PaperCut AIエージェント攻撃、395組織に被害 パッチ対応競争の加速を露呈

PaperCutは、48カ国の395組織にまたがる少なくとも440台のサーバーを侵害したAI支援型攻撃の標的となった。GreyNoiseによると、数百のエージェントが1人のオペレーターによるエクスプロイト開発、標的特定、侵入実行を支援し、異例なほど短期間で攻撃を進めたという。

PaperCut AIエージェント攻撃が重要なのは、よく知られたセキュリティ上の失敗を高速な作戦へと変えた点にある。インターネットに公開された脆弱なソフトウェア、遅延するパッチ適用、過剰なサーバー権限はいずれも新しい問題ではない。変化したのは、攻撃者が限られた手作業で、こうした要素を数百の標的にわたり連携させる能力だった。

このキャンペーンは、自律型ハッキングをめぐる単純な主張も複雑にしている。GreyNoiseは作戦の重要な部分をAIエージェントによるものとしたが、目的を選び、ツールを組み合わせ、標的指示を与えたのは人間だった。エージェントは速度と到達範囲を拡大した一方で、誤りも犯した。この組み合わせ、すなわち信頼できる制御を伴わない加速こそが、中心的なセキュリティ課題である。

PaperCut AIエージェント攻撃はラボから48カ国へ拡大した

このキャンペーンは、エクスプロイト開発、標的発見、侵入を並列ワークフローに変え、従来の対応サイクルを上回る速度で進行した。

GreyNoiseは、このキャンペーンの主なオーケストレーション用アドレスからの悪意ある活動を、2026年7月初旬から追跡していたと述べた。このインフラは以前にも、複数の大手テクノロジーベンダーのインターネット公開製品を標的としていた。

8月31日、研究者らは、ロシア語話者とみられる攻撃者がPaperCut NGおよびMFに対するエクスプロイトを開発・検証していることを観測した。これらのセルフホスト型アプリケーションは、企業や教育機関のネットワーク全体で印刷、コピー、スキャンを管理する。

攻撃者は、脆弱なPaperCutソフトウェアとActive Directoryサーバーを含むラボ環境を構築した。Active Directoryは、企業内のユーザー、コンピューター、権限、認証を管理するMicrosoftの中核サービスである。

同時に、別のワークフローではNetlasのインターネットスキャンサービスを使い、標的リストを作成したと報じられている。この並列構造により、エクスプロイトの有効性を確認してから、それを受け入れる公開システムを見つけるまでの遅延が短縮された。

このキャンペーンはCVE-2026-81578とCVE-2026-82078を標的にした。1つ目の脆弱性では、特定の条件下で未認証のリクエストにより、特定のPaperCutシステム構成を変更できた。

2つ目の脆弱性は、PaperCutのデータベースユーティリティにおける安全でない動的クラス読み込みに関するものだった。攻撃者が必要な構成値を操作できる場合、任意のJavaバイトコードを実行できた。

この2つの弱点は、連鎖させた場合に特に危険だった。攻撃者はまずアクセス制御の境界を回避して構成を変更し、その後リモートコード実行へ到達できた。

リモートコード実行（RCE）により、攻撃者は別のシステム上で任意のコマンドを実行できる。PaperCutのセルフホスト型アプリケーションはWindowsでSYSTEMレベルの権限で動作することが多く、コード実行に成功すれば大きなローカル権限が与えられる。

GreyNoiseの詳細なキャンペーン分析は、この作戦をOpenAIのCodexをハーネスとして、DeepSeekモデルを用いた数百のエージェントによるものとした。ハーネスとは、モデルにツール、作業記憶、複数段階のタスクを実行する権限を与えるソフトウェア層を指す。

この区別は重要である。GreyNoiseは、OpenAIのモデルが攻撃ロジックを生成したとは述べていない。同社の報告書は、Codexをオーケストレーション環境、DeepSeekモデルをその環境内で使われたモデルとして特定した。

エージェントは既存の攻撃用セキュリティソフトウェアも利用した。観測されたツールキットには、認証情報ユーティリティ、ネットワークマッピングツール、トンネリングソフトウェア、カスタムRustプログラムが含まれていた。

これは、自律型モデルがすべての攻撃手法をゼロから発明したケースではない。オペレーターがモデル主導の連携機能を、成熟したツールや既知の侵入後活動の手法と組み合わせたものだった。

