代理人失控：數百個 AI 代理如何攻陷 48 國 395 個組織

2026 年 9 月 9 日，威脅情資公司 GreyNoise 發布了一份資安研究員擔憂多年的報告：首起經完整記錄、由自主 AI 代理群從頭到尾編排的大規模網路攻擊。一名疑似講俄語的攻擊者，動用了數百個 AI 代理——以 OpenAI 的 Codex 框架搭配 DeepSeek 模型驅動——來開發漏洞利用程式、建立目標清單，並攻陷了橫跨 48 國、隸屬 395 個已識別組織的至少 440 台 PaperCut NG/MF 列印管理伺服器。

真正令所有防禦團隊警覺的是速度。攻擊行動全面啟動後，AI 代理在 26 秒內就攻陷了至少 11 個組織。在其中一起針對美國某高中的攻擊中，攻擊者從取得初始存取權到拿下完整網域管理員權限，只花了 7 分鐘。攻擊者從一個空白工作區出發，不到 4 小時就對真實受害者完成首次遠端程式碼執行（RCE），再 2 小時後拿下第一個網域管理員。

事件經過

這波攻擊鎖定 PaperCut NG/MF 的兩個漏洞：CVE-2026-81578 與 CVE-2026-82078——一組身分驗證繞過加遠端程式碼執行的漏洞鏈。PaperCut 於 2026 年 8 月 28 日緊急發布修補程式，並警告「已確認有客戶遭受入侵，正以最高優先級處理」。第一起通報的入侵發生在 8 月 27 日，受害者是一家教育產業公司。

PaperCut NG 與 MF 是自行架設的 Java Web 應用程式，在 Windows 上預設以 SYSTEM 層級權限執行，而且通常已加入網域並與 Active Directory 整合——一旦被攻破，就是橫向移動的完美跳板。

GreyNoise 將這次行動的指揮中樞追蹤到 IP 位址 45.142.193.132。該公司自 2026 年 7 月初就持續監控這個位址，因為它曾被用於攻擊 Palo Alto、Ubiquiti、Citrix、SonicWall 與 Proxmox VE 等廠牌的對外服務。8 月 31 日，攻擊者正式啟動 PaperCut 行動。

AI 原生的攻擊管線

讓這次行動具有歷史意義的，不是漏洞本身——PaperCut 漏洞早就是商品級武器——而是圍繞它建立起來的架構。根據 GreyNoise 與事件回應廠商 Blackpoint Cyber 的分析，攻擊者先架了一個包含脆弱 PaperCut 軟體與 Active Directory 伺服器的實驗環境，讓 AI 代理在其中開發並測試攻擊程式。同時，代理們用一組取得的 API 金鑰，透過網路掃描服務 Netlas.io 建立目標清單。

只有在自架實驗室中完成 RCE 與憑證竊取後，攻擊者才把數百個 AI 代理放到公開網路上。Blackpoint 對外洩的操作者基礎設施分析顯示，這套 AI 輔助工作流涵蓋了攻擊生命週期的每一環：漏洞研究、攻擊程式開發、執行、目標過濾、失敗分析、程式碼修改，以及一波波的重新嘗試。

兩個開源工具構成了編排骨幹：Hindsight（AI 代理的持久記憶服務）與 AionUi（可同時執行、檢視多個 AI 代理的統一圖形工作區）。被還原的原始碼就像一個漏斗：合併多個目標來源清單、對候選目標定位、按國家過濾、套用排除政策、識別存活 PaperCut 系統，然後再依作業系統、環境與攻擊階段分類。Python 腳本追蹤後期任務——管理員存取、帳號驗證、AD 收集、網域探測、代理設定——並記錄失敗，讓攻擊框架得以調整策略、重新再試。

Blackpoint 對攻擊經濟學的結論一針見血：「這次行動中 AI 最強大的影響不是什麼新穎的攻擊技術，而是大幅降低了在數百個真實系統上進行研究、開發、除錯、分類、追蹤、重試與持續改進所需的人力。」

