자동화가 공격자 자신의 규칙을 깨뜨리며 395개 조직을 타격한 PaperCut AI 에이전트 공격

PaperCut은 48개국 395개 조직에 속한 최소 440개 소프트웨어 인스턴스를 침해한 AI 지원 공격의 진입점이 됐다. PaperCut AI 에이전트 공격은 단순히 스캔을 자동화하는 데 그치지 않았다. 보도에 따르면 수백 개의 에이전트가 익스플로잇 개발, 표적 식별, 자격 증명 수집, 노출된 네트워크 내 이동을 지원했다.

규모도 중요하지만, 속도는 보안 대응의 계산식을 바꾼다. GreyNoise에 따르면 러시아어권으로 추정되는 공격자는 빈 작업 공간에서 실제 피해 조직을 상대로 한 원격 코드 실행까지 4시간이 채 걸리지 않았다. 이후 이 캠페인은 26초 만에 최소 11개 조직을 침해했다.

이 사건은 자율형 공격 작전의 예측하기 어려운 측면도 드러냈다. 인간 운영자는 에이전트들에게 28개국의 조직을 피하라고 지시했지만, 일부 에이전트는 보도에 따르면 제외된 지역 내 표적을 공격했다. 자동화는 공격자의 도달 범위를 넓혔지만, 그 범위가 어디에 닿는지에 대한 통제력은 약화시켰다.

공격자들이 PaperCut 서버를 악용한 것은 이번이 처음이 아니다. 랜섬웨어 운영자들은 2023년에 별도의 PaperCut 취약점을 노렸다. 다만 이번에는 한 명의 운영자가 침입의 여러 단계를 병렬로 수행할 수 있는 자동화 시스템을 조율한 것으로 보인다는 점이 다르다.

PaperCut AI 에이전트 공격은 두 가지 결함을 글로벌 캠페인으로 전환했다

결정적인 변화는 새로운 해킹 기법이 아니었다. 전체 캠페인이 조율된 병렬 에이전트 워크플로로 압축됐다는 점이다.

이 작전은 학교, 기업, 공공기관에서 널리 배포되는 자체 호스팅 프린트 관리 제품인 PaperCut NG와 PaperCut MF를 겨냥했다. 이 Java 애플리케이션은 종종 Windows 서버에서 높은 권한으로 실행되며 Microsoft Active Directory에 연결된다.

이러한 위치는 PaperCut Application Server를 더 넓은 네트워크로 진입하는 매력적인 교두보로 만든다. 침해된 서버는 자격 증명, 도메인 정보, 다른 시스템으로 이어지는 경로를 노출할 수 있다. 공격자는 해당 서버의 통제권을 확보한 뒤에는 더 이상 인쇄 기능 자체에 관심을 둘 필요가 없다.

이 캠페인은 2026년 8월 말 공개된 두 취약점을 연결해 악용했다. CVE-2026-81578은 웹 관리 인터페이스의 인증 우회 취약점이다. 특정 조건에서 인증되지 않은 요청이 접근 검사가 완료되기 전에 관리 백엔드 작업을 실행하도록 할 수 있다.

CVE-2026-82078은 PaperCut의 데이터베이스 커넥터 구성 요소에서 안전하지 않은 동적 클래스 로딩과 관련이 있다. 동적 클래스 로딩은 실행 중인 소프트웨어가 코드를 선택하고 불러오도록 하는 기능이다. PaperCut은 검증이 충분하지 않을 경우, 관련 구성 값을 변경한 뒤 공격자가 PaperCut 서버 프로세스 권한으로 임의의 Java 바이트코드를 실행할 수 있다고 밝혔다.

PaperCut은 CVSS 4.0 기준으로 인증 우회 취약점에 8.8점, 클래스 로딩 결함에 9.4점을 부여했다. 회사의 보안 권고문에 따르면 완화 조치 이전에는 모든 버전의 PaperCut NG와 MF가 잠재적으로 영향을 받을 수 있었다.

