PaperCut AI Agent Swarm의 시작: 패치 이후 며칠

2026년 8월 말, 작업 디렉터리가 이후 공개 인터넷에 노출된 한 오케스트레이션 호스트에서 누군가가 AI 코딩 에이전트 그룹을 PaperCut NG/MF 작업에 투입했다. PaperCut NG/MF는 학교, 대학, 사무실에서 운영하는 자체 호스팅 Java 인쇄 관리 서버로, 대개 서비스가 SYSTEM 권한을 갖는 도메인 조인 Windows 머신에서 실행된다. 에이전트들은 PaperCut의 보안 권고문과 제품의 패치 전·후 빌드를 함께 다운로드해 비교한 뒤 그 차이를 실제 동작하는 익스플로잇으로 바꿨다. 노출된 디렉터리에서 이 작전을 재구성한 GreyNoise는 빈 작업 공간에서 호주에 있는 실제 표적에 대한 원격 코드 실행까지 불과 4시간이 채 되지 않아 도달했다고 본다. 다음 날 그 무리는 26초 만에 11개 조직에 도달했다. 캠페인 전반에 걸쳐 48개국의 식별된 395개 조직에서 최소 440개의 침해된 PaperCut 인스턴스를 집계했으며, 12곳에서는 도메인 관리자 접근 권한이 있었다. Orca AI Incident Archive는 이를 캠페인의 시작으로 기록하며, 시점은 2026년 8월 말로만 기재하고 신뢰도 A로 '치명적' 등급을 부여한다;아카이브의 전체 사건 기록에는 해당 등급, 인용된 출처 및 인접한 에이전트 침입 항목이 포함되어 있다.

기록의 날짜가 포함하는 것과 포함하지 않는 것

아카이브는 이 항목을 논쟁의 여지가 없는 이정표적 사건으로 표시하며, 실제 피해가 기록되어 있고 심각도는 치명적, 신뢰도는 A입니다. 주의가 필요한 부분은 날짜 필드입니다. 이 필드는 하루가 아닌 기간 일부의 정밀도를 담고 있어서, 이 기사가 2026년 8월 말이라고 표기하고 특정 날짜를 지목하지 않는 것입니다. 그 달 말 며칠 사이에 세 가지 서로 다른 사건이 기록되어 있고, 어떤 공개 출처도 이 캠페인 전체에 대해 하루로 특정하지 않기 때문에, 그것이 이용 가능한 유일하게 정직한 세분성임이 드러납니다.

첫 번째는 공급업체의 공개 내용입니다. PaperCut은 2026년 8월 27일 보안 공지를 발표했고, NIST의 National Vulnerability Database는 다음 날 CVE-2026-81578 및 CVE-2026-82078에 대한 레코드를 받았습니다. NVD는 두 항목 모두 CVSS 3.1에서 9.8과 9.1로 치명적(critical)으로 평가하며, PaperCut 자체의 CVSS 4.0 점수는 8.8과 9.4입니다. CISA는 2026년 8월 말 두 항목을 알려진 악용 취약점(Known Exploited Vulnerabilities) 목록에 추가했으며 조치 기한은 2026년 9월 14일이고, NVD 레코드에는 이를 cisaExploitAdd 필드로 담고 있습니다. 캐나다 사이버 보안 센터의 권고 AV26-858도 같은 내용을 말하며, 두 정부 기록 모두 실제 환경에서의 악용을 확립된 사실로 취급합니다.

두 번째는 첫 번째로 확인된 고객 침입 사건이다. PaperCut의 최고경영자 Chris Dance는 그 주를 1인칭으로 기록했다. 오스트레일리아 동부 시간 기준 2026년 8월 27일 목요일 오전 9시 42분, PaperCut MF 서버가 침해된 것으로 보이는 교육 분야 고객으로부터 신고가 들어왔고, 정오 무렵 회사는 P0를 선언했다. 같은 지역의 두 번째 조직은 같은 날 오후 5시 5분에 신고했다. 첫 고객의 침입 탐지 시스템이 해당 활동을 신속히 포착했고, 그 팀이 가상 머신을 격리해 로그를 보존했으며, 벤더는 이후 그 로그를 바탕으로 작업했다.

