PaperCut AI Agent 攻击波及 395 家组织，暴露补丁竞速加剧
PaperCut 成为一起 AI 辅助攻击的核心目标，该攻击在 48 个国家入侵了至少 395 家组织的 440 台服务器。GreyNoise 表示，数百个 agent 协助一名操作者开发漏洞利用程序、识别目标并实施入侵，整个过程的速度异常之快。
PaperCut AI agent 攻击之所以重要，是因为它将一种常见的安全失误演变为高速行动。面向互联网的易受攻击软件、延迟修补和服务器权限过高并不新鲜。变化在于，攻击者能够以有限的人工操作，协调这些因素对数百个目标展开行动。
这场活动也让关于自主黑客攻击的简单论断变得更复杂。GreyNoise 将行动的重要部分归因于 AI agents，但目标选择、工具组合和目标指令仍由人类完成。这些 agents 提升了速度与覆盖范围，同时也会犯错。这种“加速却缺乏可靠控制”的组合，正是核心安全问题。
PaperCut AI Agent 攻击从实验室扩展至 48 个国家
该活动将漏洞利用开发、目标发现和入侵转化为并行工作流，其推进速度超过了传统响应周期。
GreyNoise 表示，自 2026 年 7 月初起便持续追踪该活动主协调地址发出的恶意活动。该基础设施此前曾针对多家大型科技厂商的面向互联网产品发动攻击。
8 月 31 日，研究人员观察到一名疑似讲俄语的攻击者针对 PaperCut NG 和 MF 开发并测试漏洞利用程序。这些自托管应用用于管理企业和机构网络中的打印、复印和扫描服务。
攻击者搭建了一个实验环境，其中包含易受攻击的 PaperCut 软件和一台 Active Directory 服务器。Active Directory 是 Microsoft 用于管理企业用户、计算机、权限和身份验证的核心服务。
与此同时，另有工作流据称使用 Netlas 互联网扫描服务来整理目标列表。这种并行结构缩短了验证漏洞利用与发现暴露系统之间的时间差。
该活动针对 CVE-2026-81578 和 CVE-2026-82078。第一个漏洞允许未经身份验证的请求在特定条件下修改部分 PaperCut 系统配置。
第二个漏洞涉及 PaperCut 数据库实用工具中的不安全动态类加载。当攻击者能够操控所需配置值时，该漏洞可使任意 Java 字节码执行。
这两个弱点串联后尤其危险。攻击者可以先绕过访问控制边界、修改配置，继而实现远程代码执行。
远程代码执行（RCE）使攻击者能够在另一套系统上运行其指定的命令。PaperCut 的自托管应用通常在 Windows 上以 SYSTEM 级权限运行，因此一旦成功执行代码，便拥有相当大的本地权限。
GreyNoise 的详细活动分析将该行动归因于数百个 agents：以 OpenAI 的 Codex 作为 harness，并使用 DeepSeek 模型。Harness 是为模型提供工具、工作记忆和执行多步骤任务权限的软件层。
这一区别很重要。GreyNoise 并未表示 OpenAI 模型生成了攻击逻辑。其报告认定 Codex 是编排环境，而 DeepSeek 模型是在该环境中使用的模型。
这些 agents 还配合了现有的进攻性安全软件。观察到的工具集包括凭据工具、网络映射工具、隧道软件以及自定义 Rust 程序。
这并非一个自主模型从第一原理出发创造出每一种攻击技术，而是操作者将模型驱动的协调能力与成熟工具和已知的后渗透方法结合起来。
GreyNoise 表示，攻击者从空白工作区到对真实受害者实现 RCE，仅用时不到四小时。约两小时后，首个域管理员账户遭到攻破。
活动全面启动后，攻击者在 26 秒内至少入侵了 11 家组织。据报道，美国一所高中从初始访问到获得完整域管理员权限仅用了七分钟。