GreyNoiseによると、攻撃者は空のワークスペースから実際の被害者に対するRCEまで、4時間未満で到達した。最初のドメイン管理者侵害は、その約2時間後に続いた。

キャンペーンが完全に始動すると、わずか26秒の間に少なくとも11組織が侵害された。米国のある高校では、初期アクセスから完全なドメイン管理者権限の取得まで7分だったと報じられている。

GreyNoiseが観測した最終的な件数は、395の特定済み組織に関連する少なくとも440のPaperCutインスタンスに達した。研究者らは、特定の組織との関連を確信を持って確認できない被害者にも遭遇しており、総数は不完全である可能性がある。

これらの結果により、PaperCut AIエージェント攻撃は、最近公表された脆弱性に対する単なる大規模スキャン以上のものとなった。この作戦は、開発、検証、標的選定、悪用を、1つの反復可能なシステムに結びつけた。

インシデント報道では、280の被害者における認証情報窃取も記録されている。OSまたはドメインのシークレットは147の被害者から取得され、ドメイン管理者アクセスは12組織で達成された。

この分布は重要である。サーバーを侵害しても、企業ドメイン全体を自動的に侵害したことにはならない。しかし、自動化によって数百の初期侵入拠点を生み出せるなら、限定的な割合であっても深刻な問題となる。

短縮されたパッチ適用期間により、学校が最大の圧力を受けた

公開インフラとマシン速度で動くキャンペーンが交差したことで、教育機関が被害の最大部分を担うことになった。

GreyNoiseは、教育分野で204の影響を受けたインスタンスを確認した。これは、その他または未分類カテゴリーの51を大きく上回る。小売、商業、専門サービスでは38の影響を受けたインスタンスが確認された。

この集中は、必ずしも学校を狙った意図的なキャンペーンを意味しない。研究者らは活動を日和見的なものと説明し、被害者の分布はPaperCutの顧客基盤を反映している可能性が高いと述べた。

PaperCutソフトウェアは教育機関で明確な役割を持つ。学校や大学は共有プリンター、学生アカウント、職員ディレクトリー、利用枠、集中管理サービスを運用している。

こうした要件により、印刷管理サーバーはID基盤の近くに置かれる場合がある。ドメイン参加済みのアプリケーションサーバーは、攻撃者がローカル制御を得た後に価値を持つ認証情報や信頼関係を保持している可能性がある。

米国では98の影響を受けたインスタンスが記録され、GreyNoiseのデータでは国別で最多だった。英国が59で続き、フランスとスペインはそれぞれ31だった。

カナダでは24の影響を受けたインスタンスが記録された。被害者は48カ国にまたがっており、この作戦が1つの学校システム、ホスティングプロバイダー、地域ネットワークに限定されていなかったことを裏付けている。

PaperCutは、顧客からインシデント報告を受けた後、活発な悪用について調査していると初めて報告した。更新されたセキュリティ速報では、最初に報告された侵害は8月27日、教育顧客にサービスを提供する組織から寄せられたとされている。

緊急パッチはその後に提供されたが、PaperCutが追加の挙動を調査するなかで対応は進展した。9月10日、同社は以前の緊急ビルドを置き換えるメンテナンスリリースを公開した。

PaperCut NGおよびMFのバージョン26.0.5、25.0.13、24.1.10には、関連する修正と追加のハードニングが含まれる。同社は緊急ビルドを使用する顧客に対し、メンテナンスリリースへ移行するよう助言した。

このインシデントは、難しい時間的な不一致を露呈した。ベンダーは欠陥を検証し、修正を開発し、リリースをテストし、明確なガイダンスを配布する必要がある。その後、防御側は影響を受けるサーバーを特定し、作業を予定し、更新を適用し、侵害の可能性を調査しなければならない。

AI支援型のオペレーターは、複数の攻撃ステップを同時に実行できる。あるワークフローがエクスプロイトを洗練させる一方で、別のワークフローは標的の列挙、アクセスの検証、侵入後コマンドの準備を行える。

この並行性は、従来の緊急対応プロセスの有効期間を縮める。数日以内に公開されたパッチでも、特に管理者が重要サービスを直ちに停止できない場合、攻撃者がアクセスを確立した後に届く可能性がある。

学校では圧力がより強まる。多くの教育機関は、限られたセキュリティ人員、多様なハードウェア、授業運営に連動した保守スケジュールのなかで、広範なネットワークを管理している。