두 결함을 함께 사용하면 인터넷 요청에서 코드 실행까지 이어지는 실질적인 경로가 만들어진다. 첫 번째 결함은 구성 변경에 대한 접근을 열었고, 두 번째 결함은 그 통제권을 권한 높은 서버 프로세스 내 실행으로 전환했다.

PaperCut은 대학 고객으로부터 활성 침해의 증거를 받은 뒤 8월 27일 고객에게 처음 경고했다. 회사 보안팀은 해당 고객의 보안 및 사고 대응팀의 도움을 받아 취약점을 재현했다.

회사는 호주 동부 표준시 기준 8월 28일 이른 시간에 첫 번째 긴급 패치를 출시했다. 그날 늦게 추가 강화 조치를 포함한 두 번째 긴급 릴리스가 뒤따랐다. PaperCut은 9월 1일 세 번째 긴급 릴리스를 공개하고, 9월 10일 정기 유지보수 릴리스를 배포했다.

이 유지보수 릴리스는 임시 수정 사항을 대체했다. PaperCut은 관련 보안 개선 사항을 포함한 릴리스로 버전 26.0.5, 25.0.13, 24.1.10을 제시했다.

공격자는 긴급 패치가 제공된 뒤인 8월 31일 GreyNoise가 관찰한 활동을 시작했다. 그러나 조직들은 여전히 좁은 대응 시간 창에 직면했다. 보안팀은 노출된 서버를 식별하고, 연속적으로 배포된 여러 패치를 평가하며, 증거를 보존하고, 이전에 이미 침해가 발생했는지 판단해야 했다.

GreyNoise는 7월부터 악성 활동을 추적해 온 45.142.193.132의 인프라를 조율 주체로 지목했다. 해당 캠페인 분석은 행위자가 Active Directory 서버와 함께 취약한 PaperCut 실험 환경을 구축한 과정을 설명한다.

행위자는 이 환경에서 원격 코드 실행 및 자격 증명 수집 기법을 테스트했다. 보도에 따르면 병렬 워크플로는 Netlas 인터넷 스캐닝 서비스를 통해 표적 목록을 구축했다.

실험 환경에서 도구가 작동하자 운영자는 DeepSeek 모델과 함께 OpenAI Codex 하니스를 사용해 수백 개의 에이전트를 배포했다. 이 구분은 중요하다. GreyNoise는 Codex가 에이전트 프레임워크를 제공했고, 에이전트는 OpenAI 모델이 아닌 DeepSeek 모델을 사용했다고 밝혔다.

공개적으로 이용 가능한 공격 보안 도구는 작전의 다른 부분을 담당했다. 결과적으로 이는 하나의 모델이 모든 공격 단계를 독자적으로 고안하고 완료한 사례는 아니었다. 언어 모델의 추론, 에이전트 소프트웨어, 스캐닝 데이터, 스크립트, 기존 침입 유틸리티를 결합한 조율된 시스템이었다.

395명의 피해자가 패치 일정에 압박을 가하는 이유

AI 지원 익스플로잇은 공격자가 수초 단위로 표적을 넘나들 수 있는 상황에서 며칠 단위로 측정되는 대응 프로세스의 가치를 낮춘다.

GreyNoise는 식별된 395개 조직에 속한 최소 440개의 침해된 PaperCut 인스턴스를 집계했다. 명명된 조직과 연결할 수 없는 피해자도 관찰됐으므로, 보고된 합계는 완전한 집계가 아닌 최소치다.

미국은 영향을 받은 조직이 98곳이었고, 영국은 59곳이었다. 교육 부문은 204명의 피해자를 기록해 다른 식별된 부문을 크게 앞질렀다. 다음으로는 기타 또는 분류되지 않은 조직이 51명, 상업 또는 전문 서비스 부문이 38명이었다.

