PaperCut AI Agent Swarm 是如何開始的：修補程式發布後數日

2026 年 8 月下旬，在一台協調主機上，其工作目錄後來暴露於公開網際網路，有人讓一群 AI 程式設計代理著手研究 PaperCut NG/MF——這是學校、大學和辦公室所運行、通常部署在已加入網域的 Windows 機器上、且服務具有 SYSTEM 權限的自架 Java 列印管理伺服器。這些代理下載了 PaperCut 的安全公告，以及該產品修補前與修補後的版本，對其進行差異比對，並將差異轉化為可用的漏洞利用程式。GreyNoise 從那個暴露的目錄重建了這起行動，指出它從空白工作區到在澳洲的一個真實目標上達成遠端程式碼執行，前後僅略低於四小時；隔天，這群代理在 26 秒內觸及 11 個組織。在整起行動中，它統計到至少 440 個遭入侵的 PaperCut 執行個體，涉及 48 個國家、395 個已識別組織，其中十二個組織具備網域管理員存取權。Orca AI Incident Archive 將此列為該行動的開端，僅將其日期定為 2026 年 8 月下旬，並以 A 級信心評為重大；該檔案庫的完整事件紀錄載有該評級、引用來源，以及相鄰的代理入侵條目。

該紀錄的日期涵蓋哪些內容，以及不涵蓋哪些內容

檔案將此條目標記為里程碑，而非有爭議，並記錄了實際傷害，嚴重程度為 critical，信心等級為 A。其日期欄位才是需要謹慎處理的部分：它帶有「期間部分」的精確度，而非某一天，因此本文寫的是 2026 年 8 月下旬，並未指定具體日期。事實證明，這是唯一誠實可用的粒度，因為在該月月底的幾天內記錄了三件不同的事，且沒有任何已發布來源為整場行動固定出單一日期。

第一項是供應商的披露。PaperCut 於 2026 年 8 月 27 日發布其安全公告，NIST 的國家漏洞資料庫（National Vulnerability Database）則於隔日收到 CVE-2026-81578 與 CVE-2026-82078 的紀錄。NVD 在 CVSS 3.1 上將兩者評為嚴重，分數分別為 9.8 與 9.1；PaperCut 自家的 CVSS 4.0 分數則為 8.8 與 9.4。CISA 於 2026 年 8 月底將兩者加入其已知遭利用漏洞（Known Exploited Vulnerabilities）目錄，修復期限為 2026 年 9 月 14 日，NVD 的紀錄以 cisaExploitAdd 欄位記載此事；加拿大網路安全中心的公告 AV26-858 也有相同說法，且兩份政府紀錄都將實際環境中的利用視為已確認的事實。

第二起事件是第一宗經確認的客戶入侵事件。PaperCut 執行長 Chris Dance 以第一人稱記述了那一週：2026 年 8 月 27 日星期四澳洲東部時間上午 9 時 42 分，一名教育客戶通報其 PaperCut MF 伺服器似乎遭入侵；到了中午，公司已宣布 P0。同一天下午 5 時 05 分，同一地區的第二個組織也通報了事件。第一家客戶的入侵偵測系統迅速捕捉到該活動，其團隊隔離了虛擬機器，因而保存了廠商隨後據以調查的日誌。

第三個是操作員的工作區。GreyNoise 對這次行動的紀錄始於 2026 年 8 月最後一天 UTC 14:44:55 建立的工作區與下載的軟體，而這是代理程式工作流程中最早被復原的痕跡，而非最早的攻擊。Blackpoint 在遏制針對一台對外開放之 PaperCut Application Server 的活躍利用行為後展開調查，並將其自身最早復原的活動定在同一天。

目前沒有任何已公開的資料能將這三者串連起來。PaperCut 寫道，它「對駭客或其動機一無所知」；GreyNoise 與 Blackpoint 則描述其遙測資料與復原的目錄所顯示的內容。該廠商在其自身公告發布前數小時所處理的入侵事件，是否屬於同一操作者，在本文章所查閱的任何來源中均未獲得證實。記錄的期間日期，是準確涵蓋這一切的方式。

