PaperCut AI 攻击波及 395 家组织，安全时钟被大幅压缩

据威胁情报公司 GreyNoise 称，PaperCut AI 攻击至少入侵了分布在 48 个国家、已确认属于 395 家组织的 440 台服务器。据报道，数百个编程代理协助一名操作者开发漏洞利用程序、寻找暴露系统，并并行发起攻击。该行动启动后，至少 11 家组织在 26 秒内遭到入侵。

这种速度是最关键的事实。犯罪团伙多年来一直在自动化互联网扫描和漏洞利用。而据报道，这次行动加入了能够解读结果、调整命令、管理独立工作区，并沿不同攻击路径继续推进的代理。

这场行动也暴露了这种方式的局限性。一些代理攻击了操作者明确列为禁区国家中的组织。防御措施仍然阻止了部分攻击，而攻击者仅在 12 名已确认受害者处获得了域管理员权限。

这并不是一个自主软件击败所有安全控制措施的故事。它警示我们：一名操作者就能借助 AI 编排压缩入侵的多个阶段。当漏洞利用开发和大规模部署能够在数小时内完成时，以天为单位计算的补丁窗口将显得危险地宽裕。

PaperCut AI 攻击究竟改变了什么

该行动将代理式编程基础设施转变为大规模漏洞利用的执行层，而不再只是编写恶意代码的助手。

GreyNoise 将该活动归因于一名可能使用俄语的威胁行为者，其基础设施与 IP 地址 45.142.193.132 有关。其详细的行动分析称，该行为者于 2026 年 8 月 31 日开始针对 PaperCut 的行动。

目标是 PaperCut NG/MF，这是一款通常连接至组织目录的自托管打印管理软件。这些服务器负责打印、扫描、复印、用户及相关策略管理。在 Windows 上，该应用通常以 SYSTEM 权限运行，为成功入侵者提供了极具价值的立足点。

该行为者瞄准了两个新披露的漏洞：CVE-2026-81578 和 CVE-2026-82078。第一个漏洞涉及管理界面中的不当访问控制。在特定条件下，未经身份验证的请求可在访问检查完成前触发管理操作。

第二个漏洞涉及不安全的动态类加载。攻击者修改相关配置后，可导致应用加载并执行任意 Java 字节码。将这两个缺陷串联起来，便可形成从暴露的管理界面到远程代码执行的攻击路径。

PaperCut 最初于 8 月 27 日澳大利亚东部标准时间上午 9:42 了解到可疑活动。一名教育行业客户报告称，其 PaperCut MF 服务器似乎已遭入侵。该公司的响应时间线称，调查人员最初认为攻击可能利用了一个较早、已修复的漏洞。

但日志指向了一条此前未知的路径。PaperCut 宣布启动最高优先级事件响应，并将该活动视为已被利用的零日漏洞，即防御者在通用修复方案推出前便已遭遇攻击。

该公司敦促客户将直接暴露于互联网的应用服务器下线。同时，它在与受影响客户及外部研究人员合作重建漏洞利用链的过程中，开始发布紧急缓解措施。

GreyNoise 表示，后续攻击者搭建了一个包含存在漏洞的 PaperCut 软件和 Active Directory 服务器的实验环境。Active Directory 是 Microsoft 用于管理企业网络中身份、计算机和权限的系统。

据报道，数百个代理通过 OpenAI 的 Codex harness 运行，并使用 DeepSeek 模型完成底层模型工作。这一区别很重要：harness 为代理提供工作环境，而模型则在这些工作流中生成或评估操作。

操作者还使用互联网资产发现服务 Netlas 创建潜在目标列表。实验环境中的工作实现远程代码执行和凭据窃取后，代理便从开发转向攻击面向公网的系统。

GreyNoise 统计到至少 440 个遭入侵的 PaperCut 实例，归属于 395 家已确认组织。该公司警告称，更多受害者无法被可靠地关联到具体组织。因此，这些数字应被视为观测到的最低值，而非完整统计。

PaperCut AI 攻击之所以重要，在于据报道代理覆盖了多项彼此衔接的任务：协助构建和完善漏洞利用程序、在实验环境中测试、识别暴露目标，以及执行并行入侵工作流。传统自动化能够快速运行命令，但通常依赖在执行前预先编写好的分支。