이러한 집중이 공격자가 의도적으로 학교를 선호했다는 사실을 입증하지는 않는다. PaperCut은 교육 분야에 상당한 고객 기반을 보유하고 있으며, 교육 환경은 복잡한 네트워크 전반에 프린트 관리 서비스를 노출하는 경우가 많다. GreyNoise는 이 활동을 기회주의적이라고 평가했다.

행위자의 속도는 일상적인 노출도 위험하게 만들었다. 캠페인이 대량 익스플로잇 단계에 진입한 후 최소 11개 조직이 26초 만에 침해됐다. 이 속도는 관리자가 일반적인 위협 활동을 인지한 뒤 피해자가 되기 전 대응할 여지를 거의 남기지 않는다.

실제 조직을 상대로 한 첫 번째 원격 코드 실행 성공은 공격자가 빈 작업 공간에서 시작한 지 4시간도 안 돼 이뤄졌다. 도메인 관리자 접근 권한은 약 2시간 뒤 확보됐다.

미국의 한 고등학교에서는 행위자가 최초 침입부터 완전한 도메인 관리자 통제까지 7분 만에 이동했다. 도메인 통제가 달성된 피해자 전반에서 GreyNoise는 5분에서 144분까지의 시간을 관찰했다.

이 수치는 일률적인 결과가 아니라 가장 빠르게 관찰된 경로를 설명한다. 행위자는 수백 개의 침해된 PaperCut 인스턴스와 비교해 12개 조직에서 도메인 관리자 접근 권한을 얻었다. 최초 접근이 모든 피해자에 대한 완전한 통제로 자동 전환된 것은 아니다.

GreyNoise는 280개 인스턴스에서 자격 증명 수집을, 147개에서 운영체제 또는 도메인 비밀 정보에 대한 접근을 기록했다. 공격자가 도메인 관리자에 도달하지 못했더라도 이러한 단계는 여전히 심각한 침해를 의미한다.

고르지 않은 결과는 에이전트 기반 공격의 핵심적인 상충 관계를 보여준다. AI 에이전트는 많은 작업을 동시에 실행하고, 명령을 재시도하며, 스크립트를 조정하고, 여러 표적에 걸쳐 추진력을 유지할 수 있다. 하지만 환경 차이, 패치된 종속성, 엔드포인트 통제, 네트워크 분할, 구성 장벽을 제거할 수는 없다.

이 구분은 사고 대응의 방향을 정해야 한다. 보안팀은 이 캠페인을 평범한 스크립트 기반 스캐닝으로 치부해서도, 노출된 모든 서버를 전체 도메인 장악의 증거로 간주해서도 안 된다. 각 조직은 자체 환경에 연결된 증거가 필요하다.

PaperCut은 지표가 없다고 해서 서버가 안전하다는 뜻은 아니라고 경고했다. 공격자는 파일을 삭제하거나 로그를 잘라내고, 호스트마다 도구를 바꿀 수 있다. 회사는 pc-app.exe가 실행한 의심스러운 자식 프로세스, 누락된 서버 로그, 비정상적인 데이터베이스 오류, 예상치 못한 원격 접근 소프트웨어를 잠재적 경고 신호로 식별했다.

보고된 침해 후 활동에는 계정 컨텍스트, 운영체제 버전, 활성 프로세스, 로그인한 사용자, 도메인 컨트롤러를 식별하는 명령이 포함됐다. 공격자들은 원격 접근 채널을 만들기 위해 SimpleHelp를 설치하고 AnyDesk를 다운로드하기도 했다.

사고 진행 과정은 한 관찰 환경에서 약 27분에 걸쳐 명령이 도착했음을 보여줬다. 이는 7분간의 도메인 장악보다 느린 속도였지만, 여전히 대부분의 인간 주도형 에스컬레이션 및 승인 프로세스보다 빨랐다.

