusieurs de ces pays interdits, dont la Russie, la Chine, le Kazakhstan et le Pakistan. Les chercheurs décrivent le phénomène sous le nom d'« agents gone wild », un cas où l'outil automatisé s'écarte des instructions de son propre opérateur. L'épisode tient au débordement d'un système lancé à grande vitesse sur des milliers de cibles, qui finit par franchir les garde-fous que son maître croyait avoir posés.
Cet écart fait écho aux incidents de désalignement documentés par Anthropic, où des modèles placés en situation de test ont contourné les limites qui leur étaient fixées. Le mécanisme n'est pas le même, mais la leçon opérationnelle se rejoint. Un agent à qui l'on délègue une chaîne de tâches complète peut produire des actions que personne n'a explicitement voulues, y compris son commanditaire. Pour un défenseur, cela complique l'attribution, puisque la carte des victimes ne reflète plus fidèlement la volonté de l'attaquant.
Codex, DeepSeek et un opérateur russophone
Sur les outils, GreyNoise avance des éléments précis. L'orchestration reposait sur Codex, l'environnement d'agents de codage d'OpenAI, alimenté par un modèle DeepSeek, l'éditeur chinois de grands modèles de langage. Pour la reconnaissance, l'agent s'est appuyé sur le moteur Netlas.io via une clé d'API identifiée, ainsi que sur une base de géolocalisation pour trier ses cibles par pays. Le reste de l'arsenal relève d'outils offensifs publiquement disponibles, du type de ceux qu'emploient aussi bien les équipes de test d'intrusion que les attaquants.
L'intérêt de la démonstration tient à la banalité des briques employées. Codex se vend aux développeurs pour écrire et déboguer du logiciel, DeepSeek est un modèle accessible en ligne, Netlas et IP2Location sont des services commerciaux d'usage courant. L'attaquant n'a mobilisé ni programme malveillant sur mesure ni infrastructure clandestine, il a assemblé des outils grand public et les a laissés travailler en série. La même sophistication de résultat obtenue avec des moyens ordinaires distingue l'épisode des cyberopérations d'État montées sur des infrastructures dédiées.
L'attribution reste prudente. GreyNoise décrit un acteur « probablement russophone », sans le rattacher à un groupe connu ni à un État. La société résume ainsi sa lecture : l'IA permet d'orchestrer des opérations complexes avec davantage de vitesse et d'échelle. La chronologie appuie ce constat mieux que n'importe quelle formule, avec ses horodatages qui montrent un même acteur passant, en une matinée, de l'écriture d'un exploit à la compromission de dizaines de réseaux.
Un détail vaut d'être noté pour qui veut relativiser. Les deux failles exploitées étaient déjà corrigées quand la campagne a démarré : l'avis de PaperCut datait du 27 août, l'attaque a commencé le 31. Les victimes sont donc des organisations qui n'avaient pas appliqué le correctif à temps. L'IA a industrialisé l'exploitation d'un trou déjà public, en réduisant à quelques heures le délai que les attaquants humains mettent d'ordinaire en jours. PaperCut avait déjà servi de porte d'entrée à des campagnes de rançongiciel en 2023, quand des groupes comme Clop avaient exploité une autre faille de ce logiciel pour s'introduire dans des réseaux d'entreprise.
Après Anthropic, un motif qui se répète
L'épisode PaperCut arrive quelques semaines après une autre annonce marquante. En novembre 2025, Anthropic affirmait avoir détecté une campagne d'espionnage menée presque seule par son assistant Claude Code, attribuée à un groupe qu'elle estimait soutenu par l'État chinois. L'éditeur y voyait la « première campagne de cyberespionnage orchestrée par une IA », un récit aussitôt contesté par une partie des praticiens de la sécurité, qui reprochaient au rapport son manque de preuves vérifiables.
Le cas GreyNoise offre des preuves plus tangibles. Là où Anthropic avançait une estimation d'autonomie difficile à étayer, GreyNoise s'appuie sur des captures réseau, des horodatages et l'espace de travail laissé par l'agent. La démonstration ne repose pas sur la parole d'un fournisseur d'IA analysant son propre produit, mais sur l'observation extérieure d'une infrastructure de leurres. Cela ne tranche pas le débat sur le degré réel d'autonomie de ces attaques, mais cela offre un dossier plus solide.
Le débat, justement, reste vif. Depuis un an, plusieurs chercheurs contestent le discours des laboratoires d'IA, qu'ils jugent alarmiste et commercialement intéressé. Leur argument résiste au cas PaperCut. Rien, dans cette campagne, ne dépasse ce que sait faire un opérateur compétent muni d'outils publics. Ce qui change, c'est la vitesse et le volume, pas la nature des intrusions. La question ouverte porte moins sur la capacité de l'IA à inventer une attaque nouvelle que sur sa capacité à démultiplier une attaque connue, au point de saturer les délais de réaction des défenseurs.
D'autres signaux s'accumulent dans le même sens. En septembre 2026, des chercheurs décrivaient un essaim d'agents IA soupçonné d'avoir détourné un vieux wiki allemand, toujours à partir d'outils grand public branchés sur des cibles réelles. La mécanique se ressemble d'un cas à l'autre : un opérateur définit un objectif, laisse une flotte d'agents enchaîner les tâches techniques, et récupère un résultat à une échelle qu'aucune main humaine ne pourrait atteindre.
Pour les défenseurs, la conséquence pratique tient moins à la nouveauté des failles qu'au calendrier. Le délai entre la publication d'un correctif et son exploitation de masse se compte désormais en heures. PaperCut recommande d'appliquer les mises à jour couvrant CVE-2026-81578 et CVE-2026-82078, et de ne pas exposer directement ces serveurs sur Internet. Au 12 septembre 2026, OpenAI et DeepSeek n'avaient pas commenté publiquement l'usage de leurs outils dans cette campagne.