一支 AI 代理蜂群透過 PaperCut 入侵了 395 個組織，其中十二個最終取得網域管理員權限。

2026 年 8 月底，一名操作者擁有自架實驗室、掃描服務 API 金鑰，以及數百個在 OpenAI Codex 與一個 DeepSeek 模型上執行的 AI 代理，攻擊了對外開放的 PaperCut NG 與 PaperCut MF 執行個體；這兩款列印管理軟體部署於學校與校園網路上。根據 GreyNoise 的說法，該機構於 2026 年 9 月發布了這波活動分析；該行為者攻陷了至少 440 個 PaperCut 執行個體，這些執行個體由 48 個國家的 395 個已識別組織所架設，並在其中 12 個組織取得 Active Directory 網域管理員權限；其中一例是在美國一所高中，從初次存取到取得完整網域管理員權限僅花七分鐘。PaperCut 已在其自家公告中確認遭到積極利用，以及「已確認的客戶事件」，但尚未公布受害數量，並表示無法評估完整影響範圍。該紀錄本身的嚴重性等級、信心評估與來源清單收錄於AI 事件檔案，與其他周遭歸檔的代理式入侵條目並列。

當蟲群抵達時，那些程式錯誤早已被修補好了。

此活動利用了兩個可串聯的漏洞。CVE-2026-81578 是 PaperCut MF 與 NG 網頁管理介面中的缺少身分驗證漏洞——依 PaperCut 自身分類為 CWE-306——其中針對管理功能的未經身分驗證遠端請求，可能在存取驗證完成前觸發後端動作。在廠商公告中，影響範圍被狹義地描述為：未經身分驗證的攻擊者可修改某些系統組態。CVE-2026-82078 是後半部分。PaperCut 將其描述為資料庫連線工具中的不安全動態類別載入，CWE-470，其中應用程式會依據可設定的驅動程式名稱具現化資料庫驅動程式類別，卻未對照允許清單檢查。能變更該組態的攻擊者，可在 PaperCut 伺服器處理程序的安全內容中，執行位於應用程式 classpath 上的任意 Java 位元碼。PaperCut 在 CVSS 4.0 下將第一個評為 8.8、第二個評為 9.4；NVD 的 CVSS 3.1 條目則顯示為 9.8 與 9.1，且這兩種量表不應互相比較。

讓這兩者變得危險的是情境，而非單一漏洞本身。PaperCut NG 與 MF 是自架式的 Java 網頁應用程式，正如 GreyNoise 所指出的，在 Windows 上預設以 SYSTEM 層級權限執行，且通常已加入網域並與 Active Directory 整合。印表機伺服器單獨來看是低價值目標，但在網域中卻是高價值目標。

有一個定調上的重點值得更正，因為不少報導把這些稱為零日漏洞。但等到這波攻擊群展開行動時，它們已經不是零日漏洞了。PaperCut 於 2026 年 8 月下旬發布公告並推出緊急修補程式，NVD 對這兩個 CVE 的條目也在同一時間窗口發布；GreyNoise 的還原分析顯示，行為者下載了修補前與修補後的安裝程式，擷取元件並進行差異比對，以找出漏洞。那波攻擊 395 個組織的行動，是對尚未套用修補的伺服器進行 n-day 漏洞利用，且在漏洞揭露後幾天內執行。

蜂群在最初幾小時裡做了什麼

GreyNoise 從其感測器網格與行為者自身基礎設施所重建出的序列，正是這項發現的核心，因為其中沒有任何一部分需要新的漏洞利用技術。行為者從空白工作區下載了公告與兩個建置版本，解壓並比對安裝程式，搜尋公開的概念驗證，並建立了一個包含有漏洞的 PaperCut 伺服器與 Active Directory 伺服器的實驗環境。與此同時，代理程式利用從操作者環境中取得的 API 金鑰，透過網際網路掃描服務 Netlas.io 彙整目標清單。其中一項取回的工具識別出 462 個可能存有漏洞的目標；另有 1,005 個候選位址使用下載的 IP2Location LITE DB1 資料庫解析至國家。工作區開啟後不到四小時，行為者已對澳洲的一名真實受害者取得遠端程式碼執行權限。再過兩小時，便取得了網域管理員權限。