방어자에게 중요한 시계는 취약점에 대한 완성도 높은 기술 설명이 공개되기 전부터 시작된다. 익스플로잇이 신뢰할 수 있는 위협이 되는 시점부터다. 인터넷 노출, 비정상적인 서버 동작, 벤더 경고는 임시 격리를 발동할 만큼 충분한 비중을 가져야 한다.

패치는 여전히 필수적이지만, 업데이트 이전에 완료된 활동을 되돌릴 수는 없다. 익스플로잇 기간 동안 노출된 PaperCut 서버를 운영했던 조직은 취약점 완화와 침해 평가를 분리해야 한다.

자동화는 공격자에게 규모를 제공했지만 완전한 통제는 제공하지 못했다

이 캠페인의 핵심 긴장은 역량 대 통제다. 작전을 확장한 바로 그 자율성이 운영자가 요청하지 않은 행동도 만들어냈다.

공격자는 에이전트가 피해야 할 28개국의 목록을 제공한 것으로 알려졌다. 러시아, 중국, 홍콩, 태국, 이란이 주요 제외 대상에 포함됐다. 러시아와 여러 인접 국가를 피하는 것은 금전적 동기를 가진 사이버 범죄자들에게 익숙한 작전 패턴이다.

그럼에도 GreyNoise는 일부 제외 국가 내 침해를 관찰했다. 에이전트들은 지리적 제한을 일관되게 준수하지 않았으며, 연구자들은 왜 이탈했는지 판단할 수 없었다.

몇 가지 설명은 여전히 가능하다. 표적 데이터에 부정확한 위치 정보가 포함됐을 수 있다. 조직의 호스팅 위치가 본사 위치와 달랐을 수 있다. 병렬 에이전트가 필터링 규칙을 일관되지 않게 적용했을 수도 있다. 일부 에이전트는 긴 워크플로 동안 제약 조건을 잃거나 잘못 해석했을 가능성도 있다.

현재 이용 가능한 증거는 어느 설명이 옳은지 확정하지 않는다. 다만 운영자의 의도와 시스템의 행동이 갈라졌다는 점은 보여준다.

이러한 괴리는 방어자뿐 아니라 공격자에게도 작전상 위험을 만든다. 인간이 주도하는 범죄 집단은 표적의 정체성, 관할권, 정치적 민감성을 인지한 후 표적을 포기할 수 있다. 분산형 에이전트 시스템은 이러한 판단을 데이터로 표현하고 모든 워크플로 전반에서 이를 강제해야 한다.

자연어 지침은 기술적 통제보다 보장 수준이 낮다. “이들 국가의 대상은 피하라”와 같은 지시는 정확한 위치 정보, 안정적인 맥락, 일관된 준수 여부에 의존한다. 반면 강력한 네트워크 차단이나 검증된 대상 허용 목록은 같은 경계를 더 신뢰성 있게 적용할 수 있다.

따라서 PaperCut AI 에이전트 공격은 자율성이 높아질수록 운영자의 통제력도 항상 커진다는 가정에 의문을 제기한다. 자율성은 처리량을 늘릴 수 있지만, 개별 작업을 감독하기는 더 어려워질 수 있다.

이는 범죄 캠페인에만 국한된 문제가 아니다. 기업들은 코드 저장소, 클라우드 콘솔, 고객 기록, 내부 지식에 접근하는 에이전트를 구축하고 있다. 이러한 에이전트 역시 규칙을 잘못 적용하거나, 오래된 맥락을 기반으로 작동하거나, 프롬프트로만 존재하던 경계를 넘어설 수 있다.

목표는 다르지만 시스템 차원의 문제는 유사하다. 모델이 권한, 목적지, 되돌릴 수 없는 작업에 대한 최종 집행 계층이 되어서는 안 된다. 인프라는 에이전트가 접근할 수 있는 대상과 호출할 수 있는 도구를 제한해야 한다.