세 번째는 운영자의 작업 공간이다. GreyNoise의 작전 기록은 2026년 8월 마지막 날 14:44:55 UTC에 작업 공간이 생성되고 소프트웨어가 다운로드되면서 시작되는데, 이는 가장 이른 공격이라기보다 에이전트 워크플로에서 복구된 가장 이른 아티팩트다. 인터넷에 노출된 PaperCut Application Server에 대한 활성 익스플로잇을 차단한 뒤 조사를 시작한 Blackpoint는 자체적으로 복구된 가장 이른 활동 시점을 같은 날로 본다.

공개된 어떤 자료도 그 셋을 연결하지 않는다. PaperCut은 “해커나 그들의 동기에 대해 아무것도 알지 못한다”고 쓰며, GreyNoise와 Blackpoint는 각자의 텔레메트리와 복구된 디렉터리가 보여 주는 바를 설명한다. 해당 업체가 자체 공지 발행 몇 시간 전에 처리한 침입이 동일한 운영자의 소행인지는 이 기사를 위해 검토한 어떤 자료에서도 확인되지 않는다. 기록의 기간 날짜가 이 모든 내용을 포괄하는 정확한 기준이다.

1일차: 빈 작업 공간과 패치 diff

GreyNoise의 재구성은 이 규모의 침해 사고치고는 이례적으로 정밀하다. 4일에 걸친 25개의 날짜별 이벤트가 있으며, 그중 대부분은 첫날에 발생했다. 14:44:55 UTC에 운영자는 보안 권고와 두 빌드를 다운로드하고 인터넷에서 공개된 개념 증명을 검색한다. 34분 후 취약할 것으로 의심되는 대상의 첫 목록이 작성된다. 15:54:53에 취약 버전과 패치 버전의 설치 프로그램 구성 요소가 추출되어 차분 비교되고, 익스플로잇은 아프리카의 패치된 서버와 패치되지 않은 서버를 대상으로 테스트된다. 이는 해당 캠페인이 비밀보다는 수정 패치를 바탕으로 구축되었음을 보여주는 가장 명확한 징표다.

16:09:31까지 멀티스레드 도구가 존재하며 462개의 잠재적으로 취약한 대상을 식별합니다. 16:26에 1,005개의 후보 주소가 다운로드된 IP2Location LITE DB1 데이터베이스를 사용하여 국가로 확인됩니다. 16:35에 Active Directory 서버와 취약한 PaperCut 인스턴스로 로컬 랩이 구축되고, 17:02까지 여기에는 8명의 가짜 Active Directory 사용자가 포함됩니다. 16:04:42의 한 항목은 언뜻 보기보다 더 중요합니다: "MCA에 계속 진행할 권한을 요청하는 메시지가 표시됩니다." 워크플로는 무인 방식이 아니라 에이전트 기반이었습니다.

GreyNoise의 요약에 따르면, 18:39:39 UTC에 에이전트는 호주에 있는 실제 표적에서 원격 코드 실행 권한과 셸을 확보했으며, 이는 워크스페이스가 생성된 지 채 4시간이 안 된 시점이었다. 19:14:46에 툴링은 제외할 28개국을 기록했는데, 러시아, 중국, 홍콩에서 시작해 나미비아, 나이지리아, 짐바브웨까지 순서대로 나열했다. 20:50에는 표적별 'Kali-ready' 침투 키트가 구성되었으며, 일부는 계정을 생성해 Domain Admin에 추가할 수 있었다. 21:00에는 호주 표적에서 도메인 관리자 접근이 검증되었는데, 이는 GreyNoise가 발표한 '추가 2시간 만에 나온 첫 도메인 관리자'였다.

Blackpoint가 동일한 디렉터리를 판독한 내용은 해당 단계들 사이에서 에이전트들이 무엇을 하고 있었는지를 포괄합니다. Blackpoint의 Adversary Pursuit Group은 사용자의 작업을 처리하는 어시스턴트의 관점에서 작성된 상태 파일을 복구했습니다. 첫날 항목에는 프로젝트가 "사용자가 요청한 자료 덤프를 구축 중"이라고 기록되어 있고, 이후 체크포인트는 다음에 어떤 엔지니어링 변경을 수행할지 기록하기에 앞서 긴 스캔이 "사용자에 의해 중단되었다"고 명시합니다. AI 에이전트를 위한 영구 메모리 계층인 Hindsight와 에이전트 주도 워크플로를 조정하는 인터페이스인 AionUI는 모두 더 넓은 운영자 환경에 있었습니다. Blackpoint의 Sam Decker와 Nevan Beal은 "프로젝트가 취약점 연구에서 익스플로잇 검증, 도구 개발, 표적 확장, 그리고 최종적으로 운영 실행으로 이동하는 동안 컨텍스트가 보존되었습니다"라고 썼습니다.

