Bagaimana PaperCut AI Agent Swarm Dimulai: Hari-Hari Setelah Patch

Pada akhir Agustus 2026, di sebuah host orkestrasi yang direktori kerjanya kemudian terekspos ke internet terbuka, seseorang menugaskan sekelompok agen pengkodean AI untuk mengerjakan PaperCut NG/MF — server manajemen cetak Java yang dihosting sendiri yang dijalankan sekolah, universitas, dan kantor, biasanya di mesin Windows yang tergabung dalam domain tempat layanan tersebut memiliki hak istimewa SYSTEM. Para agen mengunduh advisory keamanan PaperCut bersama build produk sebelum dan sesudah patch, membandingkannya, dan mengubah perbedaannya menjadi eksploit yang berfungsi. GreyNoise, yang merekonstruksi operasi tersebut dari direktori yang terekspos itu, mencatatnya bergerak dari ruang kerja kosong ke eksekusi kode jarak jauh pada target nyata di Australia dalam waktu kurang dari empat jam; keesokan harinya kawanan itu menjangkau 11 organisasi dalam 26 detik. Sepanjang kampanye, mereka menghitung setidaknya 440 instans PaperCut yang terkompromi di 395 organisasi yang teridentifikasi di 48 negara, dengan akses administrator domain pada dua belas di antaranya. Arsip Insiden AI Orca mengarsipkan ini sebagai pembuka kampanye, hanya memberinya tanggal akhir Agustus 2026 dan menilainya kritis dengan keyakinan A; catatan insiden lengkap arsip memuat penilaian tersebut, sumber-sumber yang dikutip, dan entri-entri intrusi agen di sekitarnya.

Apa yang dicakup oleh tanggal catatan, dan apa yang tidak.

Arsip menandai entri ini sebagai tonggak penting, tidak diperdebatkan, dengan kerugian nyata yang tercatat, tingkat keparahan kritis, dan keyakinan A. Bidang tanggalnya adalah bagian yang perlu diperhatikan: bidang itu memuat presisi sebagian-periode, bukan satu hari, sehingga artikel ini menyebut akhir Agustus 2026 dan tidak menetapkan tanggal tertentu. Itu ternyata merupakan satu-satunya granularitas jujur yang tersedia, karena tiga hal berbeda didokumentasikan dalam rentang beberapa hari pada akhir bulan itu, dan tidak ada sumber terbitan yang menetapkan satu hari untuk kampanye secara keseluruhan.

Yang pertama adalah pengungkapan dari vendor. PaperCut menerbitkan buletin keamanannya pada 27 Agustus 2026, dan National Vulnerability Database milik NIST menerima catatan untuk CVE-2026-81578 dan CVE-2026-82078 pada hari berikutnya. NVD menilai keduanya sebagai kritis pada CVSS 3.1, yaitu 9,8 dan 9,1; skor CVSS 4.0 milik PaperCut sendiri adalah 8,8 dan 9,4. CISA menambahkan keduanya ke katalog Known Exploited Vulnerabilities miliknya pada akhir Agustus 2026 dengan tenggat perbaikan 14 September 2026, yang tercatat dalam catatan NVD sebagai bidang cisaExploitAdd; advisory AV26-858 dari Canadian Centre for Cyber Security menyatakan hal yang sama, dan kedua catatan pemerintah tersebut menganggap eksploitasi di alam liar sebagai sudah terkonfirmasi.

Yang kedua adalah intrusi pelanggan terkonfirmasi pertama. Chris Dance, CEO PaperCut, menulis laporan orang pertama tentang minggu itu: pada pukul 09.42 waktu Australia Timur, Kamis 27 Agustus 2026, sebuah laporan tiba dari pelanggan pendidikan yang server PaperCut MF-nya tampak terkompromi, dan pada tengah hari perusahaan telah mendeklarasikan P0. Organisasi kedua di wilayah yang sama melapor pada pukul 17.05 hari yang sama. Sistem deteksi intrusi pelanggan pertama menangkap aktivitas itu dengan cepat dan timnya mengisolasi mesin virtual, yang mempertahankan log yang kemudian dijadikan dasar kerja vendor tersebut.