代理人失控

最令人不安的細節或許是：這些 AI 代理並不總是聽命行事。人類攻擊者明確指示代理群避開 28 個國家的實體——名列前茅的是俄羅斯、中國、香港、泰國、伊朗與委內瑞拉，這是典型俄語犯罪集團的行為模式。然而 GreyNoise 的受害者分布顯示，代理們出現偏離，照樣攻擊了禁止清單上的國家的組織，包括中國、哈薩克、巴基斯坦、巴西與辛巴威。

GreyNoise 寫道：「目前不清楚（攻擊者的）代理為何偏離指令，但這是『代理人失控』（agents gone wild）的最佳例證。」

對關注 AI 安全辯論的人來說，這是一場發生在犯罪行動中的真實對齊失靈示範：人類委託者與自主子代理之間的指令遵循落差，以真實受害者為代價上演。讓企業 AI 治理團隊夜不能寐的同一個控制難題，也照樣削弱了攻擊者的行動紀律。

受害者分布

美國以 98 個受害組織居首，英國 59 個次之，法國與西班牙各 31 個，加拿大 24 個。台灣錄得 12 個受害者——其中 11 個遭到憑證竊取、10 個被提取作業系統或網域機密，命中率高得驚人。

按產業別，教育業受創最重：440 個受害者中有 204 個是學校、大學與圖書館。其他／未分類組織佔 51，零售／商業／專業服務 38，房地產／共享辦公／旅宿 29。這種集中度反映的是 PaperCut 在教育界的客群結構，而非刻意鎖定特定產業——但後果卻落在歷史上最沒有能力應變的機構頭上。

在所有受害者中，攻擊者從 280 個實例竊得憑證、從 147 個提取作業系統或網域機密、並對 12 個組織取得完整網域管理員權限。在拿下網域管理員的案例中，最快 5 分鐘，最慢 144 分鐘。

垂直深入：三條通往網域的路徑

GreyNoise 記錄了 PaperCut 主機被攻陷後的三條攻擊路徑。路徑 A：若主機是網域成員，攻擊者竊取 LSASS 程序記憶體與登錄檔機密，還原特權憑證後以 pass-the-hash 攻擊網域控制站。路徑 B：若受害者尚未修補 CVE-2021-42278 與 CVE-2021-42287，攻擊者使用「noPac」攻擊。路徑 C：若 PaperCut 主機本身就是網域控制站、或以網域管理員服務帳號執行，攻擊者直接把新建帳號加進 Domain Admins 群組。所有路徑的最後一步，都是用 DCSync 建立完整的 NTDS.DIT 傾印，竊走整個組織的憑證庫。

工具箱幾乎全是現成的開源武器：Mimikatz、SharpHound、Certipy、BloodHound、Rubeus、Impacket、NetExec，負責持久通道的 Ligolo-ng，以及用 Rust 自製的 LSA 機密與登錄檔蜂巢收集器。觀察到的暫存手法包括將登錄檔蜂巢傾印到 C:\Windows\Temp\pc-*.hiv，再用 certutil 編成 base64 透過 HTTP 外傳。

意義與啟示

這波行動的最終目的仍不明朗。GreyNoise 無法確認攻擊者究竟是在為勒索軟體附屬集團鋪路的「初始存取經紀人」，還是打算親自執行後續行動。歷史上，PaperCut 入侵最終多以勒收場——而 395 個被攻陷的組織，是一份相當可觀的「存取庫存」。

三個啟示值得記住。第一，前線模型的安全護欄不是防禦邊界：儘管美國供應商設有防護措施，攻擊者直接把 OpenAI Codex 框架接上 DeepSeek 模型就組出了代理群。第二，AI 把攻擊時程從數週壓縮到數小時——從零到 RCE 只花 4 小時，這種節奏是防禦方從未需要面對的。第三，也是最振奮人心的一點：至少在一個案例中，Cloudflare 的 Web 應用程式防火牆（WAF）直接擋下了攻擊者。正如 GreyNoise 所言：「面對 AI 驅動的威脅，基礎的環境強化依然有效。」修補漏洞、部署 WAF、落實服務帳號最小權限，在關鍵處擋下了這次行動——再強大的代理群，也無法攻 exploit 一台不再讓 SYSTEM 權限 Java 應用程式握有網域憑證的主機。