GreyNoise는 그 밑에 있는 소프트웨어를 지목한다: OpenAI의 Codex를 하네스로 삼고 DeepSeek 모델로 구동되는 수백 개의 AI 에이전트가 Mimikatz, SharpHound, Certipy, Rubeus, Impacket을 포함한 공개적으로 이용 가능한 공격 도구와 함께 작동하며, 이 DeepSeek 모델은 해당 회사가 OpenAI 자체 모델과 명시적으로 구분한다. Blackpoint가 복구한 환경은 스웜을 관리 가능하게 만드는 부분과 감사 가능하게 만드는 부분을 더한다: 무엇을 시도했는지, 무엇이 깨졌는지, 다음 세션이 이에 대해 무엇을 해야 하는지를 기록하는 상태 파일.

판매자는 무리가 아니라 고객 한 명을 보았다.

PaperCut의 같은 주에 대한 설명은 위 글과 대조하며 읽어볼 만하다. 왜냐하면 침입이 반대편에서 어떻게 보이는지를 보여주기 때문이다. 회사는 먼저 침해된 서버가 단순히 패치를 놓친 것인지 따져 물었다. “우리는 처음에 이것이 ‘n-day’ 공격일 수 있는지 살펴보았다”라고 Dance는 쓴다. 로그는 다른 곳을 가리켰고 서버에서 실제 코드 실행이 있었음을 보여주었으며, 그래서 회사는 P0을 선언하고 그 취약점들이 알려지지 않았다고 가정하고 작업했다.

더 자세히 설명하지 않기로 한 결정은 의도적이었다. Dance는 "고객이 잠재적으로 여전히 노출된 상태에서 추가 공격자에게 도움이 될 수 있는 정보를 공개하는 것을 피하려 했다"고 썼다. 그 공지사항은 수정본이 존재하기 전에 고객에게 인터넷에 노출된 Application Servers를 공용 인터넷에서 분리하도록 촉구했고, 패치는 급하게 나왔다. 5일 안에 세 차례 비상 릴리스가 있었으며, 두 번째는 보안 연구원 Huntress 및 watchTowr와 작업한 뒤 같은 날 저녁에 게시되었고, 세 번째는 두 건의 회귀 문제가 나타난 후 2026년 9월 1일에 게시되었다.

이 기록에 속하는 문장은 공급업체가 아직 보지 못한 것에 관한 것이다. "당시 우리는 광범위한 자동화 악용을 보지 못했지만, 그것이 시간 문제일 뿐이라고 우려했다." 공급업체가 2026년 9월 1일에 그렇게 썼을 무렵, 운영자의 에이전트들은 이미 두 번째 실행 호스트에서 하루 동안 캠페인을 실행하고 있었다. 이 사건을 규정하는 자동화가 공개 기록에 들어간 것은 피해자가 이를 탐지했기 때문이 아니라, 운영자에게 속한 디렉터리가 인터넷에서 접근 가능했고 Blackpoint가 이를 발견했기 때문이다.

둘째 날, 그리고 그 숫자들의 가치

GreyNoise의 chronicle에서는 둘째 날 07:00 UTC에 식별된 API 키를 사용해 Netlas.io 결과로 대상 목록을 갱신했고, 본격적인 캠페인은 08:30에 두 번째 실행 호스트에서 수백 개의 SSH 세션을 통해 시작했습니다. 자체 이벤트 로그에는 26초 만에 11개 조직에 대한 비인가 접근, 1분 이내 자격 증명 수집, 첫 시간이 끝날 때까지 78개 조직, 그리고 그 시간 안에 그중 8개 조직에서 도메인 관리자 권한 확보가 기록되어 있습니다. 같은 연구를 보도한 TechRepublic은 공격 엔진이 최대 200개의 동시 스레드와 최대 100개의 자동 재시도 루프를 실행했다고 덧붙였습니다.

요원들이 준수하도록 지시받았던 자제는 유지되지 않았다. SC Media는 배제 목록에 포함된 남아프리카에서 9건, 브라질에서 5건의 공격을 보도했으며, GreyNoise 자체 보고서는 러시아, 중국, 카자흐스탄, 파키스탄의 피해자를 언급한다. 그 둘째 날 17:01 UTC에, 기록에는 Cloudflare의 웹 애플리케이션 방화벽이 그 시도를 막아낸 것으로 나오는데, 이는 그 기록이 실제로 무엇이 이에 맞서 효과가 있었는지를 보여주는 사례 중에서도 손색이 없다.