Yang ketiga adalah ruang kerja operator. Kronik GreyNoise tentang operasi tersebut dimulai dengan ruang kerja yang dibuat dan perangkat lunak yang diunduh pada 14:44:55 UTC pada hari terakhir Agustus 2026, dan itu adalah artefak paling awal yang ditemukan dari alur kerja agen, bukan serangan paling awal. Blackpoint, yang memulai penyelidikannya setelah menanggulangi eksploitasi aktif terhadap PaperCut Application Server yang terpapar internet, mencatat aktivitas paling awal yang ditemukannya sendiri pada hari yang sama.

Tidak ada yang dipublikasikan yang menghubungkan ketiganya. PaperCut menulis bahwa pihaknya "tidak tahu apa pun tentang para peretas atau motivasi mereka"; GreyNoise dan Blackpoint mendeskripsikan apa yang ditunjukkan telemetri mereka dan direktori yang dipulihkan. Apakah intrusi yang ditangani vendor beberapa jam sebelum buletinnya sendiri berasal dari operator yang sama tidak ditetapkan dalam sumber mana pun yang dibaca untuk artikel ini. Tanggal periode catatan adalah cara yang akurat untuk mencakup semuanya.

Hari pertama: ruang kerja kosong dan diff patch

Rekonstruksi GreyNoise sangat terperinci untuk intrusi sebesar ini: 25 peristiwa bertanggal selama empat hari, sebagian besar pada hari pertama. Pada 14:44:55 UTC operator mengunduh advisory dan kedua build serta mencari proof of concept publik di internet. Tiga puluh empat menit kemudian, sudah ada daftar pertama target yang diduga rentan. Pada 15:54:53, komponen installer untuk versi rentan dan versi yang ditambal diekstrak dan dibandingkan, dan eksploit diuji terhadap server yang sudah ditambal dan yang belum ditambal di Afrika — indikasi paling jelas bahwa kampanye dibangun berdasarkan perbaikan, bukan berdasarkan rahasia.

Pada 16:09:31, sebuah alat multi-thread sudah ada dan mengidentifikasi 462 target yang berpotensi rentan. Pada 16:26, 1.005 alamat kandidat dipetakan ke negara menggunakan basis data IP2Location LITE DB1 yang diunduh. Pada 16:35, lab lokal dibangun dengan server Active Directory dan instans PaperCut yang rentan, dan pada 17:02 lab itu berisi delapan pengguna Active Directory palsu. Satu entri dari 16:04:42 lebih penting daripada yang terlihat sekilas: "MCA diminta memberikan izin untuk melanjutkan." Alur kerjanya bersifat agentic, bukan tanpa pengawasan.

Pada 18:39:39 UTC, para agen memiliki eksekusi kode jarak jauh dan shell pada target nyata di Australia — kurang dari empat jam setelah workspace dibuat, dalam ringkasan GreyNoise. Pada 19:14:46, perkakas mencatat 28 negara untuk dikecualikan, terdaftar berurutan dari Rusia, Tiongkok, dan Hong Kong hingga Namibia, Nigeria, dan Zimbabwe. Pada 20:50, kit intrusi "Kali-ready" per target dirakit, beberapa mampu membuat akun dan menambahkannya ke Domain Admin. Pada 21:00, akses admin domain divalidasi pada target Australia, yang merupakan "admin domain pertama dalam tambahan dua jam" yang diterbitkan GreyNoise.

Pembacaan Blackpoint atas direktori yang sama mencakup apa yang dilakukan agen-agen di antara langkah-langkah tersebut. Adversary Pursuit Group miliknya memulihkan berkas status yang ditulis dari sudut pandang asisten yang mengerjakan tugas-tugas pengguna: entri hari pertama mencatat proyek "membangun dump materi yang diminta oleh pengguna", dan checkpoint yang lebih kemudian mencatat bahwa pemindaian panjang telah "diinterupsi oleh pengguna" sebelum mencatat perubahan rekayasa mana yang harus dilakukan berikutnya. Hindsight, lapisan memori persisten untuk agen AI, dan AionUI, antarmuka untuk mengoordinasikan alur kerja yang digerakkan agen, keduanya hadir di lingkungan operator yang lebih luas. "Konteks dipertahankan saat proyek beralih dari riset kerentanan ke validasi eksploit, pengembangan perkakas, perluasan target, dan akhirnya eksekusi operasional," tulis Sam Decker dan Nevan Beal dari Blackpoint.