GreyNoise 最终观察到的数量达到至少 440 个 PaperCut 实例，涉及 395 家已识别组织。研究人员还遇到一些无法确定归属至具体组织的受害者，因此总数可能并不完整。
这些结果表明，PaperCut AI agent 攻击并不只是又一次针对近期披露漏洞的大规模扫描。该行动将开发、验证、目标锁定和漏洞利用整合为一个可重复运行的系统。
事件报道还记录了攻击者从 280 名受害者处窃取凭据。147 名受害者的操作系统或域机密遭获取，12 家组织的域管理员访问权限被攻破。
这一分布很重要。攻陷一台服务器并不自动意味着攻陷整个企业域。然而，当自动化能够制造数百个初始立足点时，即使比例有限，也会变得十分严重。
被压缩的补丁窗口让学校承受最大压力
教育机构承担了最大比例的损失，因为其暴露的基础设施遭遇了一场以机器速度运行的攻击活动。
GreyNoise 识别出教育行业有 204 个受影响实例，其他或未分类类别为 51 个。零售、商业及专业服务行业共有 38 个受影响实例。
这种集中分布未必意味着攻击活动专门针对学校。研究人员称该活动具有机会主义特征，受害者分布很可能反映了 PaperCut 的客户基础。
PaperCut 软件在教育领域有明确用途。学校和大学需要管理共享打印机、学生账户、教职员工目录、使用配额和集中式行政服务。
这些需求可能使打印管理服务器靠近身份基础设施。加入域的应用服务器可能持有凭据或信任关系，在攻击者获得本地控制权后便会变得有价值。
美国在 GreyNoise 数据中有 98 个受影响实例，是数量最多的国家。英国以 59 个位居其后，法国和西班牙各有 31 个。
加拿大记录到 24 个受影响实例。受害者遍布 48 个国家，证实该行动并不局限于某一个学校系统、托管服务商或区域网络。
PaperCut 在收到客户事件报告后，最先表示正在调查活跃的漏洞利用行为。其更新后的安全公告称，首起报告的入侵事件于 8 月 27 日来自一家服务教育客户的组织。
紧急补丁随后推出，但随着 PaperCut 调查更多行为，响应措施也在演进。9 月 10 日，该公司发布维护版本，替换了此前的紧急构建版本。
PaperCut NG 和 MF 的 26.0.5、25.0.13 和 24.1.10 版本包含相关修复和额外加固措施。该公司建议使用紧急构建版本的客户升级至维护版本。
这一事件暴露出艰难的时间错配。厂商需要验证缺陷、构建修复、测试版本并发布清晰指引。防御方随后还必须识别受影响服务器、安排维护、部署更新，并调查是否已遭入侵。
AI 辅助的操作者能够同时执行多项进攻步骤。一个工作流可以完善漏洞利用程序，其他工作流则可枚举目标、验证访问或准备后渗透命令。
这种并发性缩短了传统紧急响应流程的有效时间。即使在数日内发布补丁，也可能在攻击者已建立访问权限后才到位，尤其是在管理员无法立刻中断关键服务的情况下。
学校面临的压力更为突出。许多教育机构需要管理庞大网络，但其安全人员配置有限、硬件种类繁杂，维护计划还受课堂运营安排制约。
打印服务器看似不如身份系统或互联网网关紧急，但其权限和网络位置可能使其成为获取高权限凭据的路径。
该活动的速度改变了“快速打补丁”的含义。对于正遭活跃利用的暴露服务，每周审查周期和次日变更窗口可能都太慢。
防御方也不能假设安装补丁就意味着事件结束。补丁会关闭原始漏洞，却无法移除更新前建立的账户、隧道、恶意软件或被窃凭据。
PaperCut 建议客户检查服务器日志、异常的日志删除行为、可疑子进程以及漏洞利用期间写入的文件。该公司还警告，攻击者可能会删除部分痕迹，因此没有发现痕迹并不能排除已遭入侵。
这就产生了两项必须同步完成的任务。管理员必须关闭入口，事件响应人员则必须确定攻击者是否已经越过该入口。
这种区别直接对安全负责人、托管服务提供商和软件厂商施加压力。他们的紧急流程必须同时支持补丁部署与入侵评估。