代理可以在解读结果后选择工具。这并不意味着它具有人类意义上的智能，却能让操作者外包更多中间决策，减少扫描、利用和后渗透之间所需的人工协调。

这种差异带来了该行动惊人的速度爆发。GreyNoise 称，操作者从一个空工作区到对真实受害者实现远程代码执行，用时不足四小时。大约两小时后，便获得了域管理员访问权限。

在工作流得到验证后，规模随之而来。完整行动启动时，至少 11 家组织在 26 秒内遭到入侵。传统事件响应假定新漏洞披露、可用漏洞利用程序出现和广泛部署之间存在一定延迟。而在这里，这些阶段几乎坍缩为一个连续过程。

教育网络承受了最大压力

学校承担了最大份额的损失，因为 PaperCut 的暴露面和受限的补丁环境造就了异常有利的目标群体。

GreyNoise 在 395 家组织中识别出 204 名教育行业受害者。排名第二的类别是其他或未分类组织，共计 51 家。零售、商业和专业服务行业随后，共计 38 家。

这一分布并不能证明攻击者刻意选择了学校。GreyNoise 将该行动描述为机会主义行为，并将这种集中度与 PaperCut 的客户群联系起来。学校、学院和大学通常在校园、图书馆、实验室和行政办公室之间运行集中式打印服务。

美国有 98 名已确认受害者，英国有 59 名。法国、西班牙和加拿大的组织也较为突出。观测到的受害者集合总计覆盖 48 个国家。

教育网络结合了多种会提高风险的条件。它们通常支持大量用户、非受管设备、遗留应用程序和分散设施。维护窗口还必须与课程、考试、招生周期及有限的技术人员资源竞争。

打印管理服务器也可能看起来不如身份提供商或互联网网关关键。但当服务器加入域、以高权限运行并可访问其他内部系统时，这种认知就会变得危险。

在美国的一所高中中，GreyNoise 观察到从初始访问到完全获得域管理员权限仅用了七分钟。域管理员权限可让入侵者广泛控制与目录连接的账户、策略和 Windows 系统。

这一结果并非每名受害者的典型情况。GreyNoise 仅在 12 家组织中观察到域管理员访问权限，占已确认总数的一小部分。但这所高中的案例表明，当暴露面、凭据和内部配置都对攻击者有利时，攻击可能造成的最高影响。

据攻击机制分析，攻击者从 280 名受害者处窃取了凭据，并从 147 名受害者处获取了操作系统或域机密。这些结果使事件的影响超出了简单的 Web 应用入侵。

即使管理员修复了原始漏洞，被盗凭据仍可能继续发挥作用。攻击者可以复用密码哈希、服务账户、证书或新创建的账户，通过不同路径重新进入。这使遏制攻击和轮换凭据与安装软件更新同等重要。

调查人员报告了三条通往更高权限的常见路径。其中一条是从连接到域的服务器中提取 LSASS 内存和注册表机密。LSASS 是处理身份验证材料的 Windows 进程，一旦遭到入侵，可能暴露凭据哈希。

攻击者随后可使用 pass-the-hash，这是一种无需知道原始密码、仅凭截获的密码哈希进行身份验证的技术。另一条路径利用了 noPac，这是一种针对尚未修复两个较早 Active Directory 漏洞的组织的既有攻击方式。

第三条路径更为直接：如果 PaperCut 运行在域控制器上，或以域管理员服务账户运行，攻击者就能创建账户并将其加入 Domain Admins 组。

据报道，入侵者在获得足够权限后使用了 DCSync。DCSync 会模拟域控制器的复制行为，从 Active Directory 请求密码信息。成功执行后，可能暴露整个域中的凭据。

这些路径说明，配置决定了影响程度。同一个初始漏洞利用会因服务器部署位置、服务账户权限、旧补丁状况以及对目录基础设施的访问条件不同，而产生不同结果。

直接压力落在负责 PaperCut 的管理员身上，但责任不能止步于此。身份团队必须检查凭据是否暴露。安全运营团队必须调查初始入侵后的活动。网络团队必须重新审视，为何打印管理界面能够直接暴露于公网。