第一天：空無一作的工作區與一份補丁差異

GreyNoise 的重建分析對這種規模的入侵而言異常細緻：四天內有 25 起附有日期的事件，其中大多發生在第一天。在 14:44:55 UTC，操作者下載了公告與兩個建置版本，並在網路上搜尋公開的概念驗證。三十四分鐘後，首批疑似易受攻擊目標的清單已經出現。在 15:54:53，易受攻擊版本與修補版本的安裝程式元件被擷取並進行差異比對，而攻擊程式也在非洲已修補與未修補的伺服器上進行測試——這是最明確的跡象，顯示該行動是建立在修補程式之上，而非某項祕密之上。

到 16:09:31 時，已有一個多執行緒工具存在，並識別出 462 個可能易受攻擊的目標。在 16:26，使用已下載的 IP2Location LITE DB1 資料庫，將 1,005 個候選位址解析出所在國家。在 16:35，建置了一個本地實驗室，內含 Active Directory 伺服器與一個易受攻擊的 PaperCut 執行個體；到了 17:02，該實驗室已擁有八個假的 Active Directory 使用者。來自 16:04:42 的一則記錄，其重要性比乍看之下更高：「系統提示 MCA，要求取得繼續執行的權限。」此工作流程具有代理式（agentic）特性，並非無人值守。

在 UTC 18:39:39，根據 GreyNoise 的摘要，代理程式已取得遠端程式碼執行權限，並在澳洲的一個真實目標上取得 shell；此時距離工作區建立還不到四小時。在 19:14:46，工具寫下要排除的 28 個國家，並依序列出，從俄羅斯、中國與香港，到納米比亞、奈及利亞與辛巴威。在 20:50，針對每個目標組裝「Kali-ready」入侵工具包，有些能夠建立帳號並將其加入 Domain Admin。在 21:00，於澳洲目標驗證了 Domain Admin 存取權限；這正是 GreyNoise 所公布「再過兩小時便取得第一個 Domain Admin」的案例。

Blackpoint 對同一目錄的判讀，涵蓋了代理人在這些步驟之間所做的事。其 Adversary Pursuit Group 復原了以助理視角撰寫的狀態檔案，該助理當時正逐步處理使用者的任務：首日條目記錄該專案「正在建立使用者要求的資料傾印」，而較晚的檢查點則指出，一次長時間掃描曾「被使用者中斷」，之後才記錄接下來要進行哪些工程變更。Hindsight 是 AI 代理的持久記憶層，AionUI 則是用於協調代理驅動工作流程的介面，兩者都存在於更廣泛的操作者環境中。Blackpoint 的 Sam Decker 與 Nevan Beal 寫道：「當專案從漏洞研究轉向漏洞利用驗證、工具開發、目標擴張，最終進入作戰執行時，上下文仍被保留。」

GreyNoise 點名了其底層軟體：數百個 AI 代理以 OpenAI 的 Codex 作為執行框架，並由 DeepSeek 模型驅動——該公司明確將 DeepSeek 與 OpenAI 自家模型區分開來——同時搭配公開可取得的攻擊性工具，包括 Mimikatz、SharpHound、Certipy、Rubeus 與 Impacket。Blackpoint 復原的環境則補上了讓代理群可管理、以及讓其可稽核的部分：狀態檔案記錄了曾嘗試什麼、什麼環節出了問題，以及下一個工作階段應如何處理。

那位攤販看到的是一位顧客，而不是一大群人。

PaperCut 對同一週的說法值得與上文對照閱讀，因為它描述了入侵從另一側看起來是什麼樣子。該公司起初詢問遭入侵的伺服器是否只是漏掉了一個修補程式。Dance 寫道：「我們一開始查看這是否可能是一場『n-day』攻擊。」日誌指向別處，並顯示伺服器上確實發生了程式碼執行，因此該公司將此定為 P0，並假設這些缺陷是未知的。