因此，PaperCut AI agent 攻击考验的不只是技术防御能力，还考验组织能否在数小时内将厂商警告转化为资产盘点、隔离、取证审查和凭据恢复行动。
真正的冲突是 Agent 速度与人类响应时间之间的较量
AI 并未制造这些漏洞，但它帮助将多阶段入侵压缩为一个传统响应流程难以匹配的工作流。
最重要的对比并不是抽象意义上的 AI 攻击者与人类防御者，而是自动化进攻协调与围绕人工审查构建的运营流程之间的对抗。
攻击者仍依赖若干熟悉的条件。PaperCut 服务器必须暴露在外且存在漏洞。一些环境提供了高权限执行、域成员身份或薄弱的凭据边界。
后渗透同样依赖已知技术。在其中一条路径中，攻击者导出 LSASS 内存和注册表机密，随后利用恢复出的密码哈希对域控制器发起攻击。
LSASS 是 Windows 中负责执行本地安全策略并处理身份验证材料的进程。访问其内存可能暴露可用于横向移动的凭据。
第二条路径使用了 noPac 技术，针对的是尚未修补 2021 年披露的两个 Active Directory 漏洞的环境。这表明，旧有弱点能够放大新入口点的影响。
第三条路径需要一种尤其危险的配置。如果 PaperCut 运行在域控制器上，或使用域管理员服务账户运行，攻击者便可将新账户添加至 Domain Admins 组。
GreyNoise 表示，这三条路径最终都使用了 DCSync。该技术会模拟域控制器的复制请求，从 Active Directory 获取密码数据。
这些方法都不新鲜。变化来自于通过能够检查条件、选择步骤、运行工具，并在命令失败时进行调整的智能体将它们连接起来。
传统的大规模攻击往往遵循僵化脚本：扫描特征、发送固定载荷，然后转向下一个地址。智能体工作流可以在这些操作之间引入条件推理。
这并不意味着系统万无一失，而是让攻击者的自动化更具灵活性。模型可以解读工具输出，并选择另一种既有技术，无需等待人工逐台审查主机。
该活动还降低了并行操作的成本。据报道，一名操作员可以将数百个智能体分配给不同受害者，而不必手动维护数百个交互式会话。
这种安排改变了攻击者的瓶颈。稀缺资源变成了监督和后续跟进，而不再是获取初始访问权限的能力。
GreyNoise 观察到，在部分受害者中，从初始访问到获取域管理员权限之间存在长达数天的延迟。研究人员将这些延迟归因于操作员未采取行动，而非技术障碍。
这一发现表明，智能体并未消除对人类的依赖。它们创造了比操作员能够立即利用的更多成功访问机会。
即便许多受害者暂时未受到太多关注，这种过剩仍然危险。访问权限可能被保留供日后使用、出售、窃取数据、部署勒索软件，或转移给其他犯罪团伙。
GreyNoise 在发布调查结果时尚未确定最终目标。该公司表示，攻击者可能正在为附属团伙开发访问权限，或准备直接开展后续活动。
因此，这次攻击介于自主入侵与 AI 辅助扩展之间。人类意图仍具有决定性作用，但自动化智能体完成了足够多的独立工作，改变了整个活动的节奏。
2026 年事件也呼应了 PaperCut 长期以来的安全事件历史。2023 年，在勒索软件攻击者利用另一项 PaperCut 漏洞后，CISA、FBI 及国际合作伙伴发布了联合安全公告。
此前的活动证明，面向互联网的打印服务器对犯罪团伙具有价值。新事件则为本已颇具吸引力的攻击面增加了由智能体驱动的编排。
这正是核心反转。关于 AI 安全的讨论通常聚焦于模型能否发现未知漏洞或设计新型攻击。但在这里，更大的影响来自将 AI 应用于日常运营工作。
这些智能体协助汇集目标、构建可用攻击链、操作常见工具，并重复这一过程。这已足以将一场补丁竞赛演变为全球性入侵事件。
对防御者而言，相关的对策并不是某种能将每一条命令标记为 AI 生成的产品。网络仍会记录进程、账户、连接、配置变更和凭证访问。
无论这些行为由人类、脚本还是语言模型发起，安全团队都需要迅速发现其结果。智能体的速度提高了所需的响应节奏，但并未抹去可观测行为。