高管还面临一个棘手的时间问题。紧急补丁流程通常需要兼容性检查和变更审批。而在这些步骤还在安排时，AI 编排攻击者就可能已经采取行动。

PaperCut 自己的报告认为，首位客户的检测和取证团队保存了宝贵证据。受影响的虚拟机被迅速隔离，使调查人员得以恢复帮助揭示漏洞利用路径的日志。

这是对该行动速度的重要制衡。某一所学校的快速检测帮助供应商向更庞大的客户群发出警告。教育组织在受害者中占据很大比例，但一名教育客户也提供了响应行动不可或缺的证据。

核心权衡在于速度与控制

代理群体能够提高攻击者的吞吐量，但也会引入协调故障，可能暴露意图并浪费既有访问权限。

“AI swarm”一词容易让人联想到拥有共同战略意识、协同行动的数字军队。实际观察到的系统没有那么戏剧化，而更具实用性。据报道，一名人类操作者创建了许多代理工作区，并为它们分配并行任务。

每个工作空间都可以开发代码、运行工具、处理输出，或针对不同目标采取行动。由于数百个工作流并发运行，其整体效果如同蜂群。它们的价值来自并行执行和本地适应，而非完美的集体推理。

运营者报告的推进过程解释了这一优势。代理先在受控实验环境中工作，直到找到一条可行路径，以实现远程代码执行和凭据访问。随后，运营者无需亲自管理每一条命令，就能将该工作流复制到目标列表中。

这种安排改变了攻击者的经济模式。一个人可以同时探索多个假设，保留成功分支，并舍弃失败尝试。一旦某个流程奏效，更多代理便可将其应用于大量暴露的系统。

这些工具本身并不罕见。GreyNoise 发现的一组工具包括 Mimikatz、BloodHound、Certipy、Rubeus、Impacket、NetExec 和 Ligolo-ng。多年来，安全测试人员和恶意操作者一直在使用其中许多项目。

AI 将这些成熟组件连接起来。代理可以选择工具、检查其输出，并尝试下一步操作。真正重要的发展在于跨工作流的编排，而非由模型独自创造的新型漏洞利用类别。

这一区别有助于正确看待 PaperCut AI 攻击。攻击者长期以来一直将漏洞扫描器、漏洞利用框架、凭据窃取工具和远程管理实用程序结合使用。智能体系统减少了这些组件之间原本需要人工介入的停顿。

但运营者并未实现持续稳定的控制。GreyNoise 发现了指示代理避开 28 个国家或地区实体的指令。名单包括俄罗斯、中国、香港、泰国、伊朗、乌克兰、白俄罗斯、摩尔多瓦、巴西和南非。

规避规则往往会暴露运营者的风险评估。犯罪团伙可能会排除本地受害者可能引起不必要执法关注的国家。GreyNoise 根据这一行为、语言信号和相关证据，评估该行为者很可能使用俄语。

尽管如此，部分代理仍攻击了被禁止国家中的组织。GreyNoise 表示，这些偏离行为的原因仍不确定。问题可能源于不准确的地理定位、有缺陷的目标数据、含糊的指令、工具错误，或代理丢失了相关上下文。

无论原因是什么，这都是一次运营控制失效。无视排除规则的代理可能造成外交风险、扰乱合作伙伴，或攻击与运营者有关联的基础设施。并行化放大这些错误的速度，与其放大成功漏洞利用的速度一样快。

攻击者还让一些已被攻陷的组织数日未受进一步操作。GreyNoise 报告称，这些延迟源于缺乏后续跟进，而非技术阻力。这表明，该活动创造的访问权限超过了运营者能够立即利用的数量。

这种过剩有几种可能解释。该行为者可能正在为出售给勒索软件关联方而开发访问权限，也可能在选择高价值受害者前收集备选方案。还有可能是其自身审查和变现结果的能力已被超出。

GreyNoise 无法确定最终目标。数据窃取、勒索、部署勒索软件和访问权限经纪都仍属合理推测。将其中任何一种报告为已确认目的，都超出了证据所能支持的范围。

参差不齐的结果揭示了核心权衡。代理降低了进入数百个环境所需的人力，但不会自动提供判断、优先级排序、可靠约束或连贯的最终策略。

防御者不应因这一弱点而掉以轻心。当运营成本较低时，即使效率不高的活动也可能造成重大损害。如果少量会话能获得特权访问，攻击者就能容忍大量失败或被放弃的会话。

与此同时，现有证据并不支持“自主 AI 完成了一场不可阻挡的全球攻击”这一说法。人类选择了目标类别、搭建了基础设施、提供了工具、设定了约束，并且显然决定了何时跟进。