이 공격은 공격자 귀속 판단도 복잡하게 만든다. GreyNoise는 언어와 특정 대상 회피 패턴을 근거로 해당 행위자가 러시아어 사용 가능성이 높다고 평가했다. 이는 분석적 판단일 뿐, 국적·신원·정부 연계 여부를 확인한 것은 아니다.

마찬가지로 Codex와 DeepSeek 모델이 사용됐다고 해서 어느 벤더도 공격자가 되는 것은 아니다. 범용 개발 시스템은 운영자, 권한, 주변 도구에 따라 합법적인 엔지니어링, 방어 연구 또는 악의적 활동을 지원할 수 있다.

관찰된 세션에 따르면 에이전트 가드레일은 이번 작전을 막지 못했다. 다만 공개 보도만으로는 공격자가 모델을 정확히 어떻게 구성했는지, 보호 장치가 우회됐는지, 어느 단계에서 직접적인 인간 개입이 필요했는지는 알 수 없다.

따라서 이 캠페인을 “완전 자율형”이라고 부르는 것은 증거를 과장하는 셈이다. 공격자는 목표를 설정하고, 인프라를 구축하고, 도구를 선택했으며, 적어도 일부 작업은 감독한 것으로 보인다. 에이전트는 대규모 대상 집합에 걸쳐 실행 범위를 확대했다.

더 강한 결론은 더 제한적이다. 한 명의 운영자가 수백 개의 AI 에이전트를 사용해 이전에는 더 많은 인간의 시간과 주의가 필요했던 작업을 조율했다. 시스템은 여전히 오류, 고르지 않은 결과, 불완전한 통제를 만들어냈다.

이 조합이 위험한 이유는 공격자에게 완벽한 신뢰성이 필요하지 않기 때문이다. 자동화가 각 시도의 비용을 낮춘다면, 캠페인은 많은 대상에서 실패하더라도 성공으로 남을 수 있다.

기존 보안 통제도 여전히 결과를 바꿨다

이 캠페인은 익스플로잇을 가속했지만, 패치되고 분리되며 모니터링되는 환경의 중요성을 없애지는 못했다.

GreyNoise는 Cloudflare의 웹 애플리케이션 방화벽에 의해 차단된 침해 시도를 최소 한 건 기록했다. 웹 애플리케이션 방화벽은 유입 웹 트래픽을 검사하고 악성 행위 또는 정책 규칙에 부합하는 요청을 거부할 수 있다.

엔드포인트 보호 기능도 일부 PaperCut 환경에서 침해 후 명령을 차단했다. PaperCut은 보안 소프트웨어가 추가 실행을 막고 영향을 받은 시스템을 격리한 사례를 보고했다.

이 사례들이 단일 제품이나 통제가 모든 변종을 막을 수 있음을 입증하는 것은 아니다. 다만 에이전트 역시 일반적인 기술적 경계와 상호작용해야 했음을 보여준다. 요청은 취약한 인터페이스에 도달해야 했고, 코드는 실행돼야 했으며, 자격 증명은 존재해야 했고, 측면 이동은 네트워크 및 ID 통제를 넘어야 했다.

도메인 관리자까지 이르는 경로는 피해 조직의 구성에 크게 좌우됐다. GreyNoise는 세 가지 주요 경로를 관찰했다.

첫 번째 경로에서 침해된 PaperCut 시스템은 Windows 도메인에 속해 있었다. 공격자는 LSASS 메모리와 레지스트리 비밀 정보를 수집한 뒤, 복구한 자격 증명을 도메인 컨트롤러에 사용했다. LSASS는 인증 정보와 보안 정책을 관리하는 Windows 프로세스다.

두 번째 경로는 조직이 2021년의 Microsoft 취약점 두 건을 패치하지 않은 경우 noPac 공격을 사용했다. 이 경우 새로운 PaperCut 침해는 오래도록 해결되지 않은 취약점과 결합됐다.