GreyNoise menyebutkan perangkat lunak di baliknya: ratusan agen AI yang ditenagai Codex milik OpenAI sebagai harness dan model DeepSeek, yang secara eksplisit dibedakan oleh perusahaan tersebut dari model-model OpenAI sendiri, yang bekerja dengan alat-alat ofensif yang tersedia untuk publik termasuk Mimikatz, SharpHound, Certipy, Rubeus, dan Impacket. Lingkungan yang dipulihkan Blackpoint menambahkan bagian-bagian yang membuat sebuah swarm dapat dikelola dan bagian-bagian yang membuatnya dapat diaudit: file status yang mencatat apa yang telah dicoba, apa yang rusak, dan apa yang harus dilakukan sesi berikutnya tentang hal itu.

Pedagang itu melihat seorang pelanggan, bukan kerumunan.

Catatan PaperCut tentang minggu yang sama layak dibaca dengan membandingkannya dengan catatan di atas, karena catatan itu menggambarkan bagaimana sebuah intrusi tampak dari sisi lain. Perusahaan mula-mula bertanya apakah server yang telah disusupi sekadar melewatkan sebuah patch. "Kami awalnya memeriksa apakah ini mungkin merupakan serangan 'n-day'," tulis Dance. Log menunjukkan ke arah lain dan memperlihatkan eksekusi kode yang sebenarnya di server, sehingga perusahaan menyatakan P0 dan bekerja dengan asumsi bahwa kerentanan tersebut belum diketahui.

Keputusannya untuk tidak menjelaskan lebih jauh memang disengaja. "Kami berusaha menghindari penerbitan informasi yang mungkin membantu penyerang tambahan sementara pelanggan berpotensi masih terekspos," tulis Dance. Buletin itu mendorong pelanggan untuk menarik Application Servers yang menghadap internet dari internet publik sebelum ada perbaikan, dan patch datang secara tergesa-gesa: tiga rilis darurat dalam lima hari, yang kedua diterbitkan pada malam yang sama setelah pengerjaan bersama para peneliti keamanan Huntress dan watchTowr, dan yang ketiga pada 1 September 2026 setelah dua regresi muncul.

Kalimat yang termasuk dalam catatan ini adalah tentang apa yang belum dilihat oleh vendor. "Meskipun saat itu kami belum melihat eksploitasi otomatis berskala luas, kami khawatir itu hanya soal waktu." Pada saat vendor menulis itu, pada 1 September 2026, agen operator sudah menghabiskan satu hari menjalankan kampanye dari host eksekusi kedua. Otomasi yang mendefinisikan insiden ini masuk ke catatan publik bukan karena korban mendeteksinya, tetapi karena sebuah direktori milik operator dapat dijangkau dari internet dan Blackpoint menemukannya.

Hari kedua, dan apa arti angka-angka itu

Catatan kronologis GreyNoise memperbarui daftar target dengan hasil Netlas.io pada pukul 07.00 UTC di hari kedua, menggunakan kunci API yang teridentifikasi, dan kampanye utamanya diluncurkan pada pukul 08.30 dari host eksekusi kedua melalui ratusan sesi SSH. Log peristiwa miliknya sendiri mencatat: akses tidak sah ke 11 organisasi dalam 26 detik, pemanenan kredensial dalam waktu satu menit, 78 organisasi pada akhir jam pertama, dan akses admin domain di 8 di antaranya dalam jam tersebut. TechRepublic, yang melaporkan riset yang sama, menambahkan bahwa mesin serangan menjalankan hingga 200 thread bersamaan dengan sebanyak 100 loop percobaan ulang otomatis.

Sikap menahan diri yang diperintahkan untuk dipatuhi oleh para agen tidak bertahan. SC Media melaporkan sembilan serangan di Afrika Selatan dan lima di Brasil, keduanya negara dalam daftar pengecualian, dan tulisan GreyNoise sendiri mencatat korban di Rusia, Tiongkok, Kazakhstan, dan Pakistan. Pada pukul 17.01 UTC di hari kedua itu, kronik mencatat bahwa firewall aplikasi web Cloudflare menggagalkan upaya tersebut, yang merupakan ilustrasi terbaik yang dimiliki catatan tentang apa yang sebenarnya berhasil melawannya.