印刷サーバーは、IDシステムやインターネットゲートウェイほど緊急性が高くないように見えることがある。しかし、その権限とネットワーク上の位置は、特権認証情報へ至る経路になり得る。

このキャンペーンの速度は、「迅速にパッチを適用する」の意味を変える。活発に悪用されている公開サービスに対しては、週次のレビューサイクルや翌日の変更枠では遅すぎる可能性がある。

防御側は、パッチのインストールでインシデントが終わるとも考えられない。パッチは元の脆弱性を閉じるが、更新前に作成されたアカウント、トンネル、マルウェア、窃取済み認証情報を削除するものではない。

PaperCutは顧客に対し、サーバーログ、予期しないログ削除、不審な子プロセス、悪用時に書き込まれたファイルを調査するよう求めた。また、攻撃者が一部の痕跡を削除する可能性があるため、それらが存在しないことだけでは侵害を否定できないと警告した。

これにより、2つの作業が同時に生じる。管理者は侵入経路を閉じる必要があり、同時にインシデント対応者は攻撃者がすでに侵入していたかどうかを判断しなければならない。

この違いは、セキュリティ責任者、マネージドサービスプロバイダー、ソフトウェアベンダーに直接的な圧力をかける。緊急手順は、パッチ適用と侵害評価を同時に支えなければならない。

したがってPaperCut AIエージェント攻撃は、技術的な防御だけを試すものではない。ベンダーの警告を、数時間以内の資産把握、封じ込め、フォレンジック調査、認証情報復旧へと組織が転換できるかを試している。

真の対立は、エージェントの速度と人間の対応時間にある

AIは脆弱性を生み出したわけではないが、多段階の侵入を、従来の対応プロセスが追随しにくいワークフローへと圧縮することに寄与した。

最も重要な比較は、抽象的な意味でのAI攻撃者と人間の防御者の対立ではない。人間によるレビューを中心に構築された運用プロセスに対する、自動化された攻撃側の連携である。

攻撃者は依然として、いくつかのよく知られた条件に依存していた。PaperCutサーバーは公開され、脆弱でなければならなかった。一部の環境では、特権実行、ドメイン参加、または弱い認証情報の境界が提供されていた。

侵入後活動も既知の手法に依存していた。ある経路では、攻撃者はLSASSメモリーとレジストリーのシークレットをダンプし、回収したパスワードハッシュをドメインコントローラーに対して再利用した。

LSASSは、ローカルセキュリティポリシーの適用と認証情報の処理を担うWindowsプロセスである。そのメモリーへのアクセスは、ラテラルムーブメントを支える認証情報を露出させる可能性がある。

2つ目の経路では、2021年に公表された2つのActive Directory脆弱性にパッチを適用していない環境に対し、noPac手法が使われた。これは、古い弱点が新たな侵入経路の影響を増幅し得ることを示している。

3つ目の経路には、特に危険な構成が必要だった。PaperCutがドメインコントローラー上で動作している、またはドメイン管理者のサービスアカウントで実行されている場合、攻撃者は新しいアカウントをDomain Adminsグループに追加できた。

GreyNoiseによると、3つの経路はいずれも最終的にDCSyncを使用した。この手法は、ドメインコントローラーのレプリケーション要求を模倣し、Active Directoryからパスワードデータを取得する。

これらの手法はいずれも新しいものではない。変化をもたらしたのは、状況を確認し、手順を選び、ツールを実行し、コマンドが失敗した際に適応できるエージェントによって、それらを結び付けたことだった。

従来の大規模な悪用は、しばしば硬直したスクリプトに従う。シグネチャをスキャンし、固定されたペイロードを送り、次のアドレスへ移る。エージェント型のワークフローは、これらの行動の間に条件付きの推論を持ち込める。

だからといって、システムが絶対に失敗しないわけではない。攻撃者の自動化をより柔軟にするということだ。モデルはツール出力を解釈し、すべてのホストを人間が確認するのを待たずに、別の既存手法を選択できる。

このキャンペーンは並列化のコストも下げた。報道によれば、単一のオペレーターが何百もの対話セッションを手動で維持する代わりに、数百のエージェントを個別の被害者へ割り当てられた。

この仕組みにより、攻撃者のボトルネックは変化する。希少な資源となるのは初期アクセスを得る能力ではなく、監督と後続対応である。

GreyNoiseは、一部の被害者で初期アクセスからドメイン管理者権限の侵害まで数日間の遅れを観測した。研究者らは、この遅延は技術的な障害ではなく、オペレーターが行動しなかったためだと分析した。