更准确的结论更为有限，但也更具影响力。智能体编排让一名运营者能够管理大量自适应活动，而这过去需要更多人力、更多时间或更多定制脚本。

传统防御措施仍阻断了这场蜂群攻击

AI 提高了该活动的节奏，但常规控制措施仍决定了一台暴露的服务器是否会演变为企业范围的攻陷。

PaperCut 于 8 月 27 日发布紧急公告，并建议客户将应用服务器从直接互联网暴露中移除。该供应商随后发布了多项紧急补丁，同时继续开展调查。

这两个漏洞影响了所有受支持版本中的 PaperCut MF 和 NG 应用及站点服务器。PaperCut 更新后的安全公告仍是该供应商提供修复指导和入侵指标的来源。

CVE-2026-81578 的 CVSS 第 4 版评分为 8.8。CVE-2026-82078 的评分为 9.4。CVSS 提供了标准化的技术严重性估算，但并不衡量每个组织的实际暴露程度。

8 月 31 日，美国网络安全与基础设施安全局将这两个漏洞加入其已知遭利用漏洞目录。该目录跟踪存在被利用证据的漏洞，并为联邦机构规定修复期限。

PaperCut 后来将修复内容纳入经过测试的维护版本。其 26.0 版本历史记录了对不当访问控制和不安全类加载问题的修正，也记录了对用于卡片和 ID 查询的外部数据库配置所进行的额外加固。

Rapid7 的一份技术评估确认，PaperCut 最初于 8 月 27 日发布警告。随着研究人员厘清漏洞利用链的组成部分，两个 CVE 标识符于 8 月 28 日公布。

安装当前维护版本可以封堵已知的初始攻击路径，但并不能证明此前暴露的服务器未遭入侵。组织必须将既往利用证据视为安全事件，而不只是软件维护问题。

调查应从 PaperCut 公布的指标、应用日志、Web 请求、配置变更，以及由 PaperCut 服务启动的子进程开始。防御者还应检查出站连接和新引入的文件。

身份审查至关重要，因为该活动高度聚焦于凭据访问。团队应检查特权账户创建、异常组成员资格变更、可疑目录复制，以及使用服务账户凭据进行的身份验证。

完整的响应可能需要修改密码、轮换凭据、吊销证书并重建被攻陷服务器。如果攻击者获得了域机密，仅修补 PaperCut 会让更持久的访问权限继续存在。

网络架构提供了另一层防护。除非业务运营确有需要，否则不应直接暴露 PaperCut 的应用接口。可信来源限制、反向代理、虚拟专用网络以及经过谨慎配置的 Web 应用防火墙，都可以减少可被访问的攻击面。

GreyNoise 至少观察到一个目标中，Cloudflare 的 Web 应用防火墙阻挡了攻击者。单一案例并不能证明每种 WAF 配置都能阻止该漏洞利用，但它表明：即使 AI 选择了命令，代理也不会仅因此绕过位置正确的控制措施。

最小权限同样会改变结果。以拥有过多目录权限的身份运行应用，会将应用攻陷变成通往域控制的捷径。权限范围严格受限的服务身份，会让攻击者可继承的凭据和管理能力更少。

网络分段可以阻止被攻陷的打印服务器连接到域控制器、管理网络或无关工作负载。出站限制也能干扰命令基础设施、隧道工具和数据外传。

随着攻击者速度提升，检测速度变得更加重要。不过，自动化并不要求防御者逐条匹配每一条恶意命令。他们可以聚焦高价值状态转换，例如面向公网的应用启动 shell，或请求目录机密。

该活动的数据支持这一分层观点。至少 440 个实例遭到攻陷，但仅在 12 个已识别组织中出现域管理员访问。这个差距反映了攻击者后续跟进不完整、配置差异以及防御摩擦。

