PaperCut AIエージェント・スワームはいかにして始まったか：パッチ適用から数日後

2026年8月下旬、後に作業ディレクトリがオープンインターネットへ露出することになるオーケストレーション用ホスト上で、誰かがAIコーディングエージェントの一群にPaperCut NG/MFへの作業を開始させた。PaperCut NG/MFは、学校、大学、企業オフィスが運用するセルフホスト型Javaプリント管理サーバーで、通常はサービスがSYSTEM権限を持つドメイン参加Windowsマシン上で動いている。エージェントたちはPaperCutのセキュリティアドバイザリと、パッチ適用前・適用後の製品ビルドをダウンロードし、差分を比較して、その違いを実際に動作するエクスプロイトに仕立て上げた。GreyNoiseは、その露出したディレクトリからこの作戦を再構成し、空のワークスペースからオーストラリアの実標的に対するリモートコード実行まで、わずか4時間弱で到達したとしている。翌日には、その群れは26秒で11組織に到達した。キャンペーン全体では、48か国、特定された395組織において少なくとも440台の侵害されたPaperCutインスタンスを数え、そのうち12件ではドメイン管理者アクセスが確認された。Orca AI Incident Archiveはこれをキャンペーンの幕開けとして記録し、日付を2026年8月下旬とだけ特定し、A信頼度で重大と格付けしている。アーカイブの完全なインシデント記録には、その格付け、引用元、および隣接するエージェント侵入の項目が含まれています

その記録の日付が対象とする範囲と、対象としない範囲

アーカイブはこの項目を画期的なものとして記録しており、係争中ではなく、実際の被害が記録され、重大度はcritical、信頼度はAとなっている。注意を要するのはその日付フィールドだ。日単位ではなく、期間の一部という精度を持つため、この記事では2026年8月下旬と記し、特定の日付を挙げていない。そしてこれは、利用可能な唯一の誠実な粒度であることが分かる。というのも、その月末の数日間に3つの異なる事象が記録されており、公表されたどの資料も、この一連の出来事全体について1つの日付を確定していないからだ。

まずベンダーの開示です。PaperCutは2026年8月27日にセキュリティ速報を公開し、NISTのNational Vulnerability Databaseは翌日にCVE-2026-81578とCVE-2026-82078のレコードを受理しました。NVDは両方をCVSS 3.1でクリティカルと評価し、スコアは9.8と9.1です。PaperCut自身のCVSS 4.0スコアは8.8と9.4です。CISAは2026年8月末に両方をKnown Exploited Vulnerabilitiesカタログに追加し、修復期限を2026年9月14日としました。NVDのレコードではこれをcisaExploitAddフィールドとして保持しています。カナダサイバーセキュリティセンターのアドバイザリAV26-858も同様の内容で、両政府の記録はいずれも実環境での悪用が確認済みであると扱っています。

2件目は、最初に確認された顧客への侵入です。PaperCutの最高経営責任者（CEO）クリス・ダンス氏は、その週について一人称の記録を残しています。2026年8月27日木曜日のオーストラリア東部時間午前9時42分、PaperCut MFサーバーが侵害された可能性がある教育機関の顧客から報告が届き、正午までに同社はP0を宣言しました。同日午後5時5分には、同じ地域の別組織からも報告がありました。最初の顧客の侵入検知システムがこの活動を迅速に捕捉し、顧客のチームが仮想マシンを隔離したことで、ベンダーがその後作業に使用したログが保存されました。

3つ目はオペレーターのワークスペースです。GreyNoiseによるこの作戦の記録は、2026年8月の最終日、14:44:55 UTCにワークスペースが作成され、ソフトウェアがダウンロードされた時点から始まります。これはエージェントのワークフローに関して復元された最も早い痕跡であり、攻撃の最も早い時点ではありません。Blackpointは、インターネットに公開されたPaperCut Application Serverへの実際の悪用を封じ込めた後に調査を開始し、同社が復元した最も早い活動を同じ日付としています。

公表された資料のうち、それら三つを結びつけているものはない。PaperCutは「ハッカーやその動機について何も知らない」と記している。GreyNoiseとBlackpointは、自社のテレメトリと復元されたディレクトリが示す内容を説明している。ベンダーが自社の速報の数時間前に処理した侵害が同じ運営者によるものかどうかは、この記事のために参照したどの情報源でも確立されていない。そのすべてを押さえるには、記録の期間日付が正確な方法である。