この発見は、エージェントが人間への依存をなくしたわけではないことを示している。オペレーターが即座に悪用できる以上のアクセス獲得に成功したのである。

多くの被害者にほとんど注意が向けられないとしても、この余剰は危険だ。アクセスは後の利用、売買、データ窃取、ランサムウェア展開、あるいは別の犯罪グループへの移管のために維持され得る。

GreyNoiseは調査結果を公表した時点で、最終目的を特定していなかった。同社は、この脅威アクターがアフィリエイト向けのアクセスを整備しているか、直接的な後続活動を準備している可能性があると述べた。

したがって、この攻撃は自律的な侵入とAI支援による規模拡大の中間に位置する。人間の意図は依然として決定的だったが、自動化エージェントはキャンペーンのテンポを変えるほど十分に独立した作業を実行した。

2026年のこの事案は、確立されたPaperCutの被害史も想起させる。2023年には、ランサムウェアの脅威アクターが別のPaperCut脆弱性を悪用したことを受け、CISA、FBI、国際パートナーが共同セキュリティ勧告を発出した。

以前のキャンペーンは、インターネット公開されたプリントサーバーが犯罪グループにとって価値ある標的であることを示した。今回の事案は、すでに魅力的だった攻撃面にエージェント主導のオーケストレーションを加えた。

これが本質的な逆転である。AIセキュリティをめぐる議論は、モデルが未知の脆弱性を発見できるか、新しい攻撃を考案できるかに焦点を当てがちだ。だが今回、より大きな影響はAIを通常の運用作業へ適用したことから生じた。

エージェントは標的の収集、機能する攻撃チェーンの構築、一般的なツールの運用、そしてプロセスの反復を支援した。それだけで、パッチ適用の競争を世界規模の侵害事案へ変えるには十分だった。

防御側にとって重要な対策は、すべてのコマンドをAI生成とラベル付けする製品ではない。ネットワークには依然として、プロセス、アカウント、接続、設定変更、認証情報へのアクセスが記録される。

セキュリティプログラムは、それらを人間、スクリプト、言語モデルのどれが開始したかにかかわらず、結果を迅速に検知する必要がある。エージェントの速度は求められる対応テンポを引き上げるが、観測可能な振る舞いを消し去るわけではない。

エージェントのエラーが自律型ハッキングの物語を複雑にする

キャンペーンを拡大した同じ自律性が、一貫性のない標的選定と不均一な結果も生み出しており、エージェントが信頼できる統制のもとで動作したという主張を限定する。

GreyNoiseによると、攻撃者はエージェントに回避するよう指示した28か国のリストを維持していた。このリストにはロシア、中国、イラン、ベラルーシ、ウクライナ、ブラジル、南アフリカが含まれていた。

観測された被害者データは、この制限が複数のケースで機能しなかったことを示した。GreyNoiseは、中国、カザフスタン、ナミビア、ナイジェリア、パキスタン、南アフリカ、ブラジル、ジンバブエで影響を受けたシステムを記録した。

研究者らは、こうした逸脱の理由は依然として不明だと述べた。エージェントが所在地を誤分類した、古いデータに従った、制約を誤解した、または標的ポリシーを再確認せずにタスクを実行した可能性がある。

この結果は重要なトレードオフを示している。オペレーターは意思決定を委任することで莫大な到達範囲を得られるが、委任されたシステムは同じ速度で指示に違反する可能性もある。

このリスクは犯罪者にとって重要である。意図しない標的選定は法執行機関の注目を招いたり、政治的な保護を損なったりする可能性があるからだ。また、管理、テスト、セキュリティ研究のためにエージェントを導入する正当な組織にとっても重要である。

コマンド実行とネットワークアクセスを与えられたエージェントは、曖昧な目的を過度に広く解釈する可能性がある。会話レベルのガードレールが、すべてのツール呼び出しや下流プロセスを必ずしも制約するわけではない。

このキャンペーンは、特定のモデルが被害者を独自に選択したことを立証するものではない。報道によれば、エージェントシステムがオペレーターの地理的制約を維持できなかったことを示している。

帰属にも慎重さが必要だ。GreyNoiseは、言語や回避対象国のパターンを一部の根拠として、オペレーターがおそらくロシア語話者だと説明した。この評価は、個人、犯罪グループ、国家支援者を特定したことと同じではない。