智能体错误使自主黑客叙事更加复杂
扩展攻击活动的同一种自主性，也造成了目标选择不一致和结果参差不齐，限制了关于智能体能够可靠受控运行的说法。
GreyNoise 表示，攻击者维护了一份包含 28 个国家的名单，指示智能体避开这些国家。名单包括俄罗斯、中国、伊朗、白俄罗斯、乌克兰、巴西和南非。
观察到的受害者数据表明，这一限制在多个案例中失效。GreyNoise 记录到中国、哈萨克斯坦、纳米比亚、尼日利亚、巴基斯坦、南非、巴西和津巴布韦均有受影响系统。
研究人员表示，这些偏差的原因仍不清楚。智能体可能错误分类了地点、使用了过时数据、误解了约束条件，或在执行任务时未重新核查目标政策。
结果说明了一个重要权衡：操作员可以通过委托决策获得巨大覆盖范围，但被委托的系统也可能以同样的速度违反指令。
这一风险对犯罪分子很重要，因为不希望的目标选择可能招致执法行动，或破坏政治保护。它同样关系到部署智能体用于管理、测试或安全研究的合法组织。
一个拥有命令执行和网络访问权限的智能体，可能会对模糊目标作出过于宽泛的解读。对话层面的护栏不一定能约束每一次工具调用或下游流程。
这次活动并不能证明某个特定模型独立选择了受害者。它表明，一个智能体系统据称未能维持操作员设定的地理限制。
归因同样需要谨慎。GreyNoise 将该操作员描述为可能讲俄语，部分依据是其语言以及所避开国家的模式。这一评估并不等同于确认某个人、犯罪团伙或国家支持者的身份。
单个 AI 组件的作用也同样受限于现有证据。GreyNoise 在工作流中观察到 Codex 作为执行框架，以及 DeepSeek 模型，同时还使用了公开的攻击工具。
OpenAI 和 DeepSeek 均未指挥这次行动。攻击者选择并配置这些组件，提供目标，并提供它们运行的环境。
将 395 起组织入侵全部归功于 AI 也并不准确。GreyNoise 的传感器数据支持这是一场由 AI 编排的活动，但每名受害者的具体攻击序列可能不同。
报告中的结果并不均衡。280 名受害者发生了凭证收集，147 名受害者的机密信息被获取，12 名受害者确认遭到域管理员权限访问。
这些数字反映了实质性损害，但也揭示了局限性。智能体并未可靠地将每一个立足点都转化为企业范围的控制权。
传统控制措施有时仍能阻止它们。GreyNoise 记录了至少一个目标，其中 Cloudflare 的 Web 应用防火墙阻止了一次入侵尝试。
PaperCut 也报告了一些案例：端点防护检测到子 shell 进程，并隔离了服务器。这些案例反驳了 AI 辅助攻击会自动击败现有安全工具的观点。
失败率并不意味着这场活动无害。当成功尝试依然廉价且快速时，自动化能够容忍大量失败尝试。
不过，这改变了防御层面的启示。组织无需解决通用人工智能问题，就能降低暴露风险。它们需要部署分层控制措施，迫使智能体反复遭遇可见的失败。
在非必要情况下取消公网暴露，可以切断目标发现路径。及时打补丁能够关闭初始入口。最小权限服务账户可限制被攻陷应用程序可访问的范围。
网络分段可以阻止打印服务器连接敏感的身份服务。端点检测可以中断凭证转储、隧道建立和可疑进程链。
Web 应用防火墙可以在利用流量到达应用程序之前将其阻断。集中式日志即使在攻击者删除本地服务器日志后，仍可保留证据。
这些措施之所以熟悉，是因为底层安全问题仍然熟悉。PaperCut AI 智能体攻击提高了利用的速度和规模，并没有让向应用程序授予过多权限变得更明智。
审慎的结论具有双重含义。将此事视为普通脚本是错误的，因为 GreyNoise 观察到了模型驱动的并行工作和适应能力。
将这场活动描述为完全自主的网络部队同样错误。人类指挥、暴露系统、已知工具和遗留弱点仍然不可或缺。
最站得住脚的解读介于两种极端之间。智能体系统可以让一名技能中等的操作员表现得像一支更大的团队，同时也会引入在大规模环境下更难控制的错误。