1日目：空のワークスペースとパッチ差分

GreyNoiseの再構成は、これほどの規模の侵入としては異例なほど細密である。4日間にわたる日付入りのイベント25件、その大半は最初の日に集中している。14:44:55 UTC、オペレーターはアドバイザリと両方のビルドをダウンロードし、公開された概念実証（PoC）をインターネットで検索する。34分後には、脆弱な可能性のある標的の最初のリストができている。15:54:53には、脆弱版とパッチ適用版のインストーラーコンポーネントが抽出され、差分が比較され、エクスプロイトがアフリカにあるパッチ適用済みおよび未適用のサーバーに対してテストされる。これは、このキャンペーンが秘密ではなく修正に基づいて構築されたことを示す最も明確な兆候である。

16:09:31 までにマルチスレッドツールが存在し、潜在的に脆弱な標的を 462 件特定する。16:26 に 1,005 件の候補アドレスが、ダウンロード済みの IP2Location LITE DB1 データベースを用いて国へ解決される。16:35 に Active Directory サーバーと脆弱な PaperCut インスタンスを備えたローカルラボが構築され、17:02 までに 8 人の偽の Active Directory ユーザーを保持する。16:04:42 の 1 件の記録は一見した以上に重要である。「MCA は続行の許可を求められる。」ワークフローはエージェント型であり、無人ではなかった。

UTC 18:39:39 に、エージェントはオーストラリアの実ターゲット上でリモートコード実行とシェルを取得している——GreyNoiseのまとめによれば、ワークスペースが作成されてから4時間弱後。19:14:46 に、ツール群は除外する28か国を書き留め、ロシア、中国、香港からナミビア、ナイジェリア、ジンバブエまで順に列挙する。20:50 にはターゲットごとの「Kali対応」侵入キットが組み立てられ、一部はアカウントを作成してDomain Adminに追加できる。21:00 にオーストラリアのターゲットでドメイン管理者アクセスが検証される。これはGreyNoiseが公表する「さらに2時間で最初のドメイン管理者」に当たる。

Blackpointによる同じディレクトリの解析は、それらの中間ステップでエージェントが何をしていたかを対象としている。同社のAdversary Pursuit Groupは、ユーザーのタスクを処理するアシスタントの視点で書かれた状態ファイルを復元した。初日のエントリには、プロジェクトが「ユーザーから要求されたマテリアルダンプを構築中」と記録されており、後のチェックポイントでは、次にどのエンジニアリング変更を加えるかを記録する前に、長時間のスキャンが「ユーザーによって中断された」と記されている。AIエージェント向けの永続メモリ層であるHindsightと、エージェント駆動ワークフローを調整するインターフェースであるAionUIは、どちらもより広範なオペレーター環境に存在していた。「プロジェクトが脆弱性調査からエクスプロイト検証、ツール開発、標的拡大、そして最終的には運用実行へと移行する中で、コンテキストは保持されていた」とBlackpointのSam DeckerとNevan Bealは書いた。

GreyNoiseはその下にあるソフトウェアを名指ししている。OpenAIのCodexをハーネスとし、DeepSeekモデルを搭載した数百のAIエージェントが、Mimikatz、SharpHound、Certipy、Rubeus、Impacketを含む公開の攻撃ツールと連携して動作する。同社はこのDeepSeekモデルをOpenAI自社のモデルとは明確に区別している。Blackpointが復元した環境は、スウォームを管理可能にする部分と監査可能にする部分を追加している。すなわち、何が試され、何が壊れ、次のセッションでそれにどう対応すべきかを記録する状態ファイルである。

ベンダーが見たのは群れではなく、一人の顧客だった

PaperCutの同じ週についての説明は、上の説明と突き合わせて読む価値がある。侵入が反対側からどのように見えるかを描いているからだ。同社はまず、侵害されたサーバーが単にパッチを適用し逃しただけなのかどうかを検討した。「当初は、これが『n-day』攻撃なのではないかと検討しました」とDance氏は書いている。ログは別の方向を指し示し、サーバー上で実際にコードが実行されたことを示していたため、同社はP0を宣言し、脆弱性が未知のものであるとの前提で作業を進めた。

より多くを説明しないというその決定は意図的なものだった。「顧客が潜在的にまだ危険にさらされている間に、さらなる攻撃者の助けになり得る情報を公開しないようにしていたのです」とダンスは書いている。この告知は、修正版が存在する前に顧客に対し、インターネットに面したApplication Serverを公開インターネットから切り離すよう促し、パッチは慌ただしく投入された。5日間で3回の緊急リリースで、2回目はセキュリティ研究者のHuntressとwatchTowrとの作業の直後、同じ日の夜に公開され、3回目は2つのリグレッションが表面化した後の2026年9月1日だった。