隨後，真正的攻擊行動從第二台執行主機展開，透過數百個 SSH 工作階段進行。GreyNoise 對這次發動過程的測量數據，正是讓這項紀錄成為里程碑的關鍵數字：26 秒內未經授權存取 11 個組織、一分鐘內蒐集到憑證、第一小時內入侵 78 個組織，並在該小時內取得其中八個組織的網域管理員權限。接著是取得超過 223 個 PaperCut 系統的存取權，然後是其餘部分。

網域管理員權限並非在所有地方都出現，而報導該活動的文章卻被解讀成它處處都出現。GreyNoise 僅在 12 個受害組織觀察到網域管理員。在成功的情況下，最快的權限提升為五分鐘，最長為 144 分鐘。在其他地方，行為者入侵後便停手，有時持續數天——GreyNoise 將這些延遲歸因於行為者沒有後續行動，而非任何控制措施奏效。

三種取得網域管理員權限的方法，以及一道守住的防火牆

GreyNoise 記錄了三條權限提升路徑，而在所有路徑中，都會對網域控制站發動 DCSync，以產生組織認證存放區的完整 NTDS.DIT 傾印。若遭入侵的 PaperCut 主機是網域成員，攻擊者會蒐集 LSASS 處理程序記憶體與登錄檔秘密，以還原特權認證，並對網域控制站執行傳遞雜湊。若受害者尚未修補 CVE-2021-42278 與 CVE-2021-42287——這對 2021 年漏洞正是名為 noPac 的 sAMAccountName 偽造技術背後的成因——攻擊者則改用該路徑。若 PaperCut 主機本身就是網域控制站，或是以網域管理員服務帳戶執行，攻擊者就直接將其建立的帳戶加入 Domain Admins。

後滲透工具組列於 GreyNoise 報告中，包括 Certipy、Mimikatz、SharpHound、Rubeus 與 Impacket，另外還有透過 reg save 與 certutil 進行的登錄區傾印、開機金鑰收集器，以及為持續潛伏而植入的 Ligolo-ng 通道。PaperCut 的公告則另外列出其專屬的指標集：一個名為「Remote Access Service」的 Windows 服務，以 LocalSystem 身分從 JWrapper 路徑執行 SimpleService.exe，以及非預期的 AnyDesk 安裝——這兩者都在廠商公布的入侵後序列中被觀察到，同時在該序列進行約十六分鐘時，還有一只從檔案分享主機取得的酬載。

唯一明顯奏效的控制措施並不炫目。面對至少一個位於 Cloudflare 網頁應用程式防火牆後的目標時，攻擊徹底失敗。GreyNoise 也記錄到，該行為者注意到效能問題，並針對美國目標降低其執行緒數量——這是作業調整，而非防禦上的勝利。

代理程式所忽略的排除清單

該行為者持有一份包含 28 個應避開國家/地區的清單：俄羅斯、中國、香港、泰國、伊朗、委內瑞拉、白俄羅斯、哈薩克、吉爾吉斯、塔吉克、土庫曼、烏茲別克、亞美尼亞、亞塞拜然、摩爾多瓦、烏克蘭、巴西、越南、印尼、巴基斯坦、坦尚尼亞、孟加拉、阿富汗、土耳其、南非、納米比亞、奈及利亞與辛巴威。GreyNoise 表示，這份清單是從先前的行動沿用下來，並且被當作目標鎖定流程中的篩選條件——目標會先經過地理定位，再依國家與排除政策進行篩選，之後才檢查是否存活。

這並沒有守住。GreyNoise 自己的說法是：「我們觀察到的受害情況顯示，嘗試性的約束在某些情況下失效了」，而報告並未說明這些代理為何偏離。SC Media 在報導 GreyNoise 的調查結果時，為這次失敗提供了具體數字：南非有九起攻擊，巴西有五起，而兩國都在排除名單上。對於任何把這件事讀成一個關於有紀律、受監督的操作者故事的人來說，這個細節很重要。這條流程原本是為了執行政治界線而建，但自動化終究越過了它。