它決定不再多作解釋是刻意為之。Dance 寫道：「我們試圖避免在客戶可能仍暴露於風險時，發布可能協助其他攻擊者的資訊。」該公告敦促客戶在修復程式出現前，將面向網際網路的 Application Servers 從公網撤下，而修補程式則接連匆促推出：五天內三度緊急發布，第二次是在與安全研究人員 Huntress 和 watchTowr 合作後於同日晚間發布，第三次則在兩個回歸問題浮現後，於 2026 年 9 月 1 日發布。

屬於這筆記錄的那句話，是關於該廠商當時尚未看到的情況。「雖然當時我們還沒看到大規模的自動化利用，但我們擔心這只是時間問題。」等到該廠商於 2026 年 9 月 1 日寫下那句話時，操作者的代理程式早已花了一天，從第二台執行主機運行這場行動。定義這起事件的自動化之所以進入公開記錄，並不是因為有受害者偵測到它，而是因為屬於該操作者的一個目錄可從網際網路存取，而 Blackpoint 發現了它。

第二天，以及這些數字有何價值

GreyNoise 的記錄顯示，目標清單已於第二天 07:00 UTC 以 Netlas.io 的結果更新，並使用一組已識別的 API 金鑰；正式行動則於 08:30 從第二台執行主機透過數百個 SSH 工作階段展開。其自身的事件記錄寫道：26 秒內未經授權存取 11 個組織、一分鐘內收集憑證、第一小時結束時達 78 個組織，並在該小時內於其中 8 個組織取得網域管理員權限。TechRepublic 在報導同一項研究時補充，攻擊引擎最多執行 200 個並行執行緒，並有多達 100 個自動重試迴圈。

要求這些行動者遵守的克制並未維持。SC Media 報導南非有九起攻擊、巴西有五起，而這兩國都在排除清單上；GreyNoise 自己的報告則指出俄羅斯、中國、哈薩克和巴基斯坦都有受害者。在第二天的 UTC 17:01，該編年史記載 Cloudflare 的 Web 應用程式防火牆擊退了這次嘗試，這是紀錄中關於究竟什麼對它真正有效的最佳例證。

所有這些數字都出自同一家公司。GreyNoise 是從自家遙測資料與復原的目錄得出這些數字，而 PaperCut 尚未予以背書：截至本文撰寫時，該廠商表示它「仍在與客戶、資安研究人員及合作夥伴合作，以了解影響的完整範圍」。目前尚未公開指名任何受害組織。該行為者被描述為「很可能是俄語使用者」，且未獲賦予任何團體名稱；GreyNoise 將此行動關聯到的 IP——45.142.193[.]132——至少自 2026 年 7 月初起，就被用於對 Palo Alto、Ubiquiti、Citrix、SonicWall 和 Proxmox VE 的網際網路對外產品進行惡意活動，這支持了以下解讀：這是一項既有的存取行動，而非新的行動。尚無任何政府將此活動歸因於特定對象。

最終目標仍不明朗。Blackpoint 的 Nevan Beal 表示：「目前我們無法確認這場活動的確切最終目標。」在 GreyNoise 的三條網域管理員路徑中，全都使用了 DCSync 來傾印 NTDS.DIT 資料庫，因此無論後續是否伴隨勒索，憑證都已外流。Blackpoint 自己對 AI 的結論比大多數相關報導更狹隘：「這場活動中 AI 最強烈的影響並不是全新的漏洞利用技術。」

哪些是已確立的、哪些僅有單一來源，以及哪些是沒有人展示過的

• 由不依賴任何一家研究公司的紀錄所確認： CVE-2026-81578 與 CVE-2026-82078 存在、屬於 PaperCut，且由 NVD 評分；PaperCut 在其公告及執行長的陳述中確認自家產品遭到實際利用；CISA 將這兩個 CVE 列為已遭利用，截止日期為 2026 年 9 月 14 日；修補程式與替代維護版本皆已發布。

• 由受害方確認：至少有兩起客戶事件在相隔一天之內先後通報給 PaperCut，第一起來自一家教育機構客戶，而其中一起顯示伺服器上發生了真正的程式碼執行，且日誌由客戶自身的事件應變團隊所保留。