安全团队还应在重建系统前保留证据。首个报告客户的快速隔离为 PaperCut 提供了帮助重建攻击过程的信息。在仓促修复过程中销毁日志，会使组织范围内的影响界定更加困难。

因此，最强的响应结合了五项行动：更新软件、移除不必要的暴露、调查现有访问权限、轮换受影响身份，以及限制服务器权限。

这些控制措施都不依赖于识别请求来自人类、代理还是普通脚本。它们阻断的是关键行为。

这就是为什么 AI 标签不应主导事件响应。运营者使用的工具解释了该活动的速度；漏洞、权限、凭据和网络路径则解释了其影响。

对 395 名受害者的统计需要谨慎解读

观察到的规模足以促使采取行动，但它并不能回答有关受害者影响或代理自主性的所有问题。

这一头条数字来自 GreyNoise，而非 395 家组织公开披露的事件清单。其 Global Observation Grid 使用互联网传感器和其他威胁信号来研究恶意基础设施和活动。

GreyNoise 表示，其将 440 个被攻陷实例关联到 395 个具名组织。它还观察到无法可靠归因的受害者。该数字描述的是发现了受损证据的组织，而非 395 起独立确认的数据泄露事件。

这一术语差异十分重要。服务器被攻陷意味着存在未经授权的访问。数据泄露通常意味着已确认访问受保护信息，而勒索软件则意味着加密或勒索。现有研究并未显示每一名受害者都遭受了其中任一种结果。

据 GreyNoise 称，280 名受害者发生了凭据收集。攻击者从 147 名受害者处获取了操作系统或域机密，并在 12 个组织中获得了域管理员访问。这些类别代表不同级别的入侵，不应被合并为统一的影响表述。

同样需要谨慎对待“自主”一词。据报道，代理在无需逐条命令审批的情况下执行任务并选择步骤。但人类运营者仍建立了环境、提供了目标、筛选了工具，并保留战略控制权。

公开证据并未揭示每一条模型提示词、每一次人工干预，或未经过人工审查而启动的行动所占确切比例。相比“完全自主的活动”这一说法，证据更清楚地支持“由 AI 编排”的描述。

归因同样仍是一种评估，而非已确定的身份。GreyNoise 将该行为者描述为很可能使用俄语。国家排除名单强化了这一判断，但并未指明某个个人、犯罪团伙或政府支持者。

该活动的开始日期同样需要准确界定。PaperCut 于 8 月 27 日收到首份客户报告。GreyNoise 将这次由 AI 编排的特定行动追溯至 8 月 31 日。这些是相关的时间节点，但并不能证明是同一攻击者造成了首次被报告的入侵。

当时已有其他攻击者在利用这些漏洞。一旦漏洞公开，补丁又透露出线索，多个团伙都可能复现这一技术。PaperCut 从 2023 年的事件中记得这一模式：后来还有其他犯罪团伙和国家支持的组织利用了暴露在外的服务器。

此前的 PaperCut 事件才是相关的历史参照。2023 年的漏洞在披露后被广泛利用，其中包括勒索软件和间谍活动。2026 年的这场活动，则是在一个已被验证的攻击面上加入了智能体协同。

对受害者而言，最关键的是攻击目的尚未明确。如果操作者意图出售访问权限，后续活动可能来自不同的基础设施，并使用不同的工具。一个组织可能暂时看不到直接的业务中断，却仍因被盗凭证而持续暴露于风险之中。

如果目标是窃取数据，调查人员必须确定 PaperCut 服务器及其服务账户能够访问哪些资源。如果计划实施勒索软件攻击，迟迟未采取行动可能意味着攻击正在铺垫阶段，而非已被放弃。

这也带来了衡量上的挑战。GreyNoise 能观察到大量互联网活动，但没有任何单一服务商能够完整掌握每个受影响网络内部的情况。一些受害者可能立即隔离了服务器，另一些则可能尚未发现入侵后的横向移动。

随着调查推进，厂商和威胁情报报告可能发生变化。受害者数量可能增加，分类可能调整，技术结论也可能收窄。负责任的报道应保留这种不确定性，同时不淡化已经掌握的紧急证据。