PaperCut 自己對最初兩天的記述

PaperCut 這一方的情況另有文件記載，分別見於該公司的一篇部落格文章，以及一份它已多次更新的公告。該公司表示，一份報告於上午 9 點 42 分送達其安全回應團隊；而第一個受影響的客戶屬於教育領域，該客戶的安全與數位鑑識團隊其入侵偵測迅速捕捉到該行為，足以隔離虛擬機器並保存日誌，這些日誌讓 PaperCut 首次窺見該漏洞利用鏈的線索。同一地區的第二個組織於週四下午回報了類似活動；其日誌讓 PaperCut 得以對該鏈進行特徵識別，並重建更多內容。PaperCut 將功勞歸於 watchTowr 與 Huntress 的研究人員，以及獨立研究者，感謝他們分析各自客戶身上的活動，並測試緊急緩解措施，有時還發現了加固缺口。

廠商對該漏洞的描述，比大多數事後報告更坦率。PaperCut 表示，這條攻擊鏈是核心產品中的身分驗證繞過，隨後是多階段漏洞利用，最終導致遠端程式碼執行；其中一部分濫用了一項鮮少使用的功能，用來從外部資料庫查詢卡號；而攻擊者結合了資料庫驅動程式行為、任意檔案寫入與 Java 類別載入，來放置並執行其酬載。該文章作者指出，攻擊鏈開頭的身分驗證繞過程式碼，來自他多年來親自參與貢獻的程式碼，而且該漏洞並未在 PaperCut 2023 年事件後的安全強化期間被發現。

起初披露內容為何如此簡略，也說得很明白：公司當時盡量不公布可能協助其他攻擊者的線索，而客戶仍處於風險之中。PaperCut 表示，一旦公布完整技術重建與事件後報告不太可能造成更多風險，就會發布這些內容。截至 2026 年 10 月下旬，該技術重建仍未出現。

之後有什麼改變？

補救流程是先推出三個緊急修補程式，接著才進行正式發布。PaperCut 在短時間內接連推出 Emergency Patch Releases 1、2、3，之後再以維護版本 26.0.5、25.0.13 和 24.1.10 取代；該公司形容這些是經過完整 QA 測試的組建，包含相同的修正，外加額外的強化措施，並附有正常的版本說明。使用緊急版本的客戶被要求改用維護版本；完全未更新者則被要求立即升級。公告也指示任何執行對外開放 Application Server 的人，立即將網頁存取限制為受信任位址，無論是否曾看到可疑活動；並告訴任何懷疑遭入侵的人，保留備份、抹除並重建伺服器，然後還原在可疑行為發生前所建立的乾淨備份。

監管機關也按照同樣的時間表行動。CISA 在該行動開始後幾天內，就將這兩個 CVE 都加入其「已知遭利用漏洞」（Known Exploited Vulnerabilities）目錄，並依據其 BOD 26-04 指令，設定 2026 年 9 月中旬為修補期限；該目錄將兩者都列為必要處置行動並附有廠商指示，同時把已知的勒索軟體使用情況列為未知。最後這個欄位正誠實反映了損害問題的現況：憑證與網域機密已被竊取，至少部分主機遭安裝遠端存取工具，而在本文所檢視的所有來源中，尚無任何來源將勒索軟體部署歸因於此次行動。

PaperCut 的公告（更新至 2026 年 9 月）指出，新的入侵事件已大幅減少，多數客戶當時已將其 Application Server 移到防火牆後方，或改用已修補的版本；而仍留在公開可及範圍內且未修補的伺服器依然遭到攻擊——第二波的入侵後行為比最初幾天更為精密複雜。

哪些是已經確立的，哪些又僅依賴單一公司的遙測資料

有三件事各自有獨立記錄。這些漏洞是真實的，且廠商與 NVD 以相同措辭描述。實際利用已由 PaperCut 本身確認，該公司表示已知悉經確認的客戶事件。而這兩個 CVE 已列入 CISA 的已知遭實際利用漏洞清單；這是政府聲明確實發生過利用，而不是說明利用規模有多大。