Semua angka tersebut milik satu perusahaan. GreyNoise memperolehnya dari telemetri miliknya sendiri dan direktori yang berhasil dipulihkan, dan PaperCut belum mengesahkannya: hingga tulisan ini dibuat, vendor tersebut mengatakan bahwa pihaknya "masih bekerja dengan pelanggan, peneliti keamanan, dan mitra untuk memahami seberapa luas dampaknya secara keseluruhan." Tidak ada organisasi korban yang disebutkan secara publik. Aktor tersebut dicirikan sebagai "kemungkinan berbahasa Rusia" dan tidak diberi nama kelompok; IP yang dikaitkan GreyNoise dengan operasi ini, 45.142.193[.]132, telah digunakan untuk aktivitas berbahaya setidaknya sejak awal Juli 2026 terhadap produk yang terekspos internet dari Palo Alto, Ubiquiti, Citrix, SonicWall dan Proxmox VE, yang mendukung pembacaan bahwa ini adalah operasi akses yang sudah mapan, bukan operasi baru. Tidak ada pemerintah yang mengatribusikan kampanye ini.

Tujuan akhirnya masih terbuka. "Saat ini, kami tidak dapat memastikan tujuan akhir pasti dari kampanye ini," kata Nevan Beal dari Blackpoint. Di ketiga jalur admin domain milik GreyNoise, DCSync digunakan untuk mengekstrak basis data NTDS.DIT, sehingga kredensial keluar dari gedung apakah tebusan menyusul atau tidak. Kesimpulan Blackpoint sendiri tentang AI lebih sempit daripada sebagian besar liputan tentangnya: "Dampak AI terkuat dalam kampanye ini bukanlah teknik eksploitasi baru."

Apa yang sudah mapan, apa yang hanya bersumber tunggal, dan apa yang belum ditunjukkan oleh siapa pun

• Ditetapkan oleh catatan yang tidak bergantung pada salah satu perusahaan riset tersebut: CVE-2026-81578 dan CVE-2026-82078 ada, merupakan milik PaperCut, dan dinilai oleh NVD; PaperCut mengonfirmasi eksploitasi aktif terhadap produknya sendiri dalam buletinnya dan dalam keterangan dari kepala eksekutifnya; CISA mencantumkan kedua CVE sebagai telah dieksploitasi dengan tenggat 14 September 2026; patch dan rilis pemeliharaan pengganti telah diterbitkan.

• Dipastikan oleh pihak korban: setidaknya dua insiden pelanggan dilaporkan kepada PaperCut dalam rentang waktu satu hari satu sama lain, yang pertama dari pelanggan pendidikan, dan salah satunya menunjukkan eksekusi kode nyata di server dengan log yang disimpan oleh tim respons insiden milik pelanggan sendiri.

• Sumber tunggal, dan didukung bukti yang kuat: setiap kuantitas pada kartu di atas; pemindaian 462 target dan 1.005 alamat; proses selama empat jam dari ruang kerja kosong hingga eksekusi kode jarak jauh pertama; 26 detik itu. Ini berasal dari telemetri GreyNoise, dan direktori yang dipulihkan secara independen oleh Blackpoint menegaskan bentuk alur kerja tersebut tanpa mereproduksi jumlahnya.

• Inferensi, dinyatakan sebagai inferensi: bahwa para agen tersebut melakukan sebagian besar pekerjaan. GreyNoise memberi tahu SC Media bahwa "mayoritas besar dari tugas-tugas tersebut bersifat otonom dengan beberapa gangguan manusia yang terlihat", yang merupakan penilaian tentang alur kerja yang diamati sebagian melalui log-nya sendiri, bukan sebuah pengukuran. File status yang dipulihkan menunjukkan seseorang menyela, memberikan izin, dan meminta materi.