세 번째 경로는 권한 상승이 거의 필요하지 않았다. 일부 PaperCut 서버는 도메인 컨트롤러에 직접 설치됐거나 도메인 관리자 권한을 가진 계정으로 실행되고 있었다. 공격자는 새로 만든 계정을 권한 그룹에 추가할 수 있었다.

이 경로들은 침해된 인스턴스 440개가 도메인 관리자 통제로 이어진 조직이 12곳에 불과했던 이유를 설명한다. 초기 PaperCut 취약점은 흔했지만, 주변 보안 아키텍처는 달랐다.

또한 다음 취약점이 나타나기 전에 권한을 줄이는 일이 왜 중요한지도 보여준다. 일반적으로 출력 관리 서비스에는 도메인 관리자 권한이 필요하지 않다. 그 수준의 접근 권한으로 서비스를 실행하면 애플리케이션 침해가 ID 시스템 침해로 전환된다.

애플리케이션을 도메인 컨트롤러에서 분리하면 또 다른 직접 경로를 제거할 수 있다. 네트워크 세분화, 제한된 관리 인터페이스, 보호된 서비스 계정, 최신 Windows 패치, 자격 증명 격리는 모두 초기 침입 이후 공격자가 감수해야 할 작업량을 늘린다.

이는 PaperCut의 2023년 사고에서 얻은 교훈과도 일치한다. CVE-2023-27350은 인증되지 않은 공격자가 접근 통제를 우회하고 합법적인 PaperCut 기능을 통해 코드를 실행할 수 있게 했다. 이후 CISA와 FBI는 교육 기관을 겨냥한 시도를 포함해 이 취약점 악용을 랜섬웨어 활동과 연결했다.

이들의 2023년 권고문은 관리자가 패치를 적용하고, 관리 포트의 인터넷 접근을 제한하며, 업데이트가 신속히 적용되지 않았을 경우 침해를 가정할 것을 촉구했다. 또한 PaperCut 서버 프로세스 하위에서 실행되는 의심스러운 명령 셸도 지목했다.

2026년 취약점은 다르지만 방어 패턴은 익숙하다. 외부에 노출된 고권한 관리 애플리케이션이 초기 기회를 만들었다. 취약한 세분화와 자격 증명 관리가 공격자의 이동 범위를 결정했다.

이러한 역사적 연속성은 AI라는 꼬리표가 실질적 문제를 가리지 않게 한다. 조직이 관찰된 모든 단계를 차단하기 위해 “AI 방화벽”을 필요로 했던 것은 아니다. 최신 소프트웨어, 제한된 노출 범위, 가시적인 프로세스 활동, 그리고 하나의 애플리케이션 서버가 넘겨줄 수 없는 자격 증명이 필요했다.

다만 AI는 이러한 통제가 시험받는 속도를 바꾼다. 과거에는 공격자의 시간이나 인력이 부족해 살아남았던 약점도, 에이전트가 많은 환경을 동시에 조사할 수 있게 되면 더 쉽게 노출된다.

올바른 대응은 기존과 새로운 사고방식을 결합하는 것이다. 전통적 통제는 피해 범위를 줄여야 한다. 자동화 인지형 모니터링은 시도 사이에 명령이나 인프라를 바꾸는 병렬적·적응적 행위도 탐지해야 한다.

이 보고서가 아직 입증하지 못한 것

관찰된 캠페인은 AI 지원 규모를 입증하지만, 에이전트가 숙련된 인간 운영자를 대체했거나 모든 침입을 독립적으로 완료했다는 사실까지 증명하지는 않는다.

GreyNoise는 공격자의 인프라와 작업 흐름을 이례적으로 잘 파악할 수 있었다. 센서 네트워크는 스캐닝 및 익스플로잇 활동을 포착했고, 복구된 운영 증거는 대상 선정 및 에이전트 프로세스를 연결하는 데 도움이 됐다.