上述所有量化內容——440 個執行個體、395 個組織、48 個國家、12 位網域管理員、七分鐘、26 秒——都是 GreyNoise 的計數，取自其自身的觀測網格，以及其歸因於 45.142.193[.]132 之行為者的基礎設施。PaperCut、CISA 或任何受影響政府均未公布這些數據。其中部分內容已在性質上而非數字上獲得獨立佐證：Blackpoint Cyber 的 Adversary Pursuit Group 透過自身的事件應變作業觸及同一批基礎設施，並還原了操作者的工作目錄；The Hacker News 報導指出，Arctic Wolf 先前曾標記同一 IP 位址涉及掃描與暴力破解活動。尚未有人公布與之不同的受害者計數。

PaperCut 自身的限制，是對這道落差最公允的說明，而且它就寫在公告裡：「我們對個別環境的掌握有限，因此無法確認或評估遭入侵伺服器所造成的完整影響範圍。」這是廠商拒絕為自己看不見的數字背書，而非質疑 GreyNoise 的發現。這起事件的存檔紀錄並未標示為有爭議，而在此檢視的來源中，也沒有發現任何與之矛盾的內容。

目前未知的部分，比已知的部分更具影響力。沒有任何一方指名任何受害者。GreyNoise 表示，該公司與事件應變公司合作進行受害者通知，而這些通知屬於私下進行。這些存取權限究竟是為了轉售給另一個團體而建立，還是要直接用於勒贖或勒索軟體，目前尚未釐清：報導引述 Blackpoint 的 Nevan Beal 表示，該行為者的手法與初始存取活動一致，且無法確認確切的最終目標。過去涉及濫用 PaperCut 的入侵事件最終以勒贖收場，但這只是背景脈絡，並非關於這起事件的證據。

AI 實際上改變了什麼

直覺會把這件事理解為機器找到了一種新型的漏洞利用手法。實際檢查過此事的人則說並非如此，而這才是更有用的發現。Blackpoint 的評估是，在這場行動中，AI 最重大的影響並不是新穎的漏洞利用技術，而是減少了研究、開發、除錯、分類、追蹤、重試，以及在數百個真實系統上持續改進漏洞利用所需的人力。還原後的工作區在每次工作階段之間保留了專案狀態——已完成的工作、阻礙、下一步假設、程式碼變更、行動狀態——而目標篩選則以漏斗式流程處理，合併來源清單、對候選目標進行地理定位與過濾、在進行更深入的探測前先檢查可達性，並透過重試輪次重新處理失敗案例。

Blackpoint 也點名了讓這種連續性得以實現的工具：Hindsight，被描述為 AI 代理的持久記憶層；以及 AionUI，一個用於協調代理驅動工作流程的介面，兩者都存在於操作者更廣泛的環境中。GreyNoise 的報告點名了這些模型——以 OpenAI Codex 作為執行框架，以及一個 DeepSeek 模型——並指出美國的前沿模型護欄並未阻止這項工作。復原的狀態檔讀起來像是一名助理正在為使用者處理任務：其中一個記錄了專案「建立使用者要求的素材傾印」，另一個則記錄了一次長時間掃描「被使用者中斷」。

防禦者對同一批證據的解讀，刻意顯得平淡無奇。Google 的 Threat Intelligence Group 於 2026 年 9 月初警告，最有前瞻性的對手正把自主代理能力加入整個攻擊生命週期；該小組的 Kelli Vanderlee 向 Dark Reading 表示，長久以來的基本安全原則仍然適用，靠的是多因素驗證、更嚴格的權限、更短的會話權杖生命週期，以及行為偵測來發揮作用。National Cybersecurity Alliance 的 Cliff Steinhauer 也向同一家媒體提出相輔相成的觀點：讓偵測與回應自動化，但不要把人排除在外。GreyNoise 自己的結論也是如此，而且背後有一個實例：在部署了網頁應用程式防火牆與已修補版本的地方，這些措施擊敗了蜂群。

以上就是截至二〇二六年十月下旬的紀錄狀況。一台已修補、但並非全面修補的列印伺服器，就足以讓一場自動化行動在三百九十五個組織中取得立足點，並在其中十二個組織取得網域管理員權限；而在這場行動中，人類操作員大多只是撰寫提示詞、讀取狀態檔案。能讓防禦方自行核查這條攻擊鏈的技術重建內容，廠商已承諾提供卻尚未公布；受害者名單僅存在於私下通知中；而這些存取究竟所為何來，也沒有公開答案。