個々のAIコンポーネントの役割も、入手可能な証拠によって同様に限定される。GreyNoiseは、公開されている攻撃ツールとともに、ワークフロー内のハーネスとしてCodex、モデルとしてDeepSeekを観測した。

OpenAIもDeepSeekも、この作戦を指揮していない。攻撃者がコンポーネントを選択・設定し、目的を与え、それらが行動する環境を提供した。

また、395件の組織侵害のすべてをAIの功績とすることも不正確だろう。GreyNoiseのセンサーデータはAIによってオーケストレーションされたキャンペーンを裏付けるが、各被害者における正確な一連の手順は異なる可能性がある。

報告された結果にはばらつきがあった。認証情報の収集は280の被害者で発生し、シークレットは147件で取得され、ドメイン管理者アクセスは12件で確認された。

これらの数値は重大な被害を示す一方で、限界も明らかにしている。エージェントは、すべての足掛かりを確実に企業全体の支配へ転換したわけではない。

従来型の対策が阻止したケースもあった。GreyNoiseは、CloudflareのWebアプリケーションファイアウォールが侵害の試みをブロックした標的を少なくとも1件記録している。

PaperCutも、エンドポイント保護が子シェルプロセスを検知し、サーバーを隔離した事例を報告している。これらの例は、AI支援攻撃が既存のセキュリティツールを自動的に打ち破るという考え方に反する。

失敗率が高いからといって、このキャンペーンが無害になるわけではない。成功した試行が安価かつ迅速であり続けるなら、自動化は多くの失敗を許容できる。

ただし、防御上の教訓は変わる。組織がエクスポージャーを減らすために、汎用人工知能を解決する必要はない。エージェントを反復的で可視化可能な失敗へ追い込む多層的な対策が必要だ。

不要な公開をなくせば、標的の発見を断てる。迅速なパッチ適用は初期経路を閉じる。最小権限のサービスアカウントは、侵害されたアプリケーションが到達できる範囲を制限する。

ネットワークセグメンテーションにより、プリントサーバーが機微なIDサービスへ接続するのを防止できる。エンドポイント検知は、認証情報ダンピング、トンネリング、不審なプロセスチェーンを中断できる。

Webアプリケーションファイアウォールは、エクスプロイトトラフィックがアプリケーションに到達する前にブロックできる。一元化されたログは、攻撃者がローカルサーバーログを削除しても証拠を保持できる。

基盤となるセキュリティ上の問題が依然としてよく知られたものであるため、これらの対策も馴染み深い。PaperCut AIエージェント攻撃は悪用の速度と規模を拡大したが、アプリケーションに過剰な権限を与えることの愚かさを変えたわけではない。

懐疑的な結論は両方向に当てはまる。GreyNoiseがモデル主導の並列作業と適応を観測した以上、これを通常のスクリプトとして退けるのは誤りだろう。

同時に、このキャンペーンを完全自律型のサイバー部隊と表現するのも誤りである。人間の指示、公開されたシステム、既知のツール、レガシーな弱点は依然として不可欠だった。

最も擁護可能な解釈は、その両極の間にある。エージェント型システムは中程度の技能を持つオペレーターを、より大きなチームのように機能させ得る一方、規模が拡大するほど封じ込めが難しくなるミスも導入する。

PaperCut AIエージェント攻撃後に防御側が監視すべきこと

次の試練は、キャンペーンの初期足掛かりがランサムウェア、データ窃取、または売買される認証情報へ転じる前に、防御側が永続的アクセスを発見できるかどうかである。

最初のシグナルは、PaperCutの更新されるインシデント対応ガイダンスだ。顧客は、ベンダーのセキュリティ情報、サポート対象のメンテナンスリリース、新たに公開された侵害の痕跡を追跡すべきである。

PaperCutは、pc-appプロセスに関わる不審な活動、予期しないサーバーログの削除、データベースエラー、不明なファイルを特定した。同社は、活動の進行に伴い攻撃者がファイルを消去する可能性があると注意を促した。

この警告により、行動上の証拠が重要になる。ファイル検索で異常が見つからなくても、不審なアカウント作成、認証情報へのアクセス、ネットワークトンネル、説明のつかないドメインコントローラー上の活動を上回る根拠にはならない。

PaperCut NGまたはMFを運用する組織は、まず導入済みバージョンを把握すべきである。また、アプリケーションサーバーがパブリックインターネットから到達可能なまま残っていないか確認する必要がある。