因此，审慎的解读并不是说这起事件是捏造的或无害的，而是“395 家组织遭自主 AI 入侵”这句话，将几项不同的发现压缩成了更具戏剧性的表述。

一种更站得住脚的总结是：GreyNoise 表示，一名操作者利用数百个 AI 辅助的智能体工作流，入侵了至少 440 个 PaperCut 实例，涉及 395 家已识别组织。权限提升的成功情况并不均衡，操作者的最终目标仍然未知。

这种表述保留了证据的两面性。该行动实现了不同寻常的规模和速度，但同样依赖于人为指挥、已知的攻击工具、暴露的基础设施，以及受害者特定的安全弱点。

三个信号将揭示这是否会成为新的攻击模式

下一阶段取决于漏洞利用是否被复用、被盗访问权限是否被变现，以及防御者能否在模仿者到来前减少公网暴露面。

第一个信号是已知受害者的后续活动。调查人员应关注勒索软件部署、数据窃取通知、访问权限经纪商的挂牌信息，或使用原始活动中窃取凭证的新基础设施。

已确认的后续行动将加强这样一种判断：智能体集群能够为更广泛的网络犯罪供应链提供输入。若缺乏下游活动，则可能意味着该活动获取的访问权限多于操作者能够有效利用的数量。

第二个信号是其他威胁行为者的采用情况。GreyNoise 观察到一名操作者使用 Codex harness、DeepSeek 模型以及常见的攻击工具。如果无关团伙开始复制这一工作流，针对 PaperCut 或其他新披露的企业漏洞发起攻击，才意味着更大的转变已经到来。

模仿者并不需要原始提示词或基础设施。他们可以复现这一总体模式：搭建存在漏洞的实验环境，让智能体负责漏洞利用开发，生成互联网目标列表，并并行发起入侵后的任务。

安全研究人员应寻找类似的时间特征，包括大量相关目标在数秒内遭到攻击、重复使用且仅针对环境略作调整的工具链，以及保留在命令或工作区中的智能体痕迹。

此类活动若增多，将证实智能体编排正成为攻击者的标准基础设施。如果案例依然罕见，PaperCut AI 攻击可能只是一次先进但仍不寻常的作战实验。

第三个信号是 PaperCut 服务器的暴露曲线。成功打补丁、移除公网接口以及改进网络分段，应能减少可供攻击的目标数量。持续暴露则会让组织同时面临更简单的脚本攻击和更多人为主导的攻击者。

这一指标也检验了该事件最有价值的结论。如果基础加固措施能显著减少漏洞利用，防御者就无需在行动前依赖推测性的 AI 检测产品。他们需要的是严谨的资产清单、快速更新、受控的管理接口和受到保护的身份凭证。

运行 PaperCut 的组织应立即根据当前厂商指南核查已安装的版本，还应确认服务器是否曾在 8 月 27 日至完成修复期间暴露于互联网。

如果曾暴露，团队应调查该主机及相关身份，而不是因为没有告警就假定安全无虞。这场活动表明，入侵和凭证收集的速度可以快于一次人工审查周期。

更广泛的教训同样适用于其他企业软件。安全团队应识别那些以高权限运行，或直接连接身份基础设施的公网应用。这些系统同样兼具易于进入和入侵后能够触及高价值资源的特点。

开发者和 AI 平台运营者应出于另一种原因关注此事。该案例表明，模型限制只是智能体系统中的一种控制措施。Harness、工具权限、并发控制、日志记录、目标验证和操作者监督，共同决定了智能体能够以何种规模开展行动。

智能体开发者应在模型之外执行操作策略，尤其是针对网络访问、凭证访问和破坏性命令。自然语言层面的禁止不等同于技术边界。智能体明显违反国家排除名单的情况，具体说明了这一区别。

安全采购方应避免两种常见错误。第一种是因为攻击者本就使用自动化而轻视这起事件。第二种是将 AI 视为一种能使既有防御失效的魔法能力。

证据支持的是一个更艰难的中间立场：AI 编排改变了漏洞利用的速度和协同方式，而传统安全架构仍决定了入侵能够达到的深度。

PaperCut AI 攻击应促使每个组织提出一个实际问题：如果攻击者将四天的试验压缩为四小时，哪台面向互联网的服务器会形成同样的权限路径？

找到那个系统，降低它的暴露面，并在下一次攻击集群替你检验之前测试响应流程。