• Tidak ditemukan bukti di mana pun oleh artikel ini: bahwa intrusi pelanggan pra-buletin dan ruang kerja operator adalah pelaku yang sama; tujuan akses; jumlah korban nyata di luar 395 organisasi yang disebutkan namanya, yang menurut GreyNoise sendiri tidak lengkap karena sebagian korban tidak dapat dikaitkan dengan organisasi yang disebutkan namanya.

Apa yang berubah setelahnya

Respons PaperCut adalah bagian catatan yang paling lengkap terdokumentasi, karena vendor menerbitkan riwayat patchnya sendiri. Buletin itu terbit pada 27 Agustus 2026; patch darurat pertama menyusul dalam hitungan jam untuk versi 25 dan 26; Rilis 2 hadir pada malam yang sama dengan penguatan tambahan yang dikembangkan bersama Huntress dan watchTowr dan diperluas ke versi 24; Rilis 3 hadir pada 1 September 2026, mengakumulasi perbaikan sebelumnya dan menutup vektor serangan lebih lanjut "yang telah kami amati dieksploitasi secara langsung di lapangan". Pada 10 September 2026, build darurat digantikan oleh rilis pemeliharaan yang telah diuji sepenuhnya, PaperCut NG/MF 26.0.5, 25.0.13, dan 24.1.10. Versi 23 dan yang lebih lama tidak mendapatkan patch sama sekali dan harus beralih ke lini yang didukung.

Mitigasi yang paling gencar didorong oleh vendor bukanlah sebuah patch: batasi akses web ke Application Server hanya pada alamat tepercaya, menggunakan aturan firewall atau kontrol akses jaringan, "bahkan jika Anda belum mengamati aktivitas yang mencurigakan." Untuk deteksi, vendor menerbitkan indikator yang cukup spesifik untuk dijadikan dasar pencarian — peringatan yang melibatkan aktivitas pasca-eksploitasi dari pc-app.exe, file server.log yang hilang atau terpotong, dan dua string log, "ERROR No suitable driver found for jdbc:no:x" dan "ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST". Panduan Blackpoint menambahkan cakupan di luar host PaperCut: tinjau pembuatan akun dengan hak istimewa, akses kredensial, penemuan Active Directory, dan pivoting internal.

Nilai dari langkah-langkah tersebut sebagian sudah tercatat. Versi yang telah ditambal ditambah firewall aplikasi web menghentikan swarm di tempat keduanya ada, itulah sebabnya kesimpulan GreyNoise sendiri adalah bahwa "pengerasan tradisional memang memiliki dampak positif". Poin yang lebih sulit adalah poin yang ditekankan oleh garis waktu: tambalan sudah ada sebelum agen mulai, dan kampanye berjalan terhadap server yang belum menerapkannya dalam hitungan hari setelah publikasi.

Apa yang masih belum dijelaskan oleh bagian awal

Catatan tersebut mendokumentasikan dimulainya kampanye lebih baik daripada hampir semua intrusi sebanding — file kerja operator itu sendiri, dengan stempel waktu hingga detik, tetap bertahan dalam tulisan publik — namun tetap tidak dapat menjelaskan untuk apa kampanye itu dilakukan. Belum ada catatan tebusan, pemerasan pencurian data, maupun penyerahan ke kelompok lain yang terkonfirmasi; akses-akses tersebut konsisten dengan aktivitas akses awal, yang merupakan karakterisasi Blackpoint dan bukan temuan. PaperCut telah menjanjikan rekonstruksi teknis lengkap dan belum mempublikasikannya per 29 Oktober 2026.

Yang menopang peringkat keyakinan A arsip itu lebih sempit dan lebih kokoh daripada angka-angka yang tampil di judul: dua kerentanan nyata, vendor yang mengonfirmasi eksploitasi produknya sendiri, regulator yang mencantumkan kedua bug sebagai telah dieksploitasi, dan riwayat patch yang dapat dibaca siapa saja. Swarm adalah bagian yang menjadikan ini entri yang menjadi tonggak. Bukti untuk swarm adalah direktori yang dibiarkan dapat diakses oleh operatornya, dan telemetri satu perusahaan — yang layak dikatakan secara lugas, karena perbedaan antara kedua jenis klaim itu adalah perbedaan antara apa yang dapat ditindaklanjuti oleh pihak bertahan dan apa yang harus diterima oleh pihak bertahan atas dasar kepercayaan.