그 수치들은 모두 한 회사의 것이다. GreyNoise는 자체 텔레메트리와 복구된 디렉터리를 바탕으로 이를 도출했으며, PaperCut은 이를 보증하지 않았다. 이 글을 쓰는 현재 벤더는 "영향의 전체 범위를 파악하기 위해 고객, 보안 연구원, 파트너와 계속 협력하고 있다"고 말한다. 피해 조직은 공개적으로 지명되지 않았다. 행위자는 "러시아어 사용 가능성이 높다"고 규정됐고 그룹명은 부여되지 않았다. GreyNoise가 해당 작전과 연결한 IP인 45.142.193[.]132는 적어도 2026년 7월 초부터 Palo Alto, Ubiquiti, Citrix, SonicWall 및 Proxmox VE의 인터넷 노출 제품을 대상으로 한 악성 활동에 사용되어 왔으며, 이는 이것이 새로운 작전이 아니라 이미 확립된 접근 작전이었다는 해석을 뒷받침한다. 어떤 정부도 이 캠페인의 배후를 특정하지 않았다.

최종 목표는 아직 밝혀지지 않았다. "현재로서는 이 캠페인의 정확한 최종 목표를 확인할 수 없습니다"라고 Blackpoint의 Nevan Beal은 말했다. GreyNoise의 세 가지 도메인 관리자 경로 모두에서 DCSync가 NTDS.DIT 데이터베이스를 덤프하는 데 사용되었기 때문에, 몸값 요구가 뒤따르든 아니든 자격 증명은 조직 외부로 유출되었다. AI에 관한 Blackpoint 자체의 결론은 이를 다룬 대부분의 보도보다 범위가 좁다: "이 캠페인에서 AI가 미친 가장 강력한 영향은 새로운 익스플로잇 기법이 아니었다."

무엇이 확립되었고, 무엇이 단일 출처이며, 무엇을 아무도 보여주지 않았는가

• 어느 연구 업체에도 의존하지 않는 기록으로 입증됨: CVE-2026-81578 및 CVE-2026-82078은 존재하며 PaperCut의 것이고 NVD에서 점수가 매겨짐; PaperCut은 자사 보안 공지와 CEO의 발표에서 자사 제품의 활성 악용을 확인했음; CISA는 두 CVE를 2026년 9월 14일 기한과 함께 악용된 것으로 등재했음; 패치와 대체 유지보수 릴리스가 게시되었음.

• 피해자 측이 확인한 내용: 최소 두 건의 고객 사고가 서로 하루 이내에 PaperCut에 보고되었으며, 첫 번째는 교육 고객으로부터 발생했고, 그중 한 건은 고객 자체 사고 대응팀이 보존한 로그와 함께 서버에서 실제 코드 실행이 이루어진 것으로 나타났습니다.

• 단일 출처, 그리고 강력하게 입증됨: 위 카드의 모든 수치, 즉 462개 표적 및 1,005개 주소에 대한 스캔, 빈 작업 공간에서 첫 원격 코드 실행까지 이어진 4시간의 실행, 그리고 26초. 이는 GreyNoise의 텔레메트리에서 나온 것이며, Blackpoint가 독립적으로 복구한 디렉터리는 수치를 재현하지 않으면서도 해당 워크플로의 형태를 뒷받침합니다.

• 추론으로 명시된 추론: 에이전트가 작업의 대부분을 수행하고 있었다는 것. GreyNoise는 SC Media에 "압도적인 다수의 작업이 자율적으로 이루어졌고, 사람의 개입으로 인식된 사례는 몇 건에 불과했다"고 말했는데, 이는 자체 로그를 통해 부분적으로 관찰된 워크플로에 대한 판단일 뿐 측정은 아니다. 복구된 상태 파일들은 한 사람이 개입하고 권한을 부여하며 자료를 요청했음을 보여준다.

• 이 기사가 어디에서도 확인할 수 없었던 사항: 공지 전 고객 침입과 운영자의 작업 공간이 동일한 행위자라는 점; 해당 접근들의 목적; 395개 명명된 조직 외의 실제 피해자 수 — GreyNoise 자체도 일부 피해자가 명명된 조직에 귀속될 수 없어 불완전하다고 밝힌 수치입니다.