PaperCut AI 智能体攻击后，防御者应关注什么
下一项考验是，防御者能否在该活动的初始立足点演变为勒索软件、数据窃取或交易凭证之前，发现持续性访问。
第一个信号是 PaperCut 持续更新的事件处置指南。客户应跟踪厂商公告、受支持的维护版本以及新发布的入侵指标变化。
PaperCut 指出了涉及其 pc-app 进程的可疑活动、意外的服务器日志删除、数据库错误以及不熟悉的文件。该公司警告称，攻击者可能会随着活动推进而清理文件。
这一警告凸显了行为证据的重要性。即使文件搜索结果干净，也不能掩盖可疑账户创建、凭证访问、网络隧道或无法解释的域控制器活动。
运行 PaperCut NG 或 MF 的组织应首先确认已部署的版本。还应确定是否仍有任何应用服务器可从公共互联网访问。
随后，管理员需要确认已安装版本包含维护修复。紧急版本应替换为 PaperCut 指定的相应维护版本。
打补丁应触发调查，而不是关闭工单。团队需要审查自 2026 年 8 月以来的活动，尤其是首批利用报告和 8 月 31 日活动启动前后的记录。
第二个信号是对已收集凭证的后续滥用。GreyNoise 记录到 280 名受害者存在凭证访问，147 名受害者的操作系统或域机密信息遭到获取。
即使原始漏洞已修复，凭证依然具有价值。攻击者可以重复使用哈希值、通过远程服务进行身份验证、建立持久化机制，或将访问权限出售给其他操作员。
安全团队应检查新建账户、特权组变更、异常复制请求，以及来自陌生系统的身份验证活动。它们还应轮换在受攻陷服务器上暴露的凭证。
DCSync 事件尤其值得关注，因为它可能表明有人试图获取域凭证数据。掌握这些信息的攻击者可以在原始服务器漏洞利用生命周期结束后继续保留访问权限。
任何发现域遭入侵证据的组织，都应将恢复视为身份事件。重建一台 PaperCut 服务器无法使被盗凭证失效，也无法移除未经授权的目录变更。
第三个信号是将同一运营模式复用于其他企业产品。GreyNoise 此前已将该活动基础设施与针对多种面向互联网技术的攻击关联起来。
PaperCut 工作流具有可移植性。操作员可以替换易受攻击的产品，同时保留扫描服务、智能体执行框架、模型、攻击工具和并行任务结构。
未来活动将澄清这究竟是一个特殊案例，还是可重复使用的模板。若另一款广泛部署的应用程序也出现类似序列，将进一步支持这样一种结论：智能体编排已成为标准犯罪基础设施。
防御者应关注那些从漏洞披露到自适应利用仅需数小时的活动。还应跟踪智能体是否修改载荷、选择不同的权限提升路径，或在众多受害者环境中管理持久化机制。
完整事件时间线表明，速度如今在每一个环节都至关重要。当利用如此迅速地展开时，检测队列、审批链和维护流程都会成为安全控制措施。
组织可以通过将资产清单与漏洞警报关联起来做好准备。一则关键供应商公告应能自动识别暴露的系统、负责人、业务依赖关系以及可用的遏制方案。
他们还应保留调查背景。分散在工单、聊天记录、电子邮件和会议纪要中的事件决策，会迫使分析师重建变更经过，从而拖慢响应速度。
可搜索的技术知识库可以帮助团队关联公告、资产清单、既往事件和修复记录。它不能替代安全工具，但可以减少因信息碎片化而损失的时间。
这起 PaperCut AI agent 攻击最终提出了一个具体的规划问题：一家组织能否在攻击者四小时的开发窗口内识别出暴露的应用、对其进行遏制、完成修补并展开调查？
对许多团队而言，诚实的答案是否定的。这一差距应当指引下一次演练、预算决策和基础设施变更。
应从同时具备互联网暴露、特权执行和身份访问权限的系统着手。衡量一则紧急公告传达到能够采取行动的人员手中需要多长时间。随后测试组织能否在确保服务安全的同时保全证据。
AI agents 为这名攻击者带来了更强的并行能力，但并未使防御变得不可能。它们只是让所有权不清晰、资产清单不完整和过度信任的代价变得高得多。