この記録に属する文は、ベンダーがまだ目にしていなかった事柄について述べている。「当時、大規模な自動化された悪用は確認していなかったものの、それが時間の問題にすぎないのではないかと懸念していた」。ベンダーが2026年9月1日にそう記した時点で、攻撃者のエージェントはすでに1日を費やして、2台目の実行ホストからこのキャンペーンを実行していた。このインシデントを特徴づける自動化が公的記録に入ったのは、被害者がそれを検知したからではなく、攻撃者に属するディレクトリがインターネットから到達可能であり、Blackpointがそれを見つけたからである。

2日目、そしてその数字にはどんな価値があるのか

GreyNoiseの記録では、2日目の07:00 UTCに、特定されたAPIキーを使用してNetlas.ioの結果でターゲットリストが更新され、キャンペーン本体は08:30に2番目の実行ホストから数百のSSHセッションを介して開始された。同社のイベントログには、26秒で11組織への不正アクセス、1分以内の認証情報窃取、最初の1時間が終わるまでに78組織、その1時間以内にそのうち8組織でのドメイン管理者権限の取得と記されている。同じ研究を報じたTechRepublicは、攻撃エンジンが最大200の同時スレッドと最大100の自動再試行ループで稼働したと付け加えている。

エージェントたちが守るよう指示されていた自制は保たれなかった。SC Mediaは、いずれも除外リストに載っている南アフリカでの9件、ブラジルでの5件の攻撃を報じ、GreyNoise自身の報告書もロシア、中国、カザフスタン、パキスタンの被害者に言及している。その2日目の17:01 UTC、記録にはCloudflareのWebアプリケーションファイアウォールがその試みを撃退したと記されており、これは実際に何がそれに対して有効だったかを示す、この記録中でも最良の実例といえる。

それらの数字はすべて一社のものだ。GreyNoiseは自社のテレメトリーと復元されたディレクトリからそれらを導き出しており、PaperCutはそれらを承認していない。本稿執筆時点で、ベンダーは「顧客、セキュリティ研究者、パートナーと協力して影響の全容を把握するため、まだ作業を続けている」と述べている。被害組織は公に名指しされていない。攻撃主体は「おそらくロシア語話者」と特徴づけられ、グループ名は付与されていない。GreyNoiseがこの作戦に結び付けるIP、45.142.193[.]132は、少なくとも2026年7月初旬以降、Palo Alto、Ubiquiti、Citrix、SonicWall、Proxmox VEのインターネット公開製品に対する悪意ある活動に使われており、これはこれが新規のものではなく既存のアクセス作戦だったとの解釈を裏付ける。いかなる政府もこのキャンペーンを帰属させていない。

最終目的は未確定だ。「現時点では、このキャンペーンの正確な最終目的を確認することはできません」とBlackpointのNevan Beal氏は述べた。GreyNoiseのドメイン管理者権限への3つの経路すべてで、DCSyncがNTDS.DITデータベースのダンプに使われていたため、身代金が支払われたかどうかにかかわらず認証情報は外部に流出した。Blackpoint自身のAIに関する結論は、この件に関する大半の報道よりも限定的だ。「このキャンペーンにおけるAIの最も強い影響は、新規のエクスプロイト手法ではなかった」。

何が確立されており、何が単一の情報源に基づいており、そして何を誰も示していないのか

• どちらの調査会社にも依存しない記録によって裏付けられています： CVE-2026-81578 と CVE-2026-82078 は存在し、PaperCut に属し、NVD によって採点されています。PaperCut は自社の公告および最高経営責任者の説明の中で、自社製品が実際に悪用されていることを確認しました。CISA は両 CVE を悪用済みとして掲載し、2026年9月14日を期限としました。パッチおよび置き換え用のメンテナンスリリースが公開されました。

• 被害者側が確認した内容：少なくとも2件の顧客インシデントが互いに1日以内にPaperCutへ報告され、最初の1件は教育機関の顧客からのもので、そのうちの1件では、顧客自身のインシデント対応チームが保存したログとともに、サーバー上で実際のコード実行が確認されました。