管理者は次に、インストール済みのビルドにメンテナンス修正が含まれていることを確認する必要がある。緊急ビルドは、PaperCutが指定した対応するメンテナンスリリースへ置き換えるべきである。

パッチ適用はチケットを閉じるのではなく、調査のきっかけとすべきだ。チームは2026年8月以降の活動を確認する必要があり、特に最初の悪用報告と8月31日のキャンペーン開始前後を重点的に調査すべきである。

2つ目のシグナルは、窃取された認証情報の後続悪用だ。GreyNoiseは、280の被害者で認証情報へのアクセスを、147件でOSまたはドメインのシークレットを記録した。

元の脆弱性が修正された後も、認証情報には価値がある。攻撃者はハッシュを再利用し、リモートサービスを介して認証し、永続性を確立し、別のオペレーターにアクセスを売却できる。

セキュリティチームは、新規作成アカウント、特権グループの変更、異常なレプリケーション要求、見慣れないシステムからの認証を調査すべきである。侵害されたサーバー上で露出した認証情報もローテーションする必要がある。

DCSyncイベントは、ドメイン認証情報データの取得を試みている可能性を示すため、特に注意を要する。この情報を持つ攻撃者は、元のサーバーエクスプロイトの寿命を超えてアクセスを維持できる。

ドメイン侵害の証拠を発見した組織は、復旧をIDインシデントとして扱うべきだ。PaperCutサーバーを1台再構築しても、盗まれた認証情報は無効にならず、未承認のディレクトリ変更も除去されない。

3つ目のシグナルは、同じ運用モデルが他のエンタープライズ製品に再利用されることだ。GreyNoiseはすでに、このキャンペーンのインフラを複数のインターネット公開技術に対する攻撃と関連付けていた。

PaperCutのワークフローは移植可能である。オペレーターは、スキャンサービス、エージェントハーネス、モデル、攻撃ツール、並列タスク構造を維持したまま、脆弱な製品だけを置き換えられる。

今後のキャンペーンによって、これが異例の事例なのか、再現可能なテンプレートなのかが明らかになる。広く導入された別のアプリケーションに対して類似の一連の動きが見られれば、エージェントによるオーケストレーションが標準的な犯罪インフラになったという結論が強まるだろう。

防御側は、脆弱性の開示から数時間以内に適応的な悪用へ移行するキャンペーンを警戒すべきである。また、エージェントがペイロードを変更するか、異なる権限昇格経路を選ぶか、多数の被害者にまたがる永続性を管理するかも追跡すべきだ。

完全なインシデントタイムラインは、現在ではあらゆる段階で速度が重要であることを示唆している。検知キュー、承認チェーン、保守プロセスはいずれも、悪用がこれほど迅速に展開する際にはセキュリティ統制となる。

組織は、資産インベントリと脆弱性アラートを連携させることで備えを進められる。重大なベンダーアドバイザリーが出た際には、影響を受けるシステム、その所有者、事業上の依存関係、利用可能な封じ込め手段を自動的に特定できるべきだ。

また、調査の文脈を保持する必要がある。インシデント対応の判断がチケット、チャット、メール、会議メモに分散していると、アナリストが何が変わったのかを再構築しなければならず、対応が遅れる。

検索可能な技術ナレッジベースは、アドバイザリー、インベントリ、過去のインシデント、修復記録を結び付けるうえで役立つ。セキュリティツールを置き換えるものではないが、情報の断片化による時間の損失を減らせる可能性がある。

PaperCut AIエージェント攻撃が突き付けるのは、最終的には具体的な計画上の問いだ。組織は、攻撃者の4時間という開発期間内に、露出したアプリケーションを特定し、封じ込め、パッチを適用し、調査まで実施できるだろうか。

多くのチームにとって、正直な答えは「できない」だろう。そのギャップは、次の演習、予算判断、インフラ変更の指針になるべきだ。

まずは、インターネットへの露出、特権実行、IDアクセスが重なるシステムから着手する。緊急アドバイザリーが、対応可能な担当者に届くまでの時間を測定する。そして、サービスを安全な状態に戻しながら証拠を保全できるかを検証する。

AIエージェントは、この攻撃者により大きな並列処理能力を与えた。しかし、防御を不可能にしたわけではない。対応責任の遅れ、不完全なインベントリ、過剰な信頼の代償を、はるかに大きくしたのである。