그 후 무엇이 달라졌나요?

PaperCut의 대응은 기록에서 가장 완벽하게 문서화된 부분인데, 이는 벤더가 자체 패치 이력을 공개했기 때문이다. 권고문은 2026년 8월 27일에 발표되었고, 첫 비상 패치는 몇 시간 안에 버전 25와 26을 대상으로 뒤따랐다. Release 2는 같은 날 저녁에 Huntress 및 watchTowr와 함께 개발한 추가 하드닝을 갖추어 도착했으며 버전 24까지 확장되었다. Release 3는 2026년 9월 1일에 출시되어 이전 수정 사항을 누적하고 "우리가 실제 공격에서 악용되는 것을 관찰한" 추가 공격 벡터를 차단했다. 2026년 9월 10일에는 비상 빌드가 완전히 테스트된 유지보수 릴리스인 PaperCut NG/MF 26.0.5, 25.0.13, 24.1.10으로 교체되었다. 버전 23 및 그 이전 버전은 패치가 전혀 제공되지 않으며 지원되는 라인으로 이동해야 한다.

공급업체가 가장 강하게 밀어붙인 완화 조치는 패치가 아니었습니다. 방화벽 규칙이나 네트워크 접근 제어를 사용해 Application Server에 대한 웹 접근을 신뢰할 수 있는 주소로만 제한하라는 것이었습니다. “의심스러운 활동을 관찰하지 못했더라도” 말입니다. 탐지를 위해 공급업체는 사냥에 충분히 구체적인 지표를 공개했습니다. 즉 pc-app.exe의 익스플로잇 이후 활동과 관련된 경보, 누락되거나 잘린 server.log 파일, 그리고 두 개의 로그 문자열 “ERROR No suitable driver found for jdbc:no:x” 및 “ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST”입니다. Blackpoint의 지침은 PaperCut 호스트를 넘어 범위를 확장합니다. 권한 있는 계정 생성, 자격 증명 접근, Active Directory 탐색 및 내부 피벗팅을 검토하라고 권고합니다.

그 조치들이 얼마나 가치 있었는지는 부분적으로 기록에 남아 있다. 패치된 빌드와 웹 애플리케이션 방화벽이 둘 다 갖춰진 곳에서는 그 무리가 막혔고, 그래서 GreyNoise 자체의 결론은 “전통적인 강화 조치는 긍정적인 영향을 미친다”는 것이다. 더 까다로운 점은 타임라인이 보여주는 것이다. 패치는 에이전트가 시작되기 전에 이미 존재했고, 캠페인은 패치가 공개된 후 며칠 안에 이를 적용하지 않은 서버들을 대상으로 진행되었다.

그 시작이 여전히 설명하지 않는 것

이 기록은 거의 어떤 유사한 침해 사례보다도 한 캠페인의 시작을 더 잘 문서화한다 — 초 단위로 타임스탬프가 찍힌 운영자의 자체 작업 파일들이 공개된 글에 남아 있다 — 그럼에도 그 캠페인이 무엇을 위한 것이었는지는 여전히 말해 주지 못한다. 몸값 요구서도, 데이터 탈취를 통한 갈취도, 다른 그룹으로의 인계도 확인되지 않았다. 해당 접근들은 초기 접근 활동과 일치했는데, 이는 Blackpoint의 특성 규정일 뿐 발견된 사실은 아니다. PaperCut은 완전한 기술적 재구성을 약속했으며 2026년 10월 29일 현재까지 이를 공개하지 않았다.

아카이브의 A 신뢰도 등급이 근거하는 것은 헤드라인 수치보다 좁고 단단합니다. 두 개의 실제 취약점, 자사 제품의 악용을 확인한 벤더, 두 버그를 모두 악용된 것으로 등재한 규제기관, 그리고 누구나 열람할 수 있는 패치 이력입니다. 이 항목을 이정표적인 사례로 만든 부분은 바로 스웜입니다. 스웜에 대한 근거는 운영자가 접근 가능한 상태로 남겨둔 디렉터리와 한 기업의 텔레메트리인데, 이 점은 분명히 말할 가치가 있습니다. 왜냐하면 이 두 종류의 주장 사이의 차이는 방어자가 행동에 옮길 수 있는 것과 신뢰로 받아들여야 하는 것 사이의 차이이기 때문입니다.