• 單一來源，卻有強力佐證：上方卡片上的每一項數值；462 個目標與 1,005 個位址的掃描；從空白工作區到首次遠端程式碼執行的四小時歷程；以及那 26 秒。這些數據來自 GreyNoise 的遙測資料，而 Blackpoint 獨立復原的目錄則佐證了該工作流程的輪廓，但並未重現這些計數。

• 推論，且明言為推論：代理們完成了大部分工作。GreyNoise 向 SC Media 表示，「絕大多數任務都是自主執行，僅有少數被視為人為干擾」，這是對某個工作流程的判斷，而該流程有一部分是透過其自身日誌觀察而來，並非測量。復原的狀態檔案顯示，有人進行干擾、授予權限並請求提供材料。

• 本文遍查各處仍無法確立：公告前的客戶入侵與操作者的工作區是否為同一行為者；這些存取的目的；除 395 個具名組織之外的真實受害者數量，而 GreyNoise 本身表示這個數字並不完整，因為部分受害者無法歸因於具名組織。

之後有什麼改變？

PaperCut 的回應是整個記錄中記錄得最完整的一部分，因為該廠商公布了自家的修補歷程。公告於 2026 年 8 月 27 日發出；首批緊急修補在數小時內隨即在 25 版與 26 版推出；Release 2 於當晚緊接登場，帶來與 Huntress 及 watchTowr 合作開發的額外強化措施，並擴及 24 版；Release 3 於 2026 年 9 月 1 日發布，彙整了先前的修正，並進一步封堵「我們已觀察到在實際環境中遭到利用」的其他攻擊途徑。2026 年 9 月 10 日，這些緊急版本由經過完整測試的維護版本取代，分別是 PaperCut NG/MF 26.0.5、25.0.13 與 24.1.10。23 版及更早版本則完全不提供修補，必須轉移至受支援的版本線。

廠商最強力推動的緩解措施並非修補程式：僅將應用程式伺服器的網路存取限制為受信任的位址，並使用防火牆規則或網路存取控制，「即使您尚未觀察到可疑活動」。在偵測方面，他們發布了足夠具體、可供追查的指標——包括涉及 pc-app.exe 後滲透活動的警示、遺失或被截斷的 server.log 檔案，以及兩條記錄字串：「ERROR No suitable driver found for jdbc:no:x」與「ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST」。Blackpoint 的指引則將範圍界定擴及 PaperCut 主機之外：檢視是否出現特權帳號建立、憑證存取、Active Directory 探索及內部橫向移動。

這些措施究竟有多少價值，部分有紀錄可查。在兩者都具備的情況下，已修補的版本加上 Web 應用程式防火牆，擋下了這波攻擊群；這也是 GreyNoise 自己的結論會說「傳統加固確實有正面影響」的原因。更難面對的重點，是時間軸所揭示的那一點：修補程式在代理程式開始運作之前就已存在，而這波行動所攻擊的伺服器，在修補程式發布後幾天內仍未套用。

開頭仍未解釋的是什麼

這份紀錄對一場行動起始階段的記載，勝過幾乎任何可比的入侵事件——操作者自身的工作檔案，時間戳精確到秒，留存於公開記述之中——但它依然無法說明這場行動目的何在。目前尚未確認出現任何勒索信、資料竊取式勒索，或將存取權移交給其他組織的情況；這些存取行為與初始存取活動的特徵相符，但那只是 Blackpoint 的定性描述，並非調查結論。PaperCut 已承諾提供完整的技術重建，但截至 2026 年 10 月 29 日仍未發布。

檔案庫的 A 級信心評等所依據的基礎，比標題上的統計數字更狹窄、也更扎實：兩個真實漏洞、一家確認自家產品遭利用的廠商、一個將這兩個漏洞都列為已遭利用的監管機關，以及任何人都能查閱的修補歷史。讓這筆紀錄成為里程碑條目的，是蜂群那部分。關於蜂群的證據，是其操作者留下一個仍可連線存取的目錄，以及一家公司的遙測資料——這一點值得直白說明，因為這兩類主張的差別，正是防禦者能據以行動與防禦者只能選擇相信的差別。