• 単一の情報源ながら、強力に裏付けられている：上のカードに示したすべての数値、すなわち462件のターゲットと1,005件のアドレスに対するスキャン、空のワークスペースから最初のリモートコード実行に至るまでの4時間の実行、そして26秒という数字。これらはGreyNoiseのテレメトリーに由来するものであり、Blackpointが独自に復元したディレクトリは、件数こそ再現していないものの、このワークフローの形を裏付けている。

• 推論として明示されている推論：エージェントが作業の大部分を担っていたという点。GreyNoiseはSC Mediaに対し、「タスクの圧倒的大部分は自律的に行われ、人間による中断と思われるものはごく少数だった」と述べた。これは、自社のログを通じて部分的に観察されたワークフローに関する判断であり、測定ではない。復元された状態ファイルには、人が中断し、許可を与え、資料を要求していた様子が記録されている。

• 本記事が確認できた限りでは、どこにも立証されていない：速報前の顧客への侵入と運営者のワークスペースが同一の行為者であること、各アクセスの目的、名前が挙がった395組織を超える実際の被害者数（その数は、一部の被害者を名前の挙がった組織に帰属させられなかったため不完全だとGreyNoise自身が述べている）。

その後、何が変わりましたか？

PaperCutの対応は、ベンダー自身がパッチ履歴を公開しているため、記録の中で最も完全に文書化された部分である。通告は2026年8月27日に発出され、数時間以内にバージョン25および26向けの最初の緊急パッチが続いた。リリース2は同日の夜に、HuntressとwatchTowrと共同で開発した追加の強化策を伴って登場し、バージョン24にも拡張された。リリース3は2026年9月1日に到着し、それまでの修正を蓄積するとともに、「実際に悪用されているのを我々が確認した」さらなる攻撃ベクトルを塞いだ。2026年9月10日、緊急ビルドは完全にテストされたメンテナンスリリース、PaperCut NG/MF 26.0.5、25.0.13、24.1.10に置き換えられた。バージョン23以前にはパッチが一切提供されず、サポート対象のラインへ移行する必要がある。

ベンダーが最も強く推し進めた緩和策はパッチではなかった。Application ServerへのWebアクセスを、ファイアウォールルールやネットワークアクセス制御を使って信頼できるアドレスのみに制限することであり、「不審な活動を観測していなくても」実施すべきだとした。検出については、ハンティングに使えるほど具体的な指標を公開した。pc-app.exeによるポストエクスプロイト活動に関するアラート、server.logファイルの欠落や切り詰め、そして2つのログ文字列「ERROR No suitable driver found for jdbc:no:x」と「ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST」である。Blackpointのガイダンスは、PaperCutホストを越えた範囲にも目を向けさせている。特権アカウントの作成、資格情報へのアクセス、Active Directoryの探索、内部ピボットについて確認するよう促している。

それらの対策にどれほどの価値があったかは、一部は記録に残っている。パッチ適用済みのビルドとWebアプリケーションファイアウォールの両方が存在する環境では、その攻撃群は阻止された。だからこそGreyNoise自身の結論は「従来型のハードニングには確かに効果がある」というものだ。より厳しい点は、時系列が示すものだ。パッチはエージェントが活動を開始する前から存在しており、キャンペーンは、公開から数日以内にパッチを適用していなかったサーバーに対して実行された。

冒頭がまだ説明していないこと

この記録は、ほぼどの類似する侵入事例よりも、あるキャンペーンの開始をよく裏付けている。運営者自身の作業ファイルが秒単位のタイムスタンプ付きで公開の記事に残っているのだ。それでもなお、そのキャンペーンが何を目的としていたのかは分からない。身代金要求も、データ窃取による恐喝も、別のグループへの引き渡しも確認されていない。各アクセスは初期アクセス活動と整合していたが、これはBlackpointによる位置づけであり、検証済みの所見ではない。PaperCutは完全な技術的再構成を約束しており、2026年10月29日時点ではまだ公開していない。

アーカイブのA信頼度評価の根拠は、見出しの件数よりも狭く、しかもより強固だ。すなわち、2件の実在する脆弱性、自社製品の悪用を確認したベンダー、両方のバグを悪用済みとして挙げた規制当局、そして誰でも読めるパッチ履歴である。これを画期的な項目にしたのは、スワームの部分だ。スワームの証拠は、その運営者が到達可能なまま残したディレクトリと、ある1社のテレメトリである——これは率直に言っておく価値がある。なぜなら、これら2種類の主張の違いは、防御者が実際に行動できるものと、防御者が信頼するしかないものとの違いだからだ。