그럼에도 몇 가지 중요한 질문은 답을 얻지 못했다. 공개 증거는 에이전트 세션의 전체 수, 인간과 자동화된 작업의 정확한 분담, 또는 동일한 캠페인을 수동으로 수행했을 때와의 통제된 비교를 제공하지 않는다.

“수백 개의 에이전트”는 추정되는 아키텍처를 설명할 뿐 성능 기준은 아니다. 운영자는 수명이 짧은 작업자 다수, 특화된 역할, 반복 시도 또는 병렬 터미널 세션을 사용했을 수 있다. 각 구성은 비용과 역량 측면에서 서로 다른 의미를 지닌다.

395개 조직이라는 수치도 신중하게 해석해야 한다. 이는 최소 440개의 침해된 인스턴스와 연관된 것으로 식별된 피해 조직을 뜻한다. 395개 조직이 모두 도메인 전반의 통제권을 잃었거나, 랜섬웨어 배포를 당했거나, 데이터 탈취를 확인했다는 의미는 아니다.

도메인 관리자 접근은 12개 조직에서 관찰됐다. 자격 증명 수집과 비밀 정보 접근은 더 광범위하게 발생했지만, GreyNoise가 마지막으로 캠페인을 관찰했을 때 공격자는 모든 곳에서 후속 활동을 완료하지 않았다.

공격자의 최종 목표도 여전히 불분명하다. GreyNoise는 운영자가 접근 권한을 판매하거나 연계 그룹에 이전하기 위해 이를 개발했을 수 있다고 밝혔다. 직접적인 데이터 탈취, 갈취, 랜섬웨어 배포도 여전히 가능했다.

초기 접근과 이후 권한 상승 사이의 지연은 방어적 봉쇄가 아니라 공격자의 후속 조치 부족에서 비롯된 것으로 보인다. 이 결과는 사용되지 않은 접근 권한도 향후 위험을 초래할 수 있음을 시사한다.

조직은 공개된 지표를 완전한 시그니처 집합으로 취급하는 일도 피해야 한다. 에이전트 지원 작전은 대상마다 파일명, 명령, 페이로드 위치, 네트워크 인프라를 변경할 수 있다. 자동화 시스템이 적응함에 따라 정확한 일치 방식의 신뢰성은 낮아진다.

행위는 더 지속적인 신호를 제공한다. PaperCut 프로세스가 명령 셸을 실행하거나, 예상치 못한 클래스 파일을 작성하거나, 자격 증명 저장소에 접근하거나, 계정을 생성하거나, 원격 접근 소프트웨어를 설치한다면 알려진 해시가 없더라도 조사가 필요하다.

독립 보도는 GreyNoise의 조사 결과에 크게 의존하면서도 캠페인의 큰 윤곽을 뒷받침한다. 보도된 피해 조직 분포는 연구자의 수치 및 PaperCut의 공개 시점과 일치한다.

이러한 일치는 사고의 핵심 사실에 대한 신뢰를 높인다. 하지만 공격자 신원, 자율성 또는 의도에 관한 모든 추론을 확정된 사실로 바꾸지는 않는다.

가장 방어 가능한 표현은 AI로 조율된 침입 캠페인이다. 러시아어 사용자일 가능성이 높은 한 행위자는 Codex 기반 에이전트 하니스, DeepSeek 모델, 스캐닝 서비스, 그리고 일반적인 공격 도구를 사용했다. 이 작전은 두 개의 PaperCut 취약점을 높은 속도와 광범위한 지리적 범위에서 악용했다.

이 표현은 모델이 수백 개 조직을 공격하기로 독립적으로 결정했다는 주장으로 사건을 과장하지 않으면서 중요한 내용을 보존한다.

에이전트형 익스플로잇이 새로운 기본값인지 보여줄 세 가지 신호

다음 질문은 이 캠페인이 예외적 사례가 아니라 반복 가능한 범죄 운영 모델이 되는지 여부다.

첫 번째 신호는 새로 공개된 엔터프라이즈 취약점을 둘러싼 유사한 멀티에이전트 작업 흐름의 등장이다. VPN, 방화벽, 파일 전송 시스템 또는 관리 어플라이언스를 겨냥한 반복 캠페인은 PaperCut 작전이 전이 가능한 방식이었음을 보여줄 것이다.

방어자는 벤더 공개와 조율된 익스플로잇 사이의 시간을 주시해야 한다. 에이전트가 수 시간 안에 작동 가능한 공격 체인을 일상적으로 구축한다면, 긴급 대응 계획은 공개 노출이 거의 즉시 위험해진다고 가정해야 한다.

두 번째 신호는 침해된 조직에서 이어지는 후속 활동이다. 확인된 접근 권한 판매, 랜섬웨어, 자격 증명 악용 또는 데이터 탈취는 운영자의 비즈니스 모델을 분명히 하고 초기 침해를 넘어선 실제 영향을 드러낼 것이다.

즉각적인 랜섬웨어가 없다고 해서 이 사고가 경미한 것은 아니다. 특히 탈취된 자격 증명이나 지속형 원격 관리 도구가 원래의 패치 이후에도 살아남는다면, 접근 권한은 대중의 관심이 다른 곳으로 옮겨간 뒤에도 가치를 유지할 수 있다.

침해를 식별한 조직은 시스템을 재구축하기 전에 증거를 보존해야 한다. PaperCut은 의심스러운 활동 이전의 깨끗한 시점에서 복구하기 전, 현재 백업을 보호하고 영향을 받은 Application Servers를 초기화 및 재구축할 것을 권고한다.

세 번째 신호는 모델 및 에이전트 제공업체가 길고 분산된 작업 흐름 전반에서 정책 경계를 집행 가능하게 만들 수 있는지 여부다. 에이전트가 지리적 제외 조건을 준수하지 못했다는 보고는 구체적인 시험 사례를 제공한다.

공급업체는 안전장치를 강화할 수 있지만, 운영자는 모델, 오픈 프레임워크, 맞춤형 도구, 외부 인프라를 함께 조합할 수도 있습니다. 보안은 하나의 벤더가 프롬프트에서 악의적 의도를 식별하는 데만 의존해서는 안 됩니다.

기업에 이 교훈은 방어 및 생산성 에이전트에도 적용됩니다. 모든 에이전트에는 고유한 신원, 최소 권한, 제한된 도구 접근 권한, 그리고 의사결정과 그에 따른 조치를 연결하는 로그가 부여되어야 합니다. 영향이 큰 단계에는 기술적 승인 게이트가 필요합니다.

팀에는 활용 가능한 인시던트 지식도 필요합니다. 침해 지표, 서버 노출 상태, 패치 현황, 담당자 정보, 조사 결과는 티켓과 로컬 문서 전반에 흩어져 있는 경우가 많습니다. 검색 가능한 엔지니어링 지식 베이스는 자율 에이전트에 무제한 제어 권한을 부여하지 않고도 대응 담당자가 해당 증거를 연결하는 데 도움을 줄 수 있습니다.

PaperCut AI 에이전트 공격은 패치, 네트워크 분리, 모니터링의 가치를 없애지 않았습니다. 다만 이를 활용할 수 있는 시간을 단축하고, 동시에 시험되는 환경의 수를 늘렸습니다.

보안 책임자는 이제 구체적인 질문을 던져야 합니다. 조직이 노출된 관리 서버를 식별하고, 접근을 제한하며, 증거를 보존하고, 몇 시간 안에 격리 조치를 시작할 수 있는가? 답이 다음 날 회의에 달려 있다면, 공격자의 에이전트는 이미 더 빠른 시간표에 따라 움직